Code Interpreter临时文件为什么泄露到其他任务？工作目录、对象存储与沙箱生命周期完整排查-拓冰企业网站定制

文章摘要

代码执行型Agent通常会创建临时脚本、上传附件、解压压缩包、生成图表和导出结果。很多系统虽然为每个请求创建了独立任务ID，却让所有任务共享同一个宿主机目录、容器卷、Python进程工作目录或对象存储前缀。结果可能出现：任务B枚举到任务A上传的合同；缓存复用了其他租户生成的数据文件；容器销毁后宿主机卷仍保留Secrets；下载接口只校验文件名，没有校验文件归属；清理任务失败后敏感Artifact长期滞留。

文件泄露往往不是一个单点漏洞，而是“身份、路径、挂载、对象Key、权限、生命周期、下载令牌和清理审计”多层边界同时缺失。仅使用tempfile、随机UUID或Docker容器并不能自动建立租户隔离。

本文从任务工作区、路径穿越、符号链接、共享卷、容器复用、对象存储前缀、Artifact Registry、下载令牌、文件类型、压缩炸弹、恶意输出、清理状态机和故障恢复等角度给出完整排查方案。

一、一个典型泄露事故

平台为每个任务生成目录：

/workspace/{taskId}

代码：

workspace=Path("/workspace")/task_id workspace.mkdir(exist_ok=True)

但容器启动时挂载：

-v/data/agent-workspace:/workspace

所有租户和任务共享同一个宿主机根目录。如果执行代码能够访问：

Path("/workspace").glob("**/*")

就可能看到其他任务。

二、随机目录不是安全边界

UUID只降低猜测难度，不能替代权限。攻击路径包括：

枚举父目录；
../路径穿越；
符号链接；
/proc读取；
已知文件名；
共享缓存；
错误下载接口；
日志暴露绝对路径；
宿主机挂载泄露。

真正的隔离必须由运行时挂载、UID、Namespace、对象权限和应用授权共同完成。

三、文件系统信任边界

至少区分：

用户上传区 沙箱只读输入区 沙箱可写工作区 沙箱临时区 结果待审核区 发布下载区 隔离区 审计元数据区

不要使用一个目录承担全部职责。

四、Workspace模型

publicrecordSandboxWorkspace(StringworkspaceId,StringtenantId,StringsubjectId,StringrunId,StringtaskId,WorkspaceStatusstatus,StringruntimeId,InstantcreatedAt,InstantexpiresAt,longquotaBytes,intmaximumFiles){}

publicenumWorkspaceStatus{ALLOCATING,READY,EXECUTING,COLLECTING_OUTPUT,QUARANTINED,CLEANING,DELETED,CLEANUP_FAILED}

清理不是一个finally中的最佳努力，而是可重试的持久状态。

五、每任务独立运行时

安全默认值：

一个Task →一个短生命周期沙箱 →一个独立可写文件系统 →完成后销毁

不要让不可信代码在同一个长期Python进程中连续运行。长期进程会残留：

全局变量；
导入模块状态；
环境变量；
当前目录；
打开的文件；
子进程；
网络连接；
临时文件；
库缓存。

六、容器复用的隐患

如果复用容器：

Task A完成 →清理目录 →Task B进入

清理遗漏任何文件、进程或挂载都可能串任务。

建议：

可信同租户低风险任务 可考虑受控复用 不可信代码与跨租户任务 默认不复用

七、工作目录不是隔离

设置：

os.chdir(task_workspace)

只能改变相对路径解析。代码仍可能访问：

/ ../ /proc /etc 挂载卷 网络文件系统

真正隔离依赖运行时权限和挂载命名空间。

八、只挂载任务所需内容

九、只读根文件系统与非Root

容器应配置：

readOnlyRootFilesystem=true runAsNonRoot=true allowPrivilegeEscalation=false

只对/work、/tmp和/output提供受控可写挂载。

securityContext:runAsNonRoot:truerunAsUser:10001runAsGroup:10001allowPrivilegeEscalation:falsereadOnlyRootFilesystem:truecapabilities:drop:-ALL

不要依赖容器内Root“反正不是真Root”的直觉。

十、Seccomp与Capability

Seccomp限制进程可调用的内核接口。重点审查：

mount；
ptrace；
特权命名空间操作；
keyctl；
不必要的内核攻击面。

不要将：

seccomp=unconfined

作为永久配置。

绝大多数代码解释器不需要：

SYS_ADMIN；
NET_ADMIN；
SYS_PTRACE；
DAC_OVERRIDE。

十一、路径规范化

用户提交输出名：

../../tenant-b/report.csv

服务器端必须规范化：

publicPathresolveSafe(PathworkspaceRoot,StringuserName){Pathcandidate=workspaceRoot.resolve(userName).normalize();if(!candidate.startsWith(workspaceRoot)){thrownewPathTraversalException();}returncandidate;}

