Chainguard uruchamia Workspaces i Checks, aby zabezpieczyć agentów AI do programowania

Agent AI do programowania może przygotować przydatną poprawkę, a mimo to doprowadzić po drodze do incydentu bezpieczeństwa. Może zainstalować przejętą zależność, zastosować się do instrukcji osadzonych w niezaufanej treści albo uruchomić polecenie z użyciem danych uwierzytelniających, które zapewniają mu znacznie szerszy dostęp, niż wymaga tego zadanie. Wraz z tym, jak zespoły równolegle wykorzystują coraz więcej agentów, zabezpieczenie tworzonego przez nie kodu staje się tylko częścią problemu.

Chainguard odpowiada na to szersze zagrożenie, ogłaszając podczas Assemble London trzy rozwiązania: Workspaces — odizolowane środowiska dla programistów i agentów do programowania; Checks — mechanizm weryfikacji zaprojektowany do działania w cyklu pracy agenta; oraz rozszerzone zabezpieczenia Libraries, obejmujące dodatkowe języki programowania i usuwanie luk w zabezpieczeniach.

Nowe rozwiązania pomagają firmom odpowiedzieć na trzy coraz ważniejsze pytania: gdzie działa agent, jak weryfikowana jest jego praca i jakie zewnętrzne oprogramowanie może wprowadzić do organizacji. Workspaces i Checks są udostępniane w wersji beta, a nowe oferty Libraries dla Go i .NET wchodzą do programu wczesnego dostępu.

Odizolowanie każdego agenta do programowania

Chainguard Workspaces zapewnia każdemu programiście i agentowi osobną zdalną mikromaszynę wirtualną (microVM). Środowisko synchronizuje lokalne drzewo robocze programisty, dzięki czemu może on nadal korzystać ze swojego edytora i dotychczasowego przepływu pracy z Git, podczas gdy wykonywanie zadań odbywa się poza jego komputerem. Oddzielne środowiska pozwalają też wielu agentom równolegle wprowadzać zmiany bez korzystania ze wspólnego środowiska pracy.

To rozróżnienie ma znaczenie, ponieważ przydatne możliwości agenta — uruchamianie poleceń, instalowanie pakietów i uzyskiwanie dostępu do usług — mogą również stać się drogą do przejęcia. Polityka opisana w instrukcjach agenta działa tylko wtedy, gdy agent się do niej stosuje. Ograniczenia egzekwowane przez środowisko wykonawcze mogą kontrolować przebieg działania nawet wtedy, gdy model podejmie błędną decyzję.

Jak podano w komunikacie o premierze, rzeczywiste dane uwierzytelniające są wprowadzane poza obszarem roboczym. Narzędzia wymagające danych uwierzytelniających zapisanych na dysku otrzymują zaszyfrowany, krótkotrwały zamiennik. Opcjonalne zasady ruchu wychodzącego ograniczają połączenia z zatwierdzonymi miejscami docelowymi, zmniejszając możliwość wysyłania danych w inne miejsca przez przejętą zależność lub agenta, na którego wpłynęły instrukcje z niezaufanej treści.

Te zabezpieczenia ograniczają różne rodzaje ryzyka. Izolacja sprzętowa oddziela obciążenia; pośrednictwo w obsłudze danych uwierzytelniających chroni przed dostępem agenta do wielokrotnego użytku tajnych danych; a zasady sieciowe ograniczają miejsca, z którymi agent może się komunikować. Skuteczność tych zabezpieczeń nadal zależy od uprawnień i miejsc docelowych zatwierdzonych przez organizację. Izolacja nie sprawia, że każde dozwolone działanie staje się nieszkodliwe.

Środowiska korzystają z pakietów Chainguard OS Packages i w czasie wykonywania weryfikują zależności względem pliku blokady. Dotychczasowa oferta OS Packages firmy Chainguard zapewnia stale aktualizowane pakiety, buduje je z kodu źródłowego i dołącza zestawienia komponentów oprogramowania. To wyjaśnia podejście firmy: rozszerzyć kontrolowaną podstawę oprogramowania na środowisko, w którym działają agenci.

