【免费下载链接】autocontexta recursive self-improving harness designed to help your agents (and future iterations of those agents) succeed on any task项目地址https://gitcode.com/gh_mirrors/aut/autocontext点击查看免费下载autocontext 是一个递归自我改进的智能体训练框架它的控制面会暴露 HTTP/WebSocket API并执行候选策略生成的代码。本篇完整解析 autocontext 的安全模型默认 Loopback 绑定、至少 32 字符的 Bearer Token 校验以及子进程沙箱执行边界帮你在部署前建立清晰的安全认知。作为一套让 Agent 自己写代码、自己跑代码的递归优化框架autocontext 面临的安全问题比一般 CLI 工具更复杂它对外提供控制面 API还会执行自动生成的候选代码。项目用三层防线来应对——网络监听边界、请求认证边界、执行隔离边界。下面逐层拆解。第一道防线Loopback 绑定默认只监听本机 autocontext 的控制面服务autoctx serve默认绑定127.0.0.1:8000也就是只接受本机回环地址的连接LAN 内的其他设备根本看不到这个端口。这不只是默认值而是启动前的硬性检查。CLI 在真正拉起 uvicorn 之前会先调用绑定守卫assert_secure_server_bind(host) # 先检查再启动 uvicorn.run(autocontext.server.app:app, hosthost, portport, ...)相关实现在 cli.py 与 auth.py绑定目标被识别为回环地址localhost、127.x、::1、*.localhost时直接放行绑定到非回环地址如0.0.0.0且未配置认证 Token时直接抛出Refusing to bind the unauthenticated control plane to non-loopback host并拒绝启动只有显式配置了强 Token才允许把服务暴露到网络。也就是说想对外暴露先配置 Bearer Token被写死在启动路径里不存在忘了配认证就裸奔的部署方式。回环地址的判定逻辑见 _is_loopback_host它对localhost、.localhost后缀和 IPv4/IPv6 回环地址都做了归一化处理。第二道防线Bearer Token 认证详解Token 配置要求至少 32 字符的强随机值控制面 Token 通过环境变量AUTOCONTEXT_SERVER_TOKEN配置。resolve_server_auth_token 的校验规则很严格场景行为未设置 / 空值不启用 Token 认证仅允许本机访问长度 32 字符直接抛错拒绝弱 Token长度 ≥ 32 字符正常启用 Bearer 校验HTTP 请求校验常量时间比较防时序攻击每个非/health请求都会经过认证中间件见 app.py。核心校验函数 request_is_authorized 有两个关键设计客户端需在请求头携带Authorization: Bearer token比对使用hmac.compare_digest做常量时间比较防止通过响应时间差逐字符猜测 Token。校验失败返回401 Unauthorized并携带WWW-Authenticate: Bearer realmautocontext头另外还有一层 Origin 白名单检查——非 GET/HEAD/OPTIONS 请求若 Origin 不在 CORS 允许列表默认为localhost:1420、localhost:4173、localhost:3000、tauri://localhost等本地 GUI 应用地址内直接返回403 Forbidden origin。WebSocket 认证用子协议头传递 Token浏览器 WebSocket 无法自定义请求头autocontext 的解法很巧妙把 Token 以autocontext.bearer.base64url的形式编码进Sec-WebSocket-Protocol子协议字段。服务端会解码、校验、并与 Token 做常量时间比较websocket_rejection_code、encode_server_auth_subprotocol。握手不符合要求时用4401/4403私有关闭码静默拒绝不泄露认证细节。无 Token 模式只有真正的本机连接能进来即使没配置 Token也不是敞开大门。tokenless_client_is_local 要求客户端对端地址必须是回环地址如果 ASGI 服务器没有提供对端元数据client_host为None采取fail-closed失败即拒绝策略——元数据缺失不能证明连接来自回环直接按非本机处理。相关行为有完整测试覆盖见 test_server_auth.py。第三道防线沙箱执行边界autocontext 会执行候选策略、生成的 harness 代码以及 REPL 命令这些代码默认不在长生命周期的主进程里跑。