仅检查字符串是否包含..不够，还要处理绝对路径、URL编码、Windows盘符、Unicode分隔符和符号链接。

十二、符号链接攻击

不可信代码创建：

ln-s/input/secret.pdf /output/result.pdf

收集器读取/output/result.pdf时，实际读取输入Secret。

输出收集必须：

拒绝符号链接；
使用NOFOLLOW；
检查真实路径；
检查文件类型；
检查设备号；
检查是否位于允许挂载。

十三、输出收集器

publicrecordCollectedArtifact(StringartifactId,StringworkspaceId,StringrelativePath,StringmediaType,longsizeBytes,Stringsha256,ArtifactSecurityStatussecurityStatus){}

收集流程：

列举允许目录 →拒绝链接和特殊文件 →大小限制 →类型识别 →恶意内容扫描 →Hash →上传隔离对象存储 →审核 →发布

拒绝：

Socket；
FIFO；
Block Device；
Character Device；
稀疏超大文件；
未知文件系统对象。

只收集普通文件。

十四、文件数量与大小配额

攻击代码可能生成100万个小文件，或创建一个超大稀疏文件。

限制：

最大文件数；
单文件大小；
Workspace总大小；
Inode；
输出数量；
压缩后和解压后大小；
运行时间。

十五、压缩炸弹

上传ZIP看起来10MB，解压后可能数百GB。

验证：

总展开大小 文件数量 递归层级 压缩比 单文件大小 路径

解压必须在隔离环境中进行。

十六、对象存储Key与权限

错误：

bucket/{filename}

正确：

tenant/{tenantId}/run/{runId}/ workspace/{workspaceId}/artifact/{artifactId}

但前缀仍不是权限本身。访问必须由IAM和应用授权控制。

建议：

沙箱不能直接访问整个Bucket；
输入使用短期只读预签名URL或代理流；
输出只能写指定Key；
Listing默认禁止；
跨租户Key不可访问；
KMS按租户或敏感级别加密；
所有访问审计。

十七、不要注入长期云凭证

危险：

AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY

不可信代码可以读取环境变量并外传。

应使用：

短期令牌；
单一对象权限；
最小有效期；
网络限制；
代理服务；
Workload Identity并进一步缩权。

十八、Artifact Registry

publicrecordArtifactRecord(StringartifactId,StringtenantId,StringownerSubjectId,StringrunId,StringtaskId,StringworkspaceId,StringstorageKey,StringcontentHash,StringmediaType,longsizeBytes,ArtifactStatusstatus,InstantexpiresAt){}

下载不使用用户提供路径，而使用Artifact ID查询归属。

十九、下载接口

GET /api/v1/artifacts/{artifactId}/download

服务端检查：

当前用户；
租户；
Run权限；
Artifact状态；
保留期；
风险；
下载次数或用途；
审计。

不要提供：

GET /download?path=/data/...

二十、下载令牌

publicrecordArtifactDownloadToken(StringtokenId,StringartifactId,StringtenantId,StringsubjectId,Stringpurpose,InstantexpiresAt,intmaximumDownloads){}

令牌应短期、一次性或限次。

二十一、文件名仅用于展示

存储Key使用内部ID。

用户原文件名需要：

清理控制字符；
限制长度；
仅作为Content-Disposition；
防止Header注入；
不作为路径。

二十二、MIME不能只信扩展名

report.pdf可能实际是脚本或可执行文件。

同时检查：

Magic Bytes；
MIME；
扩展名；
内容策略；
扫描结果。

二十三、生成HTML与SVG的风险

Agent输出HTML可能包含：

Script；
外链资源；
表单；
自动跳转；
恶意SVG；
浏览器漏洞利用。

展示前：

下载而非内联；
Content-Disposition: attachment；
使用独立域名；
配置CSP；
HTML净化；
禁止Cookie；
禁止与主站同源。

二十四、高风险文件格式

高风险格式包括：

Pickle；
Joblib；
不可信Notebook；
Office宏；
可执行脚本；
带外部引用文件。

不要在主服务中反序列化不可信对象。

二十五、日志和错误页泄露

日志可能暴露：

workspace=/data/tenant-a/contract-123

或记录完整命令和文件内容。

日志应使用：

workspace_id artifact_id relative_path_hash

避免绝对宿主机路径和敏感文件名。

用户错误页也不应暴露：

容器ID；
Bucket；
Secret路径；
内核信息；
内部服务地址。

详细信息只进入受控Trace。

二十六、网络外传

即使文件系统隔离，不可信代码仍可通过网络上传文件。

默认策略：

无网络

需要网络时：

域名Allowlist；
DNS代理；
禁止私网地址；
禁止云Metadata；
限制端口；
限制流量；
TLS策略；
请求审计。

二十七、SSRF保护

禁止访问：

127.0.0.0/8；
RFC1918私网；
Link-local；
云Metadata；
Kubernetes Service网络；
管理平面；
数据库。

同时防止DNS Rebinding、IPv6绕过、重定向到私网和混淆IP表示。

二十八、进程与资源限制

设置：

PID上限；
CPU；
内存；
Wall Time；
文件描述符；
子进程数；
线程；
磁盘IO；
网络带宽。

防止Fork Bomb、资源耗尽和无限输出。

二十九、清理不是删除目录这么简单

清理对象包括：

容器或MicroVM；
Workspace；
临时卷；
对象存储；
Token；
网络策略；
租约；
进程；
下载令牌；
缓存。

三十、清理状态机

publicrecordCleanupJob(StringcleanupId,StringworkspaceId,CleanupStatusstatus,intattempt,List<String>remainingResources,InstantnextAttemptAt,StringlastError){}

