博客
Replit 安全智能体工作背后的架构赋能企业在 Replit 的 Agent Habitat 中借助 AI 开展更具雄心的工作，并获得所需的安全与治理保障。
发布于：
2026年10月28日
Luis Héctor Chávez
上周的 安全披露 让我们得以一窥未来的挑战。关键漏洞出现在互联网大量依赖的软件中。AI 智能体正让漏洞的发现变得更快、更容易，而从发现到被利用的时间也在不断缩短。
企业越来越需要智能体既能防御威胁，又能改变工作方式。随着智能体承担更多责任，安全必须与自主性同步扩展。
Palo Alto Networks 首席执行官 Nikesh Arora 最近提出了一个问题 ，面向每一家采用 AI 的公司：“数十亿美元正被投入到编码中，你的编码框架安全吗？”对于安全负责人，他的建议很明确：为智能体部署建立防护栏，并部署第二双眼睛来监控其漂移、合规性和可验证性。
在 Replit，我们多年来一直将安全构建到智能体工作的基础设施中。当这些漏洞上周浮出水面时，正是这一基础使我们能够 快速、有效且大规模地响应。我们现有的隔离防护阻止了所披露内核漏洞被利用。我们更进一步，修补了受影响的工具并集中部署了防火墙防护，减少了开发者原本需要自行完成的修复工作。
我们相信，下一步是进一步自动化安全响应本身，由人员来定义治理该流程的策略、审批和干预点。
作为我们 Self-Driving Company 蓝图的一部分，我们正通过 Replit 的 Agent Habitat 将这一基础设施和这些能力带给其他公司。Agent Habitat 让智能体在公司控制的边界内访问公司知识和系统，帮助它们将更多工作委派给智能体，同时不放弃对工作完成方式的控制。
面向自驱动公司的安全与治理
要实现自驱动，就需要有保障措施，让公司能够委派工作的同时保持控制。以下四项原则指导我们在 Replit 的 Agent Habitat 中构建这些控制措施：
- 只授予智能体所需的权限。 控制智能体可以访问什么、哪些操作需要审批，以及权限如何在委派中传递。
- 遏制故障并响应漏洞。 隔离执行、保护凭证，并在工作发生的环境中响应漏洞。
- 扩大访问权限，同时让生产变更可问责。 让人员能够参与贡献，同时让生产决策接受工程审查。
- 让委派的工作可问责、数据可治理。 让智能体活动可见、支持调查，并为数据和工作负载建立清晰的边界。
下面，我们将进一步了解这些原则以及 Replit 如何将其付诸实践。
“我们的客户信任 Teamworks 处理敏感的运动健康与表现数据，因此安全和治理不容妥协。我们选择 Replit，是为了帮助我们业务中更多的人改进我们的软件，同时保持我们所需的安全控制和工程监督。”
~ Reed Shaffner，Teamworks 首席技术官
1. 只授予智能体所需的权限
将智能体连接到业务系统就赋予了它权限。如果一项任务只需要读取，但连接也允许写入，那么一次错误或提示注入就可能产生超出任务本身的后果。将访问限制在工作所需的范围内有助于降低这种风险。
Replit 的企业级 连接器管理 让管理员可以控制哪些群组可以使用每个连接，并为自定义 OAuth 连接器定义作用域。 SAML SSO, SCIM 预配和基于角色的权限让公司可以集中管理谁可以构建、协作和发布，并与他们的身份提供商同步。
凭证需要单独且更严格的边界。智能体应当能够发出授权请求，而无需获得其背后可复用的外部凭证的访问权。Replit 将连接器凭证保持在智能体的上下文之外。凭证代理会对每一个请求进行授权，只有在请求获得授权后，才会从保险库中检索凭证并将其添加到传出请求中。这降低了机密通过生成的代码、日志或对话泄露的风险，并提供了超越 OAuth 作用域的更细粒度访问控制。
这些控制措施针对不同的风险。权限决定智能体被授权做什么，而凭证保护有助于防止可复用的机密被泄露。企业还需要治理智能体如何使用其访问的数据，包括它们可以对这些数据采取哪些操作。这些控制措施共同让企业能够将智能体连接到其工作所需的系统，而不会赋予它们对公司账户或可复用凭证的无限制访问权。
