資安筆記
Hsin
東西都該是你的。但你不必自己跑。
「我們六個人，沒有人可以管一個雲端帳號」是對昨天那篇很合理的反問， 而答案不是「那你去請一個 ops」。擁有一個東西跟營運它是兩份工作。 談四件永遠不能交出去的東西、判斷委託關係的四題， 以及沒有 IT 部門要怎麼搬出來。
來自一個開源 Agent runtime 團隊的工程筆記——sandbox 設計、LXC 與 Incus 內部機制、 容器隔離、eBPF 網路政策，以及對這個領域各家工具的誠實比較。 我們寫的是真的壞掉了什麼，不是只寫出貨了什麼。
這裡只列有繁體中文版本的文章。多數文章目前只有英文，完整列表請看 英文部落格。
「我們六個人，沒有人可以管一個雲端帳號」是對昨天那篇很合理的反問， 而答案不是「那你去請一個 ops」。擁有一個東西跟營運它是兩份工作。 談四件永遠不能交出去的東西、判斷委託關係的四題， 以及沒有 IT 部門要怎麼搬出來。
官方說只有環境變數被定向導出，社群傳言說整包資料都在外面——你無法驗證任何一邊， 而這個驗證缺口正是把託管權交出去時簽下的條款。 談信任、驗證、託管權三個層級，以及 BYOC 的四條規則。
某 PaaS 平台環境變數外洩，API Key 直接躺在外面。這類事件的洩漏路徑不是橫向移動， 而是單一秘密儲存被一次撈走全部租戶——網路隔離擋不住。 事發第一小時該做什麼、真正的隔離軸為什麼是加密邊界，以及安全邊界的七條規則。
大家都會用 Coding Agent 寫 code，但幾乎沒人在講怎麼讓它 Scale Up。 說白了就兩件事：軟體品質管理流程，跟 Agent Sandbox。 誰都不會污染誰的環境，也不會炸到你的筆電。