Chainguard uvádí Workspaces a Checks na ochranu AI programovacích agentů

AI programovací agent může napsat užitečnou opravu, a přesto při tom způsobit bezpečnostní incident. Může nainstalovat kompromitovanou závislost, řídit se pokyny vloženými do nedůvěryhodného obsahu nebo spustit příkaz s přihlašovacími údaji, které mu poskytnou mnohem širší přístup, než daný úkol vyžaduje. Jak týmy nasazují souběžně stále více agentů, zabezpečení kódu, který vytvářejí, představuje jen část problému.

Chainguard řeší toto širší spektrum rizik třemi oznámeními na akci Assemble London: Workspaces, izolovanými prostředími pro vývojáře a programovací agenty; Checks, ověřovacím nástrojem určeným k provozu přímo v cyklu vývoje s agentem; a rozšířenou nabídkou Libraries, která zahrnuje podporu dalších programovacích jazyků a nápravu zranitelností.

Novinky propojují tři otázky, na které podniky musí stále častěji hledat odpověď: kde agent pracuje, jak se ověřuje jeho práce a jaký externí software může do organizace přinést. Workspaces a Checks se začínají nabízet v beta verzi, zatímco nové nabídky Libraries pro Go a .NET vstupují do fáze předběžného přístupu.

Vymezení hranic pro každého programovacího agenta

Chainguard Workspaces poskytuje každému vývojáři a agentovi samostatný vzdálený microVM. Prostředí synchronizuje místní pracovní strom vývojáře, takže může dál používat svůj editor i pracovní postup s Gitem, zatímco se program spouští mimo jeho počítač. Oddělená prostředí také umožňují více agentům souběžně zkoušet změny, aniž by sdíleli stejné pracovní prostředí.

Toto rozlišení je důležité, protože užitečné schopnosti agenta — spouštění příkazů, instalace balíčků a přístup ke službám — zároveň představují možné cesty ke kompromitaci. Zásada uvedená v pokynech pro agenta závisí na tom, zda se jí agent bude řídit. Hranice vynucovaná prostředím, v němž se program spouští, může omezit, co se stane, i když se model rozhodne špatně.

Podle oznámení se skutečné přihlašovací údaje vkládají mimo pracovní prostředí. Nástroje, které vyžadují přihlašovací údaj uložený na disku, dostávají místo něj šifrovanou náhradu s krátkou dobou platnosti. Volitelné zásady odchozího síťového provozu omezují připojení k povoleným cílům a snižují tak možnost, že kompromitovaná závislost nebo agent zmanipulovaný pokyny vloženými do promptu odešle data jinam.

Tato opatření řeší různá rizika. Hardwarová izolace odděluje úlohy, zprostředkování přihlašovacích údajů brání agentovi v přístupu k opakovaně použitelným tajemstvím a síťová pravidla omezují, kam může komunikovat. Jejich účinnost stále závisí na oprávněních a cílech, které organizace schválí. Izolace neznamená, že je každá povolená činnost neškodná.

Prostředí používají Chainguard OS Packages a při běhu ověřují závislosti podle souboru lockfile. Dosavadní nabídka OS Packages od Chainguard poskytuje průběžně udržované balíčky, sestavuje je ze zdrojového kódu a přikládá k nim soupisy softwarových komponent. Tento základ objasňuje přístup společnosti: rozšířit kontrolovaný softwarový základ do prostředí, v němž pracují agenti.

Workspaces také vytváří podepsané záznamy o prostředí, změnách kódu a výsledcích kontrol. Bezpečnostním týmům tak poskytuje možnost zjistit, co agent dělal, místo aby se spoléhaly výhradně na jeho vlastní shrnutí relace.

Přesunutí ověřování do pracovního cyklu agenta

Generování kódu může být rychlé, zatímco cesta k ověřenému kódu zůstává pomalá. Agent provede změnu a odešle ji do průběžné integrace, čeká na spuštění běhového prostředí a poté obdrží informaci o neúspěchu, když už se posunul dál. Opakování tohoto postupu u mnoha agentů může prodloužit fronty a vést k opakovanému nastavování prostředí.

Chainguard Checks přesouvá ověřování do tohoto cyklu v podobě volání nástroje. V kombinaci s Workspaces se relace agenta během kontrol pozastaví a poté pokračuje; agent přitom ve svém kontextu obdrží strukturované protokoly chyb. Zamýšlený pracovní postup je iterativní: provést změnu, spustit kontroly, prohlédnout si chybu a zkusit to znovu, než se výsledek předá dál.

Připravené snímky obsahují předinstalované závislosti a při změně souboru lockfile se znovu sestavují. Každý krok pracovního postupu se spouští ve vlastním hardwarově izolovaném microVM. Oznámení také popisuje vkládání přihlašovacích údajů s krátkou dobou platnosti do odchozích požadavků na straně hostitele a deklarativní zásady pro síťový přístup.

Úspěšný běh vytvoří podepsané potvrzení, které propojí prostředí, výsledek testu a revizi kódu. Navazující brány pro sloučení mohou podle Chainguard tato data ověřit a přijmout výsledek, aniž by znovu spouštěly stejnou sadu testů.

