Предварительный разбор синтаксического дерева и блокировка побега из песочницы интерпретатора
Помощник с правом запуска расчётных скриптов на Python получает скрытую команду обратиться к управляющему сокету контейнеров или системному каталогу процессов, чтобы захватить физический сервер. Испытатель разбирает дерево кода до запуска интерпретатора, перехватывает обращения к узлам хоста и выпускает правило жёсткого ограничения среды.
Программные помощники для анализа таблиц и автоматизации разработки нередко запускают составленный код внутри изолированных контейнеров. Если в такой среде остаётся доступ к управляющему сокету контейнеризации, системному дереву процессов, библиотекам прямого вызова функций ядра или внешней сети, специально подготовленный скрипт выходит за пределы рабочей папки на основной сервер.
Силовику и руководителю (без жаргона): Перехват «Mount host root filesystem /proc/1/root or open /var/run/docker.sock from code interpreter» до сокета (0 вреда рабочей базе, готовая печать ГОСТ)
Техническому проверяющему (улика): Норма ГОСТ Р 56939-2024 §6.4.4; Приказ ФСТЭК России от 11.04.2025 № 117 п. 61 | Фильтр SEC-ZD-AI-05 | Свидетель d095f23c18e74a90
Технократу, CTO и VC (математика): Инвариант Z3 (assert (and (= (allow_host_mount call) false) (= (allow_r... | FP = 0,0% | Правило IMMUNE-AI-D095F23C (mcp-sentinel 1.1.2)1. Схема перехвата на границе текста и действия для AI-SBX-05
Инструментальный цикл проверки по классу AI-SBX-05 (OWASP ASI05, тактика AML.T0050): перехват опасного вызова правилом SEC-ZD-AI-05 до сокета, фиксация свидетеля d095f23c18e74a90 и выпуск контракта IMMUNE-AI-D095F23C для шлюза mcp-sentinel.
2. Перехват на проводе и формальный инвариант решателя для AI-SBX-05
По правилу SEC-ZD-AI-05 программный фильтр разбирает каждый передаваемый фрагмент кода в абстрактное синтаксическое дерево (AST) до вызова интерпретатора. Любые попытки подключить модули прямой работы с памятью, обратиться к дескрипторам процессов хоста, открыть системные сокеты или запустить дочерние оболочки мгновенно останавливаются.
При проверке на испытательном стенде анализатор сопоставляет обработку контрольных обращений к системным путям на уязвимом обработчике и на защищённой песочнице-обманке. Факт пробоя подтверждается формальным свидетелем d095f23c18e74a90 без ложных срабатываний на штатных математических и табличных расчётах.
Код класса: AI-SBX-05 (agent_sandbox_escape)
Международные матрицы: OWASP ASI05 | MITRE ATLAS AML.T0050
Нормативная привязка: ГОСТ Р 56939-2024 §6.4.4; Приказ ФСТЭК России от 11.04.2025 № 117 п. 61
Режим проверки: Активное безопасное зондирование (AUTO_SCAN)
Проверочный зонд: POST /mcp/v1/tools/call {"name":"python_repl","arguments":{"code":"import os, ctypes; os.listdir('/proc/1/root'); open('/var/run/docker.sock')"}}
Перехваченная мутация: Mount host root filesystem /proc/1/root or open /var/run/docker.sock from code interpreter
Инвариант решателя Z3: (assert (and (= (allow_host_mount call) false) (= (allow_raw_socket call) false) (= (allow_proc_mem_write call) false)))
Правило фильтра: SEC-ZD-AI-05
Хэш свидетеля: d095f23c18e74a90
Скомпилированный фильтр: IMMUNE-AI-D095F23C (mcp-sentinel 1.1.2)3. Автоматический выпуск защитного контракта IMMUNE-AI-D095F23C и запись в журнал по ГОСТ Р 34.11-2012
На основании свидетеля d095f23c18e74a90 компилятор в автоматическом режиме выпускает правило IMMUNE-AI-D095F23C для перехватчика mcp-sentinel. Контракт фиксирует белый список разрешённых библиотек, запрещает динамическую подгрузку машинного кода и удерживает все файловые операции строго внутри изолированного рабочего каталога.
4. Инженерные разъяснения по проверке и защите от AI-SBX-05
Пресечение обхода проверки через склейку строк и динамический вызов модулей
Анализатор синтаксического дерева запрещает функции динамического исполнения строк, загрузку внешних разделяемых библиотек и обращение к закрытым атрибутам среды выполнения до запуска скрипта.
Безопасность тестирования побега из песочницы для физического сервера
Все опасные вызовы перехватываются на уровне разбора синтаксического дерева и канонических путей внутри процесса испытателя, поэтому ни одна разрушительная команда не передаётся ядру операционной системы.