官方沙箱文档 sandbox.md 描述了完整体系local 模式一次性可杀子进程 资源限制每次加载或调用策略/校验器代码都会在一个全新的、可被杀死的子进程中执行子进程拿到的是空环境变量、私有工作目录、关闭的继承文件描述符父进程施加 CPU、内存默认 256 MiB、文件大小、打开文件数的限制结果回传限制在 1 MiB 的 JSON 管道上跨信任边界绝不使用 PickleLinux 上还会叠加 seccomp 规则拒绝setsid/setpgid/用户命名空间创建macOS 上设置RLIMIT_NPROC1禁止派生后代进程超时由父进程直接杀死整个子进程组不会留下能继续篡改父进程的孤儿线程。其他执行模式按需选择隔离强度模式适用场景local可信本地开发快速迭代monty解释器级沙箱pydantic-monty低运维开销ssh在显式注册的自有主机上执行primeintellect通过 provider 中立契约跑远程沙箱gondolin预留的 microVM 边界未配置适配器时 fail-closed 拒绝运行防止部署方误以为有 VM 隔离却在本地裸跑需要特别注意的是文档明确指出的信任分级通过scenarios.custom.loader加载自定义场景属于可信本地插件激活路径在控制面进程内 import不是验证沙箱——运维人员不应把知识根目录指向租户可写内容。此外研究工作区的ResearchWorkspace(profileisolated_sandbox)同样要求调用方提供具备全部强制安全控制的 Docker 后端只读根、禁网、资源上限、环境清洗否则直接 fail-closed。加分项出站 URL 的 SSRF 防护autocontext 的抓取/fixture 加载路径默认面向不可信 URLoutbound_url.py 实现了一套 fail-closed 出站策略值得学习DNS 一次解析 地址钉住所有解析出的 IP 都要通过策略校验防止校验时是公网 IP、连接时变成内网 IP的重绑定攻击禁止 3xx 重定向堵住校验过的公网 URL 跳转到内网服务的缺口云元数据端点全面封禁AWS/Azure/GCP/阿里云等169.254.169.254等元数据地址、link-local、组播、保留地址一律拒绝_METADATA_ADDRESSES响应体限额 全局超时默认 JSON 响应 2 MiB、fixture 10 MiB全程受 deadline 约束。另外config/security.py 中两个默认关闭的兼容性开关unsafe_openclaw_executable_artifacts_enabled、openclaw_allow_private_network_endpoint也体现了同一思路危险路径默认关闭即使开启也依然封禁云元数据端点。部署速查清单 ✅本机使用什么都不用配autoctx serve默认127.0.0.1:8000无 Token 也能安全运行需要跨机访问设置AUTOCONTEXT_SERVER_TOKEN≥ 32 字符随机值客户端请求带Authorization: Bearer token头浏览器 WebSocket 客户端将 Token 编码为autocontext.bearer.base64url子协议传入执行不可信代码local模式仅限可信本机跨互不信任的代码作者请使用monty或远程/容器适配器需要强制隔离文件/网络/密钥/内存配置 Gondolin microVM 适配器在此之前它会 fail-closed。小结autocontext 的安全模型可以概括为默认保守、逐层收紧Loopback 默认绑定把攻击面先压到本机Bearer Token 用常量时间比较和 WebSocket 子协议补齐跨机认证子进程沙箱、AST 检查与 seccomp 把生成代码关进笼子出站 URL 策略再用 DNS 钉住和重定向禁令堵死 SSRF。对普通用户来说默认配置就是安全配置——只有当你主动突破每一道边界时系统才会要求你付出对应的认证或隔离成本。 更多细节可参考官方文档Sandbox Modes、Background execution trust boundaries赞分享【免费下载链接】autocontexta recursive self-improving harness designed to help your agents (and future iterations of those agents) succeed on any task项目地址https://gitcode.com/gh_mirrors/aut/autocontext点击查看免费下载相关推荐ClawGUI安全设计解析执行沙箱、网络限制与工具权限如何构建防线ClawGUI安全设计解析执行沙箱、网络限制与工具权限如何构建防线 ClawGUI 是一个一站式构建、评估与部署 GUI Agent 的开源框架覆盖在线强化本地 MCP 服务器安全加固实战MCPB 无沙箱环境下如何守住工具调用边界本地 MCP 服务器安全加固实战MCPB 无沙箱环境下如何守住工具调用边界 本文聚焦 claude plugins official 仓库中 build mcAI 插件开发工具插件系统OpenSquilla 沙箱安全模型Safe 模式与 Full Access 的执行边界、策略与故障降级OpenSquilla 沙箱安全模型Safe 模式与 Full Access 的执行边界、策略与故障降级 导读 OpenSquilla 以两种截然不同的执行姿人工智能大模型AI Agent交互助手工具调用MCP 服务Agent 记忆RAG本地部署创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
