Исследование посвящено проверке работы ограничений безопасности внутри песочниц ИИ-агентов. Тестирование проводилось на хосте с ядром Linux 6.8.0-138-generic и ОС Ubuntu 22.04, а также в средах gVisor релизов 20260817.0 и 20260831.0.
Проверки механизма Landlock показали, что в обоих релизах gVisor все три системных вызова возвращают ENOSYS. В отличие от хоста, где интерфейс возвращал ABI 4, в gVisor реализация отсутствовала, что делает невозможным применение запланированных ограничений через этот инструмент.
Эксперименты с BPF-программами типа CGROUP_DEVICE продемонстрировали, что gVisor принимает загрузку и подключение фильтров, но не ограничивает доступ к устройствам. Файлы /dev/null и /dev/zero оставались доступными, что доказывает: успешная настройка не гарантирует работу запрета.
Тестирование классического BPF-фильтра на сокетах выявило расхождение: на Linux пакеты отбрасывались после установки фильтра, тогда как в gVisor они продолжали поступать, несмотря на успешный вызов setsockopt. Это подтверждает, что статус выполнения команды не отражает реальный эффект.
Для корректной работы обвязки инструментов предложен трехэтапный сценарий приемки: проверка выполнения действия до ограничений, подтверждение принятия настроек и верификация того, что запрещенные операции блокируются, а разрешенные остаются доступными. Тесты должны проводиться в целевой среде.