Workspaces tworzy również podpisane zapisy dotyczące środowiska, zmian w kodzie i wyników kontroli. Zespoły ds. bezpieczeństwa mogą dzięki temu sprawdzić, co zrobił agent, zamiast polegać wyłącznie na jego własnym podsumowaniu sesji.

Przeniesienie weryfikacji do cyklu pracy agenta

Generowanie kodu może przebiegać szybko, podczas gdy droga do zweryfikowanego kodu pozostaje długa. Agent wprowadza zmianę i przesyła ją do ciągłej integracji, czeka na skonfigurowanie środowiska wykonawczego, a następnie otrzymuje informację o błędzie, gdy kontekst jego pracy zdążył się już zmienić. Powtarzanie tego procesu w przypadku wielu agentów może wydłużać kolejki i prowadzić do powielania pracy związanej z konfiguracją.

Chainguard Checks przenosi weryfikację do tego cyklu pracy w postaci wywołania narzędzia. W połączeniu z Workspaces sesja agenta zostaje wstrzymana na czas przeprowadzania kontroli, a następnie jest wznawiana z uporządkowanymi dziennikami błędów w kontekście agenta. Założony przebieg pracy jest iteracyjny: wprowadzić zmianę, uruchomić kontrole, przeanalizować błąd i ponowić próbę przed przekazaniem wyniku.

Migawki gotowe do użycia zawierają wcześniej zainstalowane zależności i są tworzone ponownie po zmianie pliku blokady. Każdy etap przepływu pracy działa we własnej mikromaszynie wirtualnej z izolacją sprzętową. W komunikacie o premierze opisano również wprowadzanie przez hosta krótkotrwałych danych uwierzytelniających do żądań wychodzących oraz deklaratywne zasady dostępu do sieci.

Pomyślne przejście kontroli skutkuje utworzeniem podpisanego poświadczenia łączącego środowisko, wynik testu i zatwierdzenie. Według Chainguard dalsze etapy procesu scalania mogą zweryfikować te informacje i zaakceptować wynik bez ponownego uruchamiania tego samego zestawu testów.

Warto odróżnić przekazywanie dowodów od samego przekazywania twierdzenia agenta, że testy zakończyły się pomyślnie. Poświadczenie może potwierdzić, które kontrole przeprowadzono dla danego zatwierdzenia i w danym środowisku. Nie potwierdza jednak, że testy obejmowały wszystkie istotne zachowania ani że zmiana, która przeszła testy, spełnia wszystkie wymagania bezpieczeństwa. Zespoły nadal potrzebują odpowiednich testów, zaufanych zasad weryfikacji oraz przeglądu tam, gdzie konieczna jest ocena.

Chainguard twierdzi, że rozwiązanie zwraca wyniki w ciągu kilku sekund i ogranicza zbędne obliczenia. Materiały dotyczące premiery nie zawierają niezależnie zweryfikowanych testów porównawczych, które potwierdzałyby powszechną poprawę szybkości lub kosztów w różnych repozytoriach.

Zabezpieczanie zależności pobieranych przez agentów

Trzecia zapowiedź dotyczy rozbudowy Chainguard Libraries — zarządzanego katalogu i punktów końcowych dla zależności open source używanych w językach programowania. Istniejąca usługa została zaprojektowana tak, by współpracować z menedżerami artefaktów i wpisywać się w przepływy pracy programistów. Zapewnia informacje o pochodzeniu pakietów zbudowanych przez Chainguard oraz podpisane wykazy komponentów oprogramowania.

Nowy punkt końcowy Go obejmuje skanowanie pod kątem złośliwego i potencjalnie niepożądanego oprogramowania, konfigurowalne zasady dotyczące pakietów oraz usuwanie podatności CVE. Punkt końcowy .NET stanowi alternatywę dla bezpośredniego korzystania z NuGet i oferuje skanowanie oraz mechanizmy kontroli zgodne z zasadami. Oba rozwiązania wchodzą w fazę wczesnego dostępu.

