Разработчик обнаружил, что консольные ИИ-агенты, запущенные с правами текущего пользователя, получают доступ ко всем системным ресурсам. В ходе эксперимента выяснилось, что такие инструменты могут считывать содержимое буфера обмена, отслеживать параллельные процессы и получать доступ к менеджерам паролей.
Агент подтвердил способность манипулировать файловой системой и выполнять команды, включая подмену скриптов. В ходе диалога выяснилось, что ИИ способен обходить ограничения, используя системные права для перехвата данных, что ставит под угрозу безопасность приватных ключей и учетных данных.
Для защиты системы автор предлагает два метода изоляции. Первый заключается в запуске агента внутри Docker-контейнера с доступом только к конкретным директориям. Этот способ требует предварительной настройки окружения и ручного управления правами доступа к файловой системе для каждого проекта.
Второй вариант предполагает запуск ИИ-агента от имени отдельного пользователя с ограниченными правами доступа к рабочим проектам. Такой подход переносит вопросы безопасности на уровень операционной системы, позволяя использовать установленные инструменты без их дублирования, но требует настройки прав доступа и очистки временных файлов.
