ความปลอดภัยระดับองค์กรจากการออกแบบ
EDDI ขจัดช่องโหว่ทั้งหมดจากการออกแบบ ไม่มี eval() ไม่มี code execution blocks
ทำไมเรื่องนี้จึงสำคัญตอนนี้
ระบบนิเวศของ AI Agent อยู่ภายใต้แรงกดดันด้านความปลอดภัยที่ไม่เคยเกิดขึ้นมาก่อน ในช่วงต้นปี 2026 มีการเปิดเผยช่องโหว่ร้ายแรงหลายร้อยรายการต่อสาธารณะในเฟรมเวิร์กเอเจนต์โอเพนซอร์สรายใหญ่ รวมถึงช่องโหว่ remote code execution ระดับ CVSS 10.0, การหลุดออกจาก sandbox และการข้ามการตรวจสอบสิทธิ์ สาเหตุหลักในกรณีส่วนใหญ่คือ แพลตฟอร์มที่รันโค้ดจากผู้ใช้หรือโค้ดที่สร้างขึ้นแบบไดนามิก ณ runtime
Cloud Security Alliance ระบุว่ามี "ช่องว่างการเปิดเผยข้อมูล AI Agent" ในระดับระบบ
การป้องกันเชิงสถาปัตยกรรมของ EDDI
แทนที่จะพยายามจำกัดพื้นที่ (sandbox) การรันโค้ด EDDI กำจัดพื้นที่ผิวการโจมตีออกทั้งหมด
คุณสมบัติด้านความปลอดภัย
- Zero eval() ไม่มี dynamic code execution
- OIDC/Keycloak enterprise authentication พร้อม RBAC roles (admin, editor, viewer) และ approver role โดยเฉพาะ
- Per-User Workspaces ทุกทรัพยากรการกำหนดค่ามีเจ้าของ มีพื้นที่ส่วนตัวหรือพื้นที่ทีม และการแชร์อย่างชัดเจนในระดับใช้งาน ดู แก้ไข หรือเป็นเจ้าของ
- Connections โมเดล credential เดียวสำหรับการเรียกออกไปภายนอก ตั้งแต่คีย์ระดับองค์กรและ OAuth2 service accounts ไปจนถึงบัญชี OAuth ของผู้ใช้แต่ละคน หรือ credential ที่ระบบผู้เรียกส่งมาในแต่ละคำขอ โดย secret จะอ้างอิงจาก vault เสมอ
- Tool-Result Guardrails ผลลัพธ์ของเครื่องมือทุกรายการระบุแหล่งที่มา และข้อความที่มีลักษณะเป็นคำสั่งภายในผลลัพธ์จะถูกทำเครื่องหมาย ปกปิด เตือน หรือบล็อกก่อนที่โมเดลจะดำเนินการตาม
- Vault Integration จัดการ secrets อย่างปลอดภัย
- Path Traversal Protection input validation
- SSRF Protection การตรวจสอบ URL และ domain allowlist ป้องกัน server-side request forgery และปฏิเสธ cloud metadata endpoints สำหรับเป้าหมาย HTTP call, MCP และ A2A รวมถึงกรณีที่ผ่าน DNS resolution และ redirects
- Cryptographic Audit Trails immutable operation logs
- พร้อมสำหรับ EU AI Act คุณสมบัติการกำกับดูแลในตัวเพื่อการปฏิบัติตามกฎระเบียบ
- การปิดบัง Secret ตัวกรองอัตโนมัติลบคีย์ API, การอ้างอิง vault และข้อมูลที่ละเอียดอ่อนออกจากทุกรายการตรวจสอบ
- การบันทึกที่ปลอดภัยต่อ PII การดำเนินการ GDPR บันทึกนามแฝง SHA-256 ไม่บันทึกตัวระบุผู้ใช้ดิบ
- Sigstore Cosign การเซ็นอิมเมจคอนเทนเนอร์ OIDC แบบไม่ต้องใช้คีย์ ตรวจสอบเข้ารหัสว่าทุกอิมเมจ Docker ถูกสร้างโดย CI อย่างเป็นทางการ
- Hardened Base Image runtime Red Hat UBI 10 ที่ตรึงด้วย digest เผยแพร่ในแคตตาล็อกที่ได้รับการรับรองของ Red Hat
- Secret Context Values ผู้เรียกสามารถมอบ credential ให้เอเจนต์ที่ใช้ได้เพียงเทิร์นเดียว และไม่ถูกจัดเก็บหรือส่งกลับเลย
- Restricted Runtime Templates เทมเพลตที่สร้างจากข้อมูล runtime จะเรนเดอร์บนเอนจินแบบจำกัด ไม่มีสิทธิ์เข้าถึงการกำหนดค่าหรือ bean และมีขีดจำกัดต่อการเรนเดอร์ ส่วนอินพุตของผู้ใช้จะถูกแทนค่าเป็นข้อมูลเสมอ ไม่ถูก parse เป็นเทมเพลต
