kiểm chứng, đừng tin

Hãy chứng minh. Tự mình tấn công nó.

Mọi khẳng định trên website này đều có một nút trên trang này, nối với hệ thống thật đang chạy: một cơ sở dữ liệu thật với bảo mật cấp hàng, hàng đợi phê duyệt thật, công tắc ngắt thật. Không phải bản ghi.

01, cô lập tenant

🔒 viên ngọc quý · đang chạy

Hãy thử phá sự cô lập tenant. Xem nó đứng vững.

Hai tenant sandbox, mỗi tenant có một ghi chú riêng. Alpha sở hữu một công cụ dùng chung và đã cấp quyền dùng nó cho Beta. Khi Beta gọi công cụ, kể cả khi yêu cầu rõ ràng dữ liệu của Alpha, Postgres không trả về gì, vì công cụ chạy trong phạm vi của Beta. Nó chạy trực tiếp trên một cơ sở dữ liệu thật với row-level security và một vai trò NOBYPASSRLS. Chưa đợt kiểm định nào vượt qua được chính sách ở cơ sở dữ liệu; lỗ rò giữa các tenant duy nhất được phát hiện (tháng 7) nằm ở lịch sử chat lưu bên ngoài cơ sở dữ liệu, và đã được sửa. Không phải kịch bản dựng sẵn, hãy bấm nút.

Điều này chứng minh: một lần đọc công cụ dùng chung, trên hai tenant sandbox, không trả về gì. Không chứng minh: rằng bộ nhớ, cache, dữ liệu xuất hay tác vụ nền được cô lập, hay rằng mọi request đều gắn với đúng tenant.

tenant Bcông cụ dùng chung →dữ liệu của tenant A

B gọi công cụ của A, yêu cầu rõ ràng dữ liệu của A.
Nhấn Run, xem RLS trả về không hàng nào.

Cơ chế: chính sách thực tế, không phải sơ đồ:

ALTER TABLE bookings ENABLE ROW LEVEL SECURITY;
ALTER TABLE bookings FORCE  ROW LEVEL SECURITY;          -- even the table owner obeys it
CREATE POLICY tenant_isolation ON bookings
  USING (tenant_id = NULLIF(current_setting('app.current_tenant', true), '')::uuid);

-- Two roles: migrations run as the owner; the runtime connects as pantheon_app
-- (NOBYPASSRLS), so app code cannot switch the policy off. It relies on the right tenant being set per request.
-- Per request:  SET LOCAL app.current_tenant = '<id>'   →   no context ⇒ zero rows.

Một cổng gác và song chắn cổng của nó. Bản khắc do Runway tạo và làm chuyển động.

02, hành động có quản trị

⛔ quản trị · trực tiếp

Xem một hành động rủi ro cao được quản trị.

Yêu cầu sandbox làm một việc có hệ quả, đăng một thông báo công khai (tier-3). Nó không chỉ đơn giản là chạy. Hành động được phân loại, kiểm tra với kill switch, và chờ một người duyệt. Bạn phê duyệt, rồi nó mới thực hiện. Bật kill switch và xem tier-3 bị từ chối trước khi kịp vào hàng đợi.

công tắc ngắt

Điều này chứng minh: một hành động demo tier-3 được đưa vào hàng đợi chờ một người, và kill switch chặn nó. Không chứng minh: rằng mọi hành động thật đều được phân loại là tier-3 khi cần thiết.

tier-3→hàng đợi phê duyệt→con người

Nó không chạy. nó xếp hàng chờ. Gửi một cái, rồi duyệt hoặc từ chối.
Bật công tắc ngắt để dừng nó trước khi nó kịp vào hàng chờ.

03, đánh giá tái lập được

eval · trực tiếp · ~15s

Bản kiểm toán, tái lập được. Hãy tự chạy.

Một bài đánh giá quản trị, các tình huống đối kháng được chấm đạt/không đạt với trợ lý thật và sandbox đang chạy, ngay lúc này. Không phải huy hiệu; là một nút bấm. Cùng ý tưởng với các cuộc kiểm toán liên tục củng cố nó, gần nhất là một cuộc kiểm toán 50 agent và một cuộc tái kiểm toán 14 góc nhìn: thăm dò, rồi xác minh.

Điều này chứng minh: năm trường hợp cố định hiện vượt qua trên hệ thống đang chạy; mỗi kết quả kèm một biên nhận (trường hợp, kỳ vọng, quan sát, thời gian, bản build). Không chứng minh: khả năng chống chịu trước các tấn công nằm ngoài năm trường hợp này.

Các đợt kiểm toán đã phát hiện gì → Chất vấn trợ lý trực tiếp →

5 tình huống đối kháng
cô lập · quản trị · an toàn · injection · trung thực

Chấm đạt/không đạt trên hệ thống thật. Nhấn Chạy.

04, giao thức mở

🔌 MCP · đang chạy

Hướng AI của bạn vào AI của tôi, qua giao thức mở.

PANTHEON nói Model Context Protocol theo cả hai chiều: nó có thể dùng các công cụ MCP bên ngoài dưới sự quản trị, và, đang chạy thật, ngay tại đây, nó cung cấp chính các agent được quản trị của mình dưới dạng công cụ MCP. Nói thẳng nhé, nối MCP vào chỉ là việc của một cuối tuần. Điều quan trọng là những gì bao quanh nó, và tôi không muốn bạn chỉ tin lời tôi. Hãy kết nối client của riêng bạn và bắt nó tự chứng minh. Giao thức chỉ là ổ cắm. Quản trị mới là điểm chính.

npx mcp-remote https://pantheonlabs.co.uk/mcp --header "Authorization: Bearer <mint a token →>"

Dùng bất kỳ MCP client nào, Claude Desktop (qua mcp-remote), MCP Inspector, Cursor, Cline. Nó chạy trên một token sandbox ẩn danh ngắn hạn, được cấp theo yêu cầu.

Rồi xem nó tự quản trị. Hỏi trợ lý bất cứ điều gì, credits_spent được trả về trong mọi lệnh gọi, nên không gì có thể thấu chi. Sau đó yêu cầu nó thực hiện một hành động: đó là một lệnh gọi tier-3, và nó không bao giờ được thực thi, nó bị giữ lại ở cổng phân quyền, chờ một con người. Chính bạn đã gây ra lời từ chối đó. Đó không phải một ảnh chụp màn hình trong slide.

Những gì bạn có thể truy cập: một trợ lý trả lời được quản trị + một hành động "gate demo" cố ý vô hại. Một sandbox ẩn danh có giới hạn tần suất, không có dữ liệu thật, không có hành động dùng tiền thật. Thử dò một công cụ không tồn tại và bạn nhận cùng lỗi như với một công cụ bạn không được cấp quyền, nên các lỗi không để lộ gì.

05: người xây dựng

Mọi thứ bạn vừa tấn công đều do một người xây dựng.

Bạn không tin điều gì chỉ dựa vào lời nói; bạn đã tự chạy nó. Nếu bạn muốn những hệ thống được xây để trụ vững trước một trang như thế này, hãy trò chuyện.

Liên hệ →