← 返回主页

安全模型

EnvoyMesh 必须在帮助网络之前保护所有者。

最重要的规则是：Envoy 不允许浏览所有者的计算机。它只能访问明确批准的数据和能力。

威胁

提示注入

远程对等方可能发送恶意消息，试图说服智能体泄露隐私信息、忽略策略或调用未经授权的工具。

缓解措施：

• 使用严格的模式验证所有入站消息。
• 在调用 LLM 之前评估信任策略。
• 将敏感操作保持在自由格式模型控制之外。
• 在发送给对等方之前编辑响应。

文件系统泄露

错误或被入侵的智能体可能尝试读取共享保险箱外的私人文件。

缓解措施：

• 在沙盒进程中运行文件读取逻辑。
• 仅挂载批准的保险箱路径。
• 使用默认拒绝权限。
• 将机密和密钥材料保存在智能体运行时之外。

身份欺骗

攻击者可能冒充可信的朋友。

缓解措施：

• 要求签名消息。
• 将对等身份绑定到公钥。
• 本地存储信任决策。
• 支持撤销和密钥轮换。

女巫攻击

攻击者可能创建许多虚假对等方，以显得可信或使节点不堪重负。

缓解措施：

• 对未知对等方进行速率限制。
• 要求陌生人进行挑战工作流。
• 优先选择直接信任和推荐，而非公共发现。
• 避免仅基于网络存在授予有意义的访问权限。

数据过度共享

Envoy 可能在只需要摘要时共享原始文档。

缓解措施：

• 为每个对等方和每个文档分配权限。
• 默认未知对等方只能访问元数据或无访问权限。
• 要求所有者批准原始文件传输。
• 保留出站披露的审计日志。

安全边界

外交官

外交官是面向网络的组件。它处理 libp2p 连接、消息解析、对等身份和速率限制。

它不应直接访问私有文件系统或模型工具。

绑定引擎

绑定引擎做出授权决策。它将对等身份和请求意图转换为允许、拒绝、挑战或需要批准的决策。

它应该是确定性的且可测试的。

大脑

大脑执行本地推理、摘要和检索增强回答。

它应该只接收来自保险箱的批准上下文。它不应该能够进行任意出站网络调用。

Envoy Harness

Envoy Harness 在您的主节点上运行编程智能体，受与 EnvoyAI 相同的绑定引擎和审批队列约束。超出策略、触及敏感路径或运行 shell 命令的工具调用，会在执行前进入主节点上的所有者审批 — 桌面 Social、Terminal 与配对的 EnvoyGo 展示相同的待办项。Harness 不会绕过保险箱路径安全，也不会向外部编程运行时授予 libp2p 密钥。

保险箱

保险箱包含所有者批准的共享数据。

只有保险箱内的数据才能被索引或共享。对保险箱的访问仍应通过文档级策略进行调节。

最小权限模型

每个请求应使用以下内容进行评估：

• 发送者身份。
• 发送者绑定等级。
• 意图类型。
• 目标资源。
• 请求的操作。
• 最大响应敏感度。
• 是否请求原始文件传输。

示例操作：

• metadata.read
• summary.read
• snippet.read
• file.read
• task.submit
• state.sync

示例敏感度级别：

• public（公开）
• friends（朋友）
• trusted（可信）
• private（私有）

推荐的首个版本规则

对于第一个原型，使用保守规则：

• 未知对等方只能请求绑定工作流。
• 可信对等方可以提出知识查询，但只接收摘要。
• 原始文件共享需要明确的所有者批准。
• Envoy 只能从 shared_vault/ 读取。
• LLM 工作器无法访问网络。
• 所有入站和出站消息都在本地记录。

审计日志

每一次有意义的交换都应该创建一个审计事件：

• 时间戳。
• 对等方 ID。
• 已验证的公钥。
• 意图。
• 决策。
• 访问的资源。
• 数据敏感度。
• 响应类型。

审计日志帮助所有者了解他们离线时 Envoy 做了什么。