清理失败不能把Workspace直接标记删除：

CLEANUP_FAILED →隔离 →告警 →重试 →人工处置

在完成清理前，不得复用运行时。

三十一、TTL与业务保留

不同数据需要不同策略：

临时脚本：任务后立即删除 原始上传：按用户政策 输出Artifact：按产品保留 安全隔离样本：按事故政策 审计Hash：长期

不要统一一个TTL。

三十二、用户删除请求

必须传播到：

Artifact Registry；
对象存储；
Checkpoint引用；
Replay包；
缓存；
搜索索引；
备份策略。

业务审计可以保留最小Hash和删除事件。

三十三、沙箱镜像

使用：

最小基础镜像；
固定Digest；
SBOM；
漏洞扫描；
只安装必要包；
定期更新；
禁止运行时任意安装系统包。

动态Python包安装应经过内部代理、Allowlist和缓存仓库。

三十四、依赖供应链

用户代码执行：

pipinstallsome-package

可能拉取恶意包。

策略：

默认禁止联网安装；
内部镜像仓库；
包Allowlist；
Hash固定；
版本锁定；
安装发生在隔离构建层；
结果不复用到其他租户。

三十五、租户隔离等级

低风险可信内部代码

容器＋独立Workspace

中风险用户脚本

加固容器＋严格网络＋独立节点池

高风险公开代码

MicroVM或专用远程执行池

极高风险

不提供执行 或人工离线环境

三十六、运行Manifest

publicrecordSandboxExecutionManifest(StringexecutionId,StringtenantId,StringworkspaceId,StringimageDigest,StringisolationProfile,StringnetworkPolicyVersion,StringfilesystemPolicyVersion,ResourceLimitslimits,List<ArtifactRef>inputs,InstantstartedAt){}

三十七、Trace

sandbox.allocate sandbox.stage_input sandbox.execute sandbox.collect_output sandbox.scan_output sandbox.publish_artifact sandbox.cleanup

三十八、指标

sandbox_workspace_total{ status } sandbox_cross_workspace_access_denied_total sandbox_path_traversal_denied_total sandbox_symlink_output_denied_total sandbox_quota_exceeded_total{ type } sandbox_output_quarantined_total{ reason } sandbox_cleanup_total{ result } sandbox_cleanup_age_seconds sandbox_artifact_download_denied_total{ reason } sandbox_network_denied_total{ destination_class }

三十九、自动化测试

至少覆盖：

Task B枚举Workspace根目录 路径包含../../ 输出符号链接到输入Secret 创建特殊文件 压缩炸弹 跨租户Artifact下载 访问云Metadata 清理中服务重启 容器复用残留 对象存储Grant过期

四十、最终排查清单

□ 每个Task拥有独立Workspace ID □ 不可信代码运行时不跨租户复用 □ 输入只读、工作区和输出区分离 □ Root Filesystem只读 □ 非Root、无提权、Capability全删 □ Seccomp和网络策略启用 □ 不挂载Docker Socket和宿主机敏感目录 □ 路径解析使用规范化与根目录校验 □ 输出收集拒绝符号链接和特殊文件 □ 文件数、大小、Inode和展开大小有限额 □ 对象存储Key包含租户、Run与Artifact □ 沙箱不能List整个Bucket □ 不注入长期云凭证 □ 下载以Artifact ID授权而非文件路径 □ HTML和SVG在隔离域展示 □ 默认无网络，开放时使用Allowlist □ 清理有持久状态和重试 □ 清理失败的运行时不会复用 □ Trace不记录敏感绝对路径 □ 测试覆盖路径、链接、下载和清理故障

总结

Code Interpreter文件泄露并不是“临时目录没有随机化”这么简单，而是系统没有把文件当成跨越沙箱、对象存储、下载接口和生命周期的受控Artifact。

可靠文件隔离需要：

每任务独立运行时 ＋最小挂载 ＋非Root与系统调用限制 ＋版本化Artifact Registry ＋服务端下载授权 ＋网络外传防护 ＋可恢复清理状态机

真正的安全目标不是“任务结束后大概率删掉文件”，而是确保任何任务在执行、恢复、下载和清理的每个阶段，都无法读取、覆盖或发布不属于自己的数据。

资讯详情

Code Interpreter临时文件为什么泄露到其他任务？工作目录、对象存储与沙箱生命周期完整排查