ไปป์ไลน์ความปลอดภัยอัตโนมัติ
ทุกการเปลี่ยนแปลงต้องผ่านเครื่องมือความปลอดภัยอัตโนมัติ โดย GitHub Action ทุกตัวถูกตรึงด้วย SHA เพื่อป้องกันการโจมตีห่วงโซ่อุปทาน:
- CodeQL การวิเคราะห์ SAST เชิงความหมายด้วยคิวรี
security-extended - Trivy สแกน CVE สำหรับ dependency ระบบไฟล์และอิมเมจ Docker (บล็อกที่ CRITICAL/HIGH)
- Gitleaks สแกนประวัติ Git เพื่อป้องกันการรั่วไหลของ secret และ credential
- Dependency Review dependency ใหม่ที่มีช่องโหว่ที่ทราบแล้วจะถูกแจ้งเตือนใน pull request ที่เพิ่มเข้ามา
- CycloneDX สร้าง SBOM เพื่อความโปร่งใสของห่วงโซ่อุปทาน
- ClusterFuzzLite ร่วมกับ Jazzer การทดสอบ Fuzz แบบนำทางด้วย coverage สำหรับ parser ที่สำคัญด้านความปลอดภัย
- OpenSSF Scorecard ให้คะแนนแนวปฏิบัติด้านความปลอดภัยของห่วงโซ่อุปทานของ repository อย่างต่อเนื่อง
ทำไมกฎจึงควรอยู่นอกโมเดล
Prompt injection คือการโจมตีที่สำคัญที่สุดสำหรับเอเจนต์ที่ใช้เครื่องมือ ในเบนช์มาร์กหนึ่งของเอเจนต์ที่ใช้เครื่องมือ คำสั่งที่ซ่อนอยู่ในทิกเก็ตและ log ทำให้เอเจนต์ทำการที่ไม่ปลอดภัยถึง 82.5% ของครั้งเมื่อไม่มีการป้องกัน การป้องกันระดับ prompt ยังเหลือกรณีไม่ปลอดภัย 10 ถึง 26% มีเพียง policy gate ที่บังคับใช้ ณ จุดเรียกเครื่องมือเท่านั้นที่ลดลงเหลือศูนย์ โดยยังปล่อยการเปลี่ยนแปลงที่ได้รับอนุมัติผ่านไปได้ นี่คือเหตุผลที่ EDDI บังคับใช้กฎในเอนจิน ที่ขอบเขตของเครื่องมือ ซึ่งข้อความที่ถูกแทรกเข้ามาไม่สามารถโน้มน้าวให้ผ่านไปได้ หน้าหลักฐานรวบรวมงานวิจัยไว้
บันทึกการเสริมความแข็งแกร่ง
งานด้านความปลอดภัยดำเนินไปอย่างต่อเนื่อง และเราเผยแพร่สิ่งที่พบ รอบล่าสุด:
- ตุลาคม 2026 (6.6.0) การเสริมความปลอดภัยในการจัดการ secret, ช่องว่างด้านการอนุญาต, คำขอขาออก และค่าเริ่มต้นของการ deploy รวมถึงการแก้ไขโค้ดที่ปล่อยมาใน 6.5.0 และก่อนหน้า จึงแนะนำให้อัปเกรดไม่ว่าจะสนใจฟีเจอร์ใหม่หรือไม่
- กันยายน 2026 (6.5.0) รอบตรวจสอบที่แก้ไขราว 30 จุด ครอบคลุม template injection, SSRF ในการเรียกขาออก, การจัดการคีย์ vault, ขอบเขตของ secret, การอนุญาตในพื้นที่ทำงาน, ตัวตนของช่องทาง และ UI ความปลอดภัยของ Manager โดยแต่ละจุดมี regression test
- สิงหาคม 2026 (6.3.0, 6.4.0) รวม credential ขาออกไว้ใต้ Connections ผลลัพธ์ของเครื่องมือระบุแหล่งที่มาและปกปิดข้อความที่มีลักษณะเป็นคำสั่ง และบังคับใช้การมอบสิทธิ์ vault ให้เอเจนต์
- กรกฎาคม 2026 (6.2.0) แคชผลลัพธ์เครื่องมือแยกตามตัวตน ปกปิด secret ออกจาก live tool trace และการเปรียบเทียบ audit HMAC แบบ constant-time
การบูรณาการธรรมาภิบาลและการปฏิบัติตามข้อกำหนด
ความสามารถด้านความปลอดภัยป้อนเข้าสู่กรอบการปฏิบัติตามข้อกำหนดของ EDDI โดยตรง ร่องรอยการตรวจสอบที่เปลี่ยนแปลงไม่ได้รองรับข้อกำหนดการเก็บบันทึกของ EU AI Act (มาตรา 12) การติดตามไปป์ไลน์ให้ความโปร่งใสในการตัดสินใจของ AI (มาตรา 13) และ UI การจัดการช่วยให้มนุษย์กำกับดูแลได้พร้อมความสามารถในการหยุดฉุกเฉิน (มาตรา 14) โครงสร้างพื้นฐานเดียวกันรองรับ GDPR, HIPAA, SOC 2 และกรอบกฎระเบียบเพิ่มเติม 15+ กรอบ ทั้งหมดผ่าน API รวมเดียว