安全责任共担模型

安全组与 vSwitch：配置独立企业安全组（组内隔离 + 端口矩阵），使用独立 vSwitch 隔离控制面，切勿与集群控制面交换机混用。

配合使用网络策略：使用 enhanced-traffic-policy 模式获得 L4 + L7 完整管控能力。

默认拒绝 + 白名单放行：TrafficPolicy（L4）实现默认拒绝所有内网访问，仅白名单放行必要外部访问；配置时须先放行 CoreDNS/API Server/manager/gateway/agent-identity 等系统组件，避免 deny-all 误伤。

内网与元数据隔离：封禁 ECS 元数据服务和内网网段，阻止凭证窃取与横向移动。

全集群基线：用 GlobalTrafficPolicy 建立全集群兜底基线并硬禁元数据服务。

L7 出站精细控制：用 SecurityProfile 配置域名白名单，封锁 /admin、/console 等管理路径（防 SSRF）及非标准端口（防审计绕过）。

HTTPS 流量管控：启用 TLS termination，使加密流量也受 SecurityProfile 管控。

入站管控：限制 Ingress 仅允许管控组件网段访问；启用控制面/数据面流量分离（SandboxGateway）；按需在网关层叠加入站流量认证——优先选用基于 JWT 的动态令牌认证（E2B-Traffic-Access-Token）而非静态 Access Token。

审计追踪：启用审计 Webhook 实现安全事件可追踪。

凭据不落沙箱：使用 Agent Identity 凭据注入替代明文凭证，沙箱内仅放占位符，真实凭据由网关层替换。

最小权限 + 每实例动态收窄：阿里云 API 凭证使用 STS + RRSA 临时凭据；CredentialProvider 的 RAM policy 必须是角色权限的子集，用模板变量/函数按每个沙箱实例动态收窄至声明的 Bucket/subPath。

凭据可靠性：failStrategy 设为 Block，凭据获取失败时阻止请求；提前申请足够 STS API 配额，避免配额不足导致注入失败。

API Key 管理：密钥隔离、定期轮换、监控使用、及时清理。

禁用敏感注入：设置 automountServiceAccountToken: false、enableServiceLinks: false，清洗/覆盖 Kubernetes 环境变量。

只读优先：共享存储默认 readOnly: true。

租户隔离：使用 subPath 隔离不同租户数据子目录。

OSS 认证用 Agent Identity：OSS 凭据统一采用 Agent Identity（RRSA + STS）+ 模板函数动态收窄，替换静态 AccessKey；PV 使用 Agent Identity 时无需 Secret，otherOpts 必须带 -o sigv4 -o region=<region-id>，<region-id>请参考ACS产品开服地域说明。

加密传输：使用 HTTPS internal endpoint 访问 OSS。

特权风险承担：CSI 动态挂载需要特权容器和 hostPath，客户需认识并承担这一额外风险，仅在确需时启用。

业务镜像安全：镜像内容不含任何凭证，做好供应链安全。

沙箱内代码安全：对沙箱内运行的 Agent 代码、Skill/Tools/MCP Server 的行为安全负责——必须假设沙箱内代码可能被提示注入攻击。

业务数据安全：业务数据的分类、加密、访问控制。

禁用宿主命名空间共享：hostNetwork / hostPID / hostIPC 保持默认 false，禁止沙箱窥探宿主网络、进程与 IPC，避免逃逸后横向探测。

保持沙箱强隔离运行时：使用平台默认的 microVM/安全容器运行时承载不可信代码，不得替换为共享内核的普通容器或降级隔离等级；不启用 privileged、不添加危险 capabilities（如 SYS_ADMIN、NET_RAW）、不挂载 hostPath。

AI 专属安全基线：将 Agent 应用纳入 Agent 安全中心定期扫描，关注 Gateway 绑定地址、明文密码、Skill 白名单、未授权访问。

运行时实时防护：为生产 Agent 部署运行时护栏，实时拦截提示注入、恶意命令执行。

事件响应预案：预配置沙箱挖矿、STS 凭据滥用、反弹 Shell、数据外泄等应急响应预案。

纵深防御协同：ACS Agent Sandbox（基线）+ Agent 安全中心（运行时）+ Agentic SOC（威胁响应）三层协同。