【免费下载链接】autocontexta recursive self-improving harness designed to help your agents (and future iterations of those agents) succeed on any task项目地址https://gitcode.com/gh_mirrors/aut/autocontext点击查看免费下载autocontext 是一个递归自我改进的智能体训练框架它的控制面会暴露 HTTP/WebSocket API并执行候选策略生成的代码。本篇完整解析 autocontext 的安全模型默认 Loopback 绑定、至少 32 字符的 Bearer Token 校验以及子进程沙箱执行边界帮你在部署前建立清晰的安全认知。作为一套让 Agent 自己写代码、自己跑代码的递归优化框架autocontext 面临的安全问题比一般 CLI 工具更复杂它对外提供控制面 API还会执行自动生成的候选代码。项目用三层防线来应对——网络监听边界、请求认证边界、执行隔离边界。下面逐层拆解。第一道防线Loopback 绑定默认只监听本机 autocontext 的控制面服务autoctx serve默认绑定127.0.0.1:8000也就是只接受本机回环地址的连接LAN 内的其他设备根本看不到这个端口。这不只是默认值而是启动前的硬性检查。CLI 在真正拉起 uvicorn 之前会先调用绑定守卫assert_secure_server_bind(host) # 先检查再启动 uvicorn.run(autocontext.server.app:app, hosthost, portport, ...)相关实现在 cli.py 与 auth.py绑定目标被识别为回环地址localhost、127.x、::1、*.localhost时直接放行绑定到非回环地址如0.0.0.0且未配置认证 Token时直接抛出Refusing to bind the unauthenticated control plane to non-loopback host并拒绝启动只有显式配置了强 Token才允许把服务暴露到网络。也就是说想对外暴露先配置 Bearer Token被写死在启动路径里不存在忘了配认证就裸奔的部署方式。回环地址的判定逻辑见 _is_loopback_host它对localhost、.localhost后缀和 IPv4/IPv6 回环地址都做了归一化处理。第二道防线Bearer Token 认证详解Token 配置要求至少 32 字符的强随机值控制面 Token 通过环境变量AUTOCONTEXT_SERVER_TOKEN配置。resolve_server_auth_token 的校验规则很严格场景行为未设置 / 空值不启用 Token 认证仅允许本机访问长度 32 字符直接抛错拒绝弱 Token长度 ≥ 32 字符正常启用 Bearer 校验HTTP 请求校验常量时间比较防时序攻击每个非/health请求都会经过认证中间件见 app.py。核心校验函数 request_is_authorized 有两个关键设计客户端需在请求头携带Authorization: Bearer token比对使用hmac.compare_digest做常量时间比较防止通过响应时间差逐字符猜测 Token。校验失败返回401 Unauthorized并携带WWW-Authenticate: Bearer realmautocontext头另外还有一层 Origin 白名单检查——非 GET/HEAD/OPTIONS 请求若 Origin 不在 CORS 允许列表默认为localhost:1420、localhost:4173、localhost:3000、tauri://localhost等本地 GUI 应用地址内直接返回403 Forbidden origin。WebSocket 认证用子协议头传递 Token浏览器 WebSocket 无法自定义请求头autocontext 的解法很巧妙把 Token 以autocontext.bearer.base64url的形式编码进Sec-WebSocket-Protocol子协议字段。服务端会解码、校验、并与 Token 做常量时间比较websocket_rejection_code、encode_server_auth_subprotocol。握手不符合要求时用4401/4403私有关闭码静默拒绝不泄露认证细节。无 Token 模式只有真正的本机连接能进来即使没配置 Token也不是敞开大门。tokenless_client_is_local 要求客户端对端地址必须是回环地址如果 ASGI 服务器没有提供对端元数据client_host为None采取fail-closed失败即拒绝策略——元数据缺失不能证明连接来自回环直接按非本机处理。相关行为有完整测试覆盖见 test_server_auth.py。第三道防线沙箱执行边界autocontext 会执行候选策略、生成的 harness 代码以及 REPL 命令这些代码默认不在长生命周期的主进程里跑。