Chainguard dodaje również możliwość usuwania podatności CVE w JavaScript i Go, w tym przez udostępnianie poprawek wstecznych dla luk o krytycznym i wysokim poziomie zagrożenia. Takie poprawki są istotne, gdy zespół nie może od razu przejść na nowszą główną wersję bez wprowadzania zmian w aplikacji lub przeprowadzania szeroko zakrojonych testów. Mogą ograniczyć narażenie na zagrożenia w czasie planowania większej aktualizacji.

Firma informuje, że w przypadku Javy i Pythona Athena — branżowa koalicja, do której należy — będzie dostarczać poprawione artefakty dotyczące podatności wykrytych przez zaawansowane modele AI w dniu ich publicznego ujawnienia. Jest to deklaracja dotycząca reakcji w momencie publicznego ujawnienia, a nie gwarancja, że nie istnieją nieujawnione luki.

Badanie pokazuje, dlaczego samo instalowanie poprawek nie wystarcza

Równolegle z premierą produktów Chainguard publikuje wyniki badania „The AI Exploit Gap”, zleconego firmie Wakefield Research. We wrześniu 2026 r. zebrano odpowiedzi od 1300 liderów ds. cyberbezpieczeństwa z dziewięciu rynków. Respondenci zajmowali stanowiska co najmniej dyrektorskie i na ogół pracowali w organizacjach zatrudniających co najmniej 500 osób; w Singapurze i Zjednoczonych Emiratach Arabskich oraz Arabii Saudyjskiej minimalny próg wynosił 250 pracowników.

W badaniu 54% respondentów stwierdziło, że ich organizacje świadomie pozostawiają niezałatane podatności o wysokim lub krytycznym poziomie zagrożenia przynajmniej od czasu do czasu, a 93% wyraziło obawę, że nie zdołają wystarczająco szybko usuwać skutków ataków wykorzystujących AI. 76% badanych zgłosiło potwierdzony lub podejrzewany atak z użyciem AI w poprzednim roku.

Ostatnia z tych wartości obejmuje zarówno potwierdzone incydenty, jak i przypadki, co do których istniało jedynie podejrzenie. Nie należy jej traktować jako niezależnie zweryfikowanej miary liczby ataków spowodowanych przez AI. Ogólnie rzecz biorąc, są to relacje i przewidywania respondentów, a nie dane telemetryczne pozwalające ustalić, jak często dana technika ataku kończy się powodzeniem.

Wyniki dotyczące praktyk operacyjnych są wymowne. Wśród firm osiągających przychody w wysokości co najmniej 1 mld USD 66% respondentów przyznało, że przynajmniej czasami pozostawiają one niezałatane podatności o wysokim lub krytycznym poziomie zagrożenia; w firmach o przychodach poniżej 250 mln USD odsetek ten wyniósł 27%. Większe organizacje wskazywały na biznesowe kompromisy, takie jak ryzyko zakłóceń i konkurujące ze sobą priorytety dotyczące produktów. Różnica dotyczy więc zarówno zdolności do wdrażania zmian, jak i wykrywania luk.

Większa autonomia wymaga skuteczniejszej kontroli

Trzy premiery Chainguard składają się na spójne podejście: ograniczanie środowiska wykonywania kodu, zapewnianie agentom szybkiej weryfikacji z możliwością ustalenia jej źródła oraz zarządzanie wykorzystywanymi przez nie zależnościami. Każdy z tych elementów odpowiada za inny etap tego samego przepływu pracy programistycznej.

Praktycznym sprawdzianem będzie to, czy te mechanizmy kontroli sprawdzą się w rzeczywistych repozytoriach, integracjach usług i zasadach wydawania oprogramowania, nie stając się kolejnym wąskim gardłem. Status wersji beta i wczesnego dostępu oznacza, że prace nad tym rozwiązaniem wciąż trwają. Kierunek jest jednak jasny: w miarę jak agenci programistyczni zyskują zdolność do działania, przedsiębiorstwa potrzebują mechanizmów bezpieczeństwa, które pozostają egzekwowalne i podlegają kontroli na każdym etapie pracy.