Jde o užitečné rozlišení mezi předáváním důkazů a pouhým předáváním tvrzení agenta, že testy prošly. Potvrzení může doložit, které kontroly proběhly nad kterou revizí kódu a v jakém prostředí. Nemůže však prokázat, že testy pokrývaly veškeré důležité chování ani že úspěšná změna splňuje všechny bezpečnostní požadavky. Týmy stále potřebují vhodné testy, důvěryhodné zásady ověřování a kontrolu tam, kde je nutný úsudek.

Chainguard uvádí, že návrh vrací výsledky během několika sekund a omezuje zbytečné výpočetní operace. Materiály k uvedení na trh neobsahují nezávisle ověřený benchmark, který by prokazoval univerzální zrychlení nebo snížení nákladů napříč repozitáři.

Zabezpečení závislostí, které agenti přidávají

Třetí oznámení rozšiřuje Chainguard Libraries, spravovaný katalog a koncové body pro open source jazykové závislosti. Stávající služba je navržena tak, aby zapadala do správců artefaktů a vývojových pracovních postupů, a u balíčků vytvořených společností Chainguard poskytuje informace o původu a podepsané seznamy softwarových komponent.

Nový koncový bod pro Go nabízí skenování malwaru a šedého softwaru, konfigurovatelné zásady pro balíčky a nápravu zranitelností CVE. Koncový bod pro .NET představuje alternativu k přímému využívání NuGetu a zahrnuje skenování i nástroje pro uplatňování zásad. Oba přecházejí do fáze předběžného přístupu.

Chainguard přidává také nápravu zranitelností CVE pro JavaScript a Go, včetně zpětně přenesených oprav kritických a vysoce závažných zranitelností. Zpětné přenášení oprav je důležité, když tým nemůže okamžitě přejít na novější hlavní verzi, aniž by musel upravovat aplikaci nebo provádět rozsáhlé testování. Může snížit míru ohrožení, než bude možné naplánovat rozsáhlejší aktualizaci.

Pokud jde o Javu a Python, společnost uvádí, že Athena, její oborová koalice, bude v den zveřejnění zranitelností dodávat opravené artefakty pro zranitelnosti odhalené pokročilými modely umělé inteligence. Jde o tvrzení týkající se reakce v okamžiku zveřejnění, nikoli o záruku, že neexistují nezveřejněné chyby.

Průzkum ukazuje, proč je samotné záplatování pod tlakem

Společně s produkty zveřejňuje Chainguard průzkum The AI Exploit Gap, který si zadala u společnosti Wakefield Research. V září 2026 shromáždil odpovědi od 1 300 odborníků na kybernetickou bezpečnost z devíti trhů. Respondenti zastávali pozice na úrovni ředitele nebo vyšší a obvykle pracovali v organizacích s alespoň 500 zaměstnanci; v Singapuru a Spojených arabských emirátech/Saúdské Arábii byl minimální počet zaměstnanců 250.

V tomto průzkumu 54 % respondentů uvedlo, že jejich organizace alespoň někdy vědomě ponechávají kritické nebo vysoce závažné zranitelnosti bez opravy, a 93 % vyjádřilo obavy, zda dokážou dostatečně rychle napravovat zneužití zranitelností poháněné umělou inteligencí. Celkem 76 % uvedlo, že během předchozího roku zaznamenali potvrzený nebo domnělý útok poháněný umělou inteligencí.

Poslední údaj zahrnuje potvrzené incidenty i pouhá podezření. Nelze jej chápat jako nezávisle ověřené měřítko útoků způsobených umělou inteligencí. Obecněji řečeno, jde o hlášení a očekávání respondentů, nikoli o telemetrická data, která by určovala, jak často je konkrétní útočná technika úspěšná.

Provozní zjištění jsou výmluvná. Mezi společnostmi s tržbami alespoň 1 miliardu dolarů uvedlo 66 %, že alespoň někdy ponechávají kritické nebo vysoce závažné zranitelnosti bez opravy; u společností s tržbami nižšími než 250 milionů dolarů to bylo 27 %. Větší organizace poukazovaly na obchodní kompromisy, například narušení provozu a konkurenční priority v oblasti produktů. Rozdíl tedy spočívá nejen ve schopnosti odhalovat chyby, ale i v možnosti zavádět změny.

Větší autonomie vyžaduje lépe ověřitelnou kontrolu

Tři novinky od společnosti Chainguard tvoří ucelený přístup: omezit prostředí, v němž se vykonávají úlohy, umožnit agentům rychlé ověření s dohledatelným původem a řídit závislosti, které používají. Každá se zaměřuje na jinou část téhož vývojového pracovního postupu.

V praxi se ukáže, zda tyto kontrolní mechanismy dokážou zapadnout do skutečných repozitářů, integrací služeb a zásad pro vydávání verzí, aniž by se staly další překážkou. Fáze beta a předběžného přístupu znamenají, že tato práce teprve čeká. Směr je však jasný: jakmile kódovací agenti získají schopnost jednat, podniky potřebují bezpečnostní kontrolní mechanismy, které lze prosazovat a kontrolovat po celou dobu práce.