Chainguard 发布 Workspaces 与 Checks：为 AI 编码智能体提供隔离工作区与安全校验

InfoQ 中文 2026-10-30T17:23:00+08:00

Chainguard 推出两款测试版产品：Workspaces 给每位开发者或 AI 智能体分配一台独立的远程微型虚拟机，Checks 把 CI 检查提前到提交之前，在预热好的隔离环境里运行。两者配合，智能体可以在测试失败后回到同一环境重试，成功的运行则生成签名证明，供合并前的关卡直接验证。

要解决的现实问题

软件供应链安全公司 Chainguard 在伦敦 Assemble 大会上公布了两款测试版产品，用于运行和测试开发者与 AI 智能体编写的代码。一款是 Workspaces，提供基于加固微型虚拟机的远程开发环境；另一款是 Checks，把持续集成（CI，即代码提交后自动构建和测试的流程）能力嵌入开发过程。

这两款产品针对的是代码智能体面临的一个实际难题。智能体需要权限来安装软件包、执行 shell 命令、修改配置文件，还可能并行执行多项任务。如果这些操作都发生在开发者本地电脑上，企业凭证和本地服务就可能被生成代码或第三方代码访问到。反过来，如果把每一处修改都提交给传统 CI 服务，又容易造成队列拥堵，并反复下载相同的依赖项。

Workspaces：一人一机，断线可续

Workspaces 为每位开发者或智能体分配独立的远程微型虚拟机（microVM，一种启动快、隔离强的轻量虚拟机）。用户通过 chainctl develop 命令把本地工作目录同步到环境中，未提交的变更也会一并带上。断开连接时系统会生成会话快照，恢复会话后可还原文件、进程和 shell 上下文。团队还可以为同一个代码库创建多个相互隔离的 Workspaces，让智能体并行尝试多种方案，端口、缓存和进程状态互不干扰。

在凭证管理上，Chainguard 的做法是：由主机端代理为已批准的出站请求附加短期凭证，而不是把长期密钥放进虚拟机内部。可选的出站规则能拦截并记录访问未授权端点的连接。公司还会记录命令、代码变更与网络调用，并声称日志具备防篡改特性。据 Paxton 和 Phillips 介绍，这一设计旨在降低依赖包被入侵或提示词注入攻击导致智能体失控时造成的损害。

Checks：把 CI 拆小、提前跑

Checks 在独立的预热微型虚拟机中运行 CI 步骤，虚拟机镜像基于 Chainguard 的软件包构建。依赖包会依据项目的锁定文件（记录依赖精确版本的清单）预先准备；锁定文件一旦变更，快照资源池就会重建。开发者可以通过命令行、提交前钩子或 GitHub 应用触发同一套检查任务，AI 智能体则可通过 MCP 服务器或 SDK 调用（MCP 是让智能体调用外部工具的一种接口标准）。其目标是让开发者和智能体能够“安全地测试、报错并修复代码，无需等待缓慢的 CI 流程”。

两者一起使用时，Workspace 会在测试运行期间挂起。失败的检查会把结构化日志送回恢复后的会话，智能体可以直接尝试下一个改动，不必重建环境。成功的运行则会生成一份证明，将环境、结果和提交关联起来；合并前的关卡可以验证这份证据，无需再次运行整个测试套件。

“每次运行都会产生一份签名证明，把环境、判定结果和提交 SHA 绑定在一起，因此合并关卡可以直接验证通过的结果，而不必重跑。”——Sam Katzen

前提与尚未回答的问题

这套设计依赖两个前提：被核验的输入内容保持不变，并且代码库信任 Chainguard 的执行与签名系统。本次公告没有公布 Checks 与主流 CI 服务的性能对比数据，也没有说明客户该如何验证日志宣称的防篡改能力。Workspaces 目前支持 Claude，后续计划支持其他智能体，按实际消耗的算力计费。两款产品均提供 30 天试用。

顺带发布的两项流水线工具

Chainguard 还公布了两项与构建流水线相关的更新。Chainguard Actions 已正式发布，包含超过 1000 个经过重建并持续维护的 GitHub Actions；面向 Go 和 .NET 的 Chainguard Libraries 进入早期预览。Libraries 会扫描依赖包中的恶意软件与灰色软件（介于正常软件与恶意软件之间的不受欢迎程序），支持为新增软件包设置上线延迟，并可为选定漏洞移植修复补丁。Chainguard 称，其测试版扫描器已对 5000 多个 Go 和 .NET 软件包完成判定，其中超过 10% 的检测样本在公开数据源中查不到匹配记录。

竞争格局与行业位置

这个市场已有成熟玩家。E2B 在 Firecracker 微型虚拟机中运行智能体会话，控制出站流量，并在虚拟机外部解析凭证；StepSecurity Harden-Runner 监控 GitHub Actions 运行器上的网络、文件与进程活动，可强制执行出站网络策略。依赖包防护方面，Sonatype Repository Firewall 在构建前拦截或隔离存在恶意行为与漏洞的软件包，JFrog Curation 在下载阶段执行安全、许可证以及包龄策略。Chainguard 的不同之处在于把这些能力打包在一起，并附带签名测试结果、重构后的 Actions 和修复过的依赖包。

用微型虚拟机承载不可信构建任务与智能体工作负载，本身已相当成熟。InfoQ 的安全指南建议对智能体生成的代码采用隔离微型虚拟机或权限严格受限的容器，并配合短期凭证与默认拒绝的网络策略。亚马逊 Bedrock AgentCore 为每个用户会话提供独立隔离的 CPU、内存和文件系统；Vercel 的 Hive 构建系统使用 Firecracker 微型虚拟机加短期 WireGuard 隧道。Chainguard 的独到之处，是把这种隔离能力与自家的软件包目录、CI 证明以及智能体执行路径整合到了一起。

对使用 AI 编程或“氛围编程”的团队来说，这类产品的意义在于：智能体可以放手装包、跑命令、改配置，而凭证和本地环境不必跟着暴露；失败重试的循环也不再被 CI 队列拖慢。

关键要点

查看原文