2. 遏制故障并响应漏洞
一个在代码上进行试验的智能体不应自动获得对员工笔记本电脑、生产数据库或无关工作负载的访问权。如果智能体或其运行的代码被攻破，隔离有助于限制该故障可能影响的范围。
Replit 在技术栈的每一层提供隔离和遏制，让智能体能够在不承担风险的情况下完成最佳工作。基于我们的 共享责任模型，我们负责保障运行框架、运行时和操作系统的安全。智能体在隔离的云环境中运行。MicroVM 为每个执行环境提供各自的最小内核，从而加强工作负载之间的隔离。对于使用 Replit 托管数据库的应用，开发数据库和生产数据库保持分离。连接器权限为外部系统提供了另一道边界。
在本周的 Linux 内核漏洞披露期间，这一架构发挥了重要作用。Replit 现有的 microVM 架构配合加固的内核配置，阻止了这些 Linux 内核漏洞被利用。客户无需针对这些漏洞采取任何行动。这种保护来自漏洞披露之前就已做出的架构决策。
仅靠隔离无法阻止每一个漏洞，保护工作必须在软件发布后持续进行。依赖项和运行时中新披露的缺陷可能带来紧急的修复工作，即使应用自身的代码并未发生变化。
当 Node.js、Python 和 PHP 工具链中发现漏洞时，Replit 修补了我们平台上使用的版本，并向用户提供了已修补的版本。我们还部署了 Web 应用防火墙规则，以拦截适用的漏洞利用。对于需要重新发布应用才能应用补丁的情况，我们已通知用户。
客户还需要了解哪些部分仍然存在漏洞。 Auto-Protect 会根据新披露的漏洞检查项目依赖项，并在启用时自动为匹配的问题准备和测试补丁。Security Center 帮助管理员识别受影响的项目，并根据严重程度和暴露情况确定修复优先级。
这些保护措施共同降低了故障的影响以及响应所需的工作量。隔离限制了受损工作负载可能影响的范围。平台级修复和漏洞工具帮助团队识别并处理仍然存在的风险。
我们还会持续对 Replit 本身进行测试。
自今年年初以来，我们全天候运行 AI 红队测试，数百个智能体结合使用前沿模型和开源模型，协作识别、验证并尝试利用漏洞。这与外部渗透测试、我们的内部渗透测试职能、与 Trail of Bits 和 HackerOne 的合作以及我们的漏洞赏金计划相辅相成。将自动化测试与独立评估和人工专业知识相结合，有助于我们在平台演进过程中发现弱点。这些保护措施是 Replit 更广泛的纵深防御方法的一部分，我们在 Defense in Depth.
中对此进行了描述。3. 扩大访问范围，同时让生产变更可问责
智能体可以帮助最接近问题的人改进他们使用的软件，即使他们不是工程师。但提出变更和批准其进入生产必须保持区分。
Replit 允许领域专家使用智能体对公司代码库进行有针对性的更改并提交拉取请求。智能体在现有仓库的单独分支中准备更改。工程师可以审查代码，在运行中的沙箱中检查代码，并在有帮助时使用截图或视频。随后，智能体可以在现有的审查工作流中处理反馈和失败的检查。
对于在 Replit 中构建的应用，安全审查将自动扫描与 AI 分析相结合。我们关于 保护 AI 生成代码安全的研究 发现，功能上等效的代码可能因语法或提示措辞的不同而获得不同的纯 AI 安全评估结果。依赖项级别的漏洞还需要传统的扫描基础设施。对于企业而言，这种不一致性使得纯 AI 安全检查难以作为一致的基线来依赖。
对于这些应用，我们的 Security Agent 结合了静态分析、依赖项扫描和 AI 推理。针对已知漏洞的可重复检查补充了对代码上下文和业务逻辑的模型分析。团队还可以对运行中的应用副本运行 黑盒渗透测试 ，从外部攻击者的视角进行测试，而无需访问其源代码。
私有部署在平台层面强制执行应用访问控制，而不是仅依赖智能体生成的代码来实现访问限制。在我们的 共享责任模型下，应用所有者仍需负责审查和批准进入生产的内容。