官方沙箱文档 sandbox.md 描述了完整体系local 模式一次性可杀子进程 资源限制每次加载或调用策略/校验器代码都会在一个全新的、可被杀死的子进程中执行子进程拿到的是空环境变量、私有工作目录、关闭的继承文件描述符父进程施加 CPU、内存默认 256 MiB、文件大小、打开文件数的限制结果回传限制在 1 MiB 的 JSON 管道上跨信任边界绝不使用 PickleLinux 上还会叠加 seccomp 规则拒绝setsid/setpgid/用户命名空间创建macOS 上设置RLIMIT_NPROC1禁止派生后代进程超时由父进程直接杀死整个子进程组不会留下能继续篡改父进程的孤儿线程。其他执行模式按需选择隔离强度模式适用场景local可信本地开发快速迭代monty解释器级沙箱pydantic-monty低运维开销ssh在显式注册的自有主机上执行primeintellect通过 provider 中立契约跑远程沙箱gondolin预留的 microVM 边界未配置适配器时 fail-closed 拒绝运行防止部署方误以为有 VM 隔离却在本地裸跑需要特别注意的是文档明确指出的信任分级通过scenarios.custom.loader加载自定义场景属于可信本地插件激活路径在控制面进程内 import不是验证沙箱——运维人员不应把知识根目录指向租户可写内容。此外研究工作区的ResearchWorkspace(profileisolated_sandbox)同样要求调用方提供具备全部强制安全控制的 Docker 后端只读根、禁网、资源上限、环境清洗否则直接 fail-closed。加分项出站 URL 的 SSRF 防护autocontext 的抓取/fixture 加载路径默认面向不可信 URLoutbound_url.py 实现了一套 fail-closed 出站策略值得学习DNS 一次解析 地址钉住所有解析出的 IP 都要通过策略校验防止校验时是公网 IP、连接时变成内网 IP的重绑定攻击禁止 3xx 重定向堵住校验过的公网 URL 跳转到内网服务的缺口云元数据端点全面封禁AWS/Azure/GCP/阿里云等169.254.169.254等元数据地址、link-local、组播、保留地址一律拒绝_METADATA_ADDRESSES响应体限额 全局超时默认 JSON 响应 2 MiB、fixture 10 MiB全程受 deadline 约束。另外config/security.py 中两个默认关闭的兼容性开关unsafe_openclaw_executable_artifacts_enabled、openclaw_allow_private_network_endpoint也体现了同一思路危险路径默认关闭即使开启也依然封禁云元数据端点。部署速查清单 ✅本机使用什么都不用配autoctx serve默认127.0.0.1:8000无 Token 也能安全运行需要跨机访问设置AUTOCONTEXT_SERVER_TOKEN≥ 32 字符随机值客户端请求带Authorization: Bearer token头浏览器 WebSocket 客户端将 Token 编码为autocontext.bearer.base64url子协议传入执行不可信代码local模式仅限可信本机跨互不信任的代码作者请使用monty或远程/容器适配器需要强制隔离文件/网络/密钥/内存配置 Gondolin microVM 适配器在此之前它会 fail-closed。小结autocontext 的安全模型可以概括为默认保守、逐层收紧Loopback 默认绑定把攻击面先压到本机Bearer Token 用常量时间比较和 WebSocket 子协议补齐跨机认证子进程沙箱、AST 检查与 seccomp 把生成代码关进笼子出站 URL 策略再用 DNS 钉住和重定向禁令堵死 SSRF。对普通用户来说默认配置就是安全配置——只有当你主动突破每一道边界时系统才会要求你付出对应的认证或隔离成本。 更多细节可参考官方文档Sandbox Modes、Background execution trust boundaries赞分享【免费下载链接】autocontexta recursive self-improving harness designed to help your agents (and future iterations of those agents) succeed on any task项目地址https://gitcode.com/gh_mirrors/aut/autocontext点击查看免费下载相关推荐ClawGUI安全设计解析执行沙箱、网络限制与工具权限如何构建防线ClawGUI安全设计解析执行沙箱、网络限制与工具权限如何构建防线 ClawGUI 是一个一站式构建、评估与部署 GUI Agent 的开源框架覆盖在线强化本地 MCP 服务器安全加固实战MCPB 无沙箱环境下如何守住工具调用边界本地 MCP 服务器安全加固实战MCPB 无沙箱环境下如何守住工具调用边界 本文聚焦 claude plugins official 仓库中 build mcAI 插件开发工具插件系统OpenSquilla 沙箱安全模型Safe 模式与 Full Access 的执行边界、策略与故障降级OpenSquilla 沙箱安全模型Safe 模式与 Full Access 的执行边界、策略与故障降级 导读 OpenSquilla 以两种截然不同的执行姿人工智能大模型AI Agent交互助手工具调用MCP 服务Agent 记忆RAG本地部署创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
