Claude Code-ийн хамгаалалт тайлагдав: Anthropic өөрийн нууц Cloud PaaS "Antspace"-ийг бүтээж байгаа нь илчлэгдлээ

Сүүлийн үед хиймэл оюунт код бичигч агентууд терминал болон хөгжүүлэлтийн орчинд бүрэн эрхтэйгээр дураараа ажиллах болсон билээ. Гэвч энэхүү эрсдэлтэй орчныг хөгжүүлэгчийн бодит системээс хэрхэн тусгаарлаж, аюулгүй ажиллуулж байгаа нь AI компаниудын хамгийн чанд нууцалдаг сэдэв байсаар ирсэн.

Тэгвэл аюулгүй байдлын бие даасан судлаач AprilNEA Claude Code-ийн сэндбокс (sandbox) орчныг задлан шинжилж (reverse-engineering), олон нийтэд дэлгэсэн нь дэлхийн технологийн ертөнц, тэр дундаа Hacker News-ийн тэргүүн эгнээг шуугиулж эхэллээ. Судлаачийн тайланд дурдсанаар Anthropic зөвхөн аюулгүй тусгаарлалтын архитектур бүтээгээд зогсохгүй, Vercel болон уламжлалт Cloud PaaS үйлчилгээ үзүүлэгчидтэй өрсөлдөхүйц "Antspace" хэмээх цоо шинэ нууц байршуулалтын (deployment) платформыг систем дотроо бэлэн угсарчээ.

Firecracker MicroVM ба Rust дээр бичигдсэн PID 1

Claude Code зэрэг агентуудад дурын bash тушаал ажиллуулах эрх өгөхөд Docker контейнер нь хангалттай хамгаалалт болж чаддаггүй (container breakout халдлагын эрсдэлтэй). Иймээс Anthropic өөрийн cloud орчинд AWS-ийн KVM дээр суурилсан Firecracker microVM-ийг ашиглаж байгааг уг судалгаа нотолсон байна.

Судлаачийн олж тогтоосноор эдгээр microVM-үүдэд уламжлалт systemd, init, эсвэл sshd зэрэг ямар ч процесс байхгүй, ACPI хүснэгт нь "FIRECK" гэж гарын үсэг зурагдсан маш хөнгөн үйлдлийн систем ажилладаг. Хамгийн сонирхолтой нь үйлдлийн системийн хамгийн анхны эх процесс буюу PID 1-ээр Rust болон Tokio сан дээр бичигдсэн ердөө 3.1MB хэмжээтэй /process_api гэх тусгай бинар суусан байжээ.

Энэхүү бинар нь:

• 2024-р порт дээр дотоод WebSocket API үүсгэж, агентын үүсгэх процесс бүрийн stdin, stdout, stderr урсгалыг хоёртын (binary) форматаар бодит хугацаанд дамжуулдаг.
• Дотооддоо Linux-ийн cgroups тохиргоо болон custom OOM Killer удирдлагыг шууд гүйцэтгэдэг.
• Snapstart Architecture: Виртуал машиныг 0-ээс эхлүүлж секунд алдахгүйн тулд урьдчилан ачаалсан Template VM snapshot-ийг хэдхэн миллисекундийн дотор сэргээж (restore), хэрэглэгчийн ext4 дискний хэсгийг шууд hot-swap хийн pivot_root-ээр сольж холбодог.

Түлхүүр нууц: environment-manager ба "Antspace"

Судалгааны хамгийн дуулиантай олдвор нь сэндбокс доторх /usr/local/bin/environment-runner нэртэй 27MB хэмжээтэй Go бинар байв. Anthropic-ийн инженерүүд уг бинарыг компиляци хийхдээ алдаа шалгах тэмдэглэгээнүүдийг (debug symbols) арилгаагүй үлдээсэн нь дотоод архитектур бүхэлдээ ил болох нөхцөлийг бүрдүүлжээ.

Уг бинарын эх кодыг задлан шинжлэхэд систем дотор кодоо байршуулах хоёрхон target (чиглэл) тодорхойлогдсон байв:

1. Vercel — Олон нийтэд зарлагдсан, түгээмэл ашиглагддаг нээлттэй integration.
2. Antspace — Өнөөг хүртэл Anthropic-ийн ямар ч баримт бичигт дурдагдаагүй, бүрэн нууцлагдмал Cloud PaaS платформ.

Энэхүү "Antspace" нь бие даасан байршуулалтын бүрэн протоколтой аж. Агент кодоо эмхэтгээд dist.tar.gz архив үүсгэж multipart/form-data-аар дамжуулан, явцын мэдээллийг NDJSON (Newline Delimited JSON) хэлбэрээр дамжуулдаг (packaging -> uploading -> building -> deploying -> deployed). Энэ нь өөрийн гэсэн Dynamic Control Plane болон Bearer токен бүхий бие даасан сервергүй байршуулалтын (serverless platform) дэд бүтэц юм.

Claude зөвхөн код бичих биш, өөрийн үүлэн дээр ажиллуулах нь

Энэхүү шинэ олдвор нь Claude.ai-ийн дотоод "Baku" төслийн зорилгыг бүрэн илчилж байна. Хэрэглэгч чат дээр "Надад вэб апп хийгээд өг" гэж бичихэд Claude автоматаар Vite + React + TypeScript загвар үүсгэж, Supabase өгөгдлийн санг холбож, бүтээн байгуулалтыг дуусгаад Antspace рүү шууд нийтэлдэг.

Энэ бол хиймэл оюуны салбарын өрсөлдөөний шинэ үе шат юм. Хиймэл оюун нь зөвхөн текст үүсгэдэг эсвэл IDE дотор автоматаар бичвэр нөхдөг "туслах" байхаа больж, "Промптоос шууд Продакшн руу" шилжих бүхэл бүтэн дэд бүтцийг нэг дээвэр дор нэгтгэж байна.

Хэрэв урьд нь хөгжүүлэгчид кодоо Claude-ээр бичүүлээд AWS, Vercel, эсвэл Netlify дээр өөрсдөө гар аргаар деплой хийдэг байсан бол тун удахгүй Anthropic өөрийн "Antspace" экосистемээс хэрэглэгчийг гаргахгүйгээр хостинг, сүлжээ, өгөгдлийн баазыг бүрэн хариуцах боломж бүрдэж байна.

Хөгжүүлэгчдэд юуг анхааруулж байна вэ?

Энэхүү задлан шинжилгээ нь программ хангамжийн салбарт хоёр томоохон сургамжийг өгч байна:

• Аюулгүй байдлын жишиг: Агентуудад терминал дээр ажиллах эрх чөлөө олгохын тулд бид хэзээ ч энгийн Docker контейнерт найдаж болохгүй; оронд нь Firecracker зэрэг хөнгөн microVM-үүдийг dynamic snapshotting технологитой хослуулан ашиглах нь стандартын шаардлага болжээ.
• Cloud үйлчилгээний дахин хуваарилалт: Cloud дэд бүтцийн зах зээлийн өрсөлдөөн LLM компаниуд руу шилжиж эхэллээ. Хэрэв хиймэл оюун код бичих төдийгүй түүнийг ажиллуулах серверээ өөрөө шийдэж эхэлбэл, бидний мэддэг уламжлалт DevOps болон Cloud PaaS-ийн тодорхойлолт үндсээрээ өөрчлөгдөх нь тодорхой байна.

Эх сурвалж: Hacker News, AprilNEA Blog (Reverse-Engineering Claude Code Web's MicroVM: Uncovering Anthropic's Hidden Antspace), GitHub (AprilNEA/reverse-engineering-claude-code-antspace).