将贡献与生产批准保持分离，使更广泛的参与变得切实可行。更多人可以在工程审查和安全检查仍然到位的情况下提出并迭代更改。
我们在内部也应用了同样的原则。在 Replit 的 Self-Driving Company中，我们建立了访问策略、令牌代理、审计日志和零信任网络。从 1 月初到 6 月底，一组固定工程师的代码产出增长了 2.9 倍，而审查延迟、PR 回退率和事故数量保持平稳。
这些结果反映了我们的内部经验，而非对客户成果的承诺。它们说明了目标：在不放弃工程审查或可靠性的前提下，支持更多的贡献。
4. 让委派的工作可问责，让数据可治理
可问责性要求对发生的事情有清晰的记录。随着智能体采用范围的扩大，管理员需要了解团队如何使用 Replit、识别与安全相关的活动，并在调查期间重建事件经过。Replit 的 企业治理工具 提供了对组织使用情况的可见性，而 审计日志 则记录了智能体活动、连接器、机密、部署和访问变更中与安全相关的事件。
管理员可以搜索、筛选和导出记录，或将记录流式传输到 Datadog 或 Splunk 等安全信息和事件管理（SIEM）工具，以便进行监控和调查。这种可见性有助于安全团队调查异常行为、了解涉及哪些系统，并将智能体活动纳入其现有的监控和事件响应流程。
治理委派工作还意味着要了解其数据如何受到保护，以及其工作负载在哪里运行。Replit 使用 TLS 1.2+ 对传输中的托管数据进行加密，并使用 AES-256 对静态数据进行加密，包括数据库、对象存储和存储的机密，单租户企业客户还可选择使用客户管理加密密钥（CMEK）。
为实现最大程度的控制， 自带云 （BYOC）将智能体运行框架、沙箱和凭证代理置于公司自己的云租户中，并纳入其现有的云和网络治理之下。对于不需要 BYOC 的团队， 项目地理区域 仍可让他们控制已发布的计算资源、数据库和对象存储的托管位置。
这两种选项都不能决定每个外部服务或模型提供商如何处理数据。端到端评估工作流的企业也需要了解这些单独的边界。
可审计性与清晰的数据边界共同帮助企业评估智能体驱动的工作流是否满足其安全、运营和治理要求。
随自主性扩展的安全
如今，Replit 的 Agent Habitat 在组织、连接和执行环境层面提供控制。随着智能体承担更具后果性的工作，这些保护措施也需要演进：为每项任务提供更细粒度的权限、在更多代码工作流中开展安全审查，以及在智能体运行期间实现更强的检测与响应。
- 我们正在开发一套可扩展的智能体操作策略系统，具备组织级限制，并可按单个任务收窄。专用智能体应只获得其工作所需的权限，且委派不应扩大这些权限。在后台和定时工作中，强制执行也必须持续有效。
- 我们正在将 Security Agent 扩展到公司代码库贡献，帮助团队在变更进入生产环境之前发现并解决漏洞。
- 我们正计划基于现有的 eBPF 沙箱监控构建新的控制措施，以检测并响应可疑的智能体活动，例如意外的文件访问或网络连接。
智能体系统的安全性仍在不断发展。 我们的沙箱架构白皮书 是我们的北极星，它提出了可验证的安全要求，并给出了衡量进展的框架。随着这些实践的发展，我们将继续分享我们所学到的内容，并与更广泛的行业保持交流。
上周披露的事件表明，从发现漏洞到被利用之间的窗口正在迅速关闭。无论治理是否就绪，智能体都将承担更具后果性的工作，因此，设定这些边界的时间应当是在工作被委派之前，而不是之后。安全性必须随自主性同步扩展，这样团队才能在不放弃控制权的情况下委派更多工作。我们致力于强化 Replit 的 Agent Habitat，使企业能够实现自主运营，在让智能体获得更大自主性的同时，保留对工作完成方式的控制。
如需了解更多，请查阅我们的安全控制和合规文档，位于 Replit 信任中心
更多
2026年10月28日
2026年10月27日
2026年10月26日