Без root
Модель работает как непривилегированный пользователь. Root внутри задачи не существует.
LIBRE / WORK Продукт / Work APACHE 2.0
Рабочее пространство, которое можно доверить модели.
Work даёт модели настоящее место для работы: файлы, которые сохраняются, команды, которые выполняются, живое превью результата — внутри закрытого контейнера на вашем железе.
01 Квитанция
Каждая задача выполняется под этими флагами.
Это не пересказ — это профиль защиты каждого контейнера Work. Политики настраивают лимиты, но никогда не могут ослабить эти строки.
-
--user 1000:1000 -
--read-only -
--cap-drop ALL -
--security-opt no-new-privileges -
--pids-limit 256 -
--memory 2g --memory-swap 2g -
--cpus 2 -
--network none -
--mount …,dst=/workspace
Проверьте сами: выполните docker inspect для любого контейнера Work.
Без записи в систему
Файловая система только для чтения. Изменения принимает лишь рабочее пространство задачи.
Без эскалации
Все capability Linux сброшены, получить новые привилегии невозможно.
Ни ключей, ни сокета
Внутри песочницы нет учётных данных, ключей API и сокета контейнерного движка.
02 Цикл
Всё, что нужно задаче. Ничего из того, что ей недоступно.
Модель работает через фиксированный набор инструментов, и каждый вызов по порядку попадает в журнал активности задачи.
- write_file
Файлы и git — читайте, пишите, перемещайте и ищите в пространстве, которое живёт между запусками, с локальными статусом, диффами, ветками и коммитами.
- run_command
Команды и терминал — запускайте что угодно с лимитами времени, вывода, памяти и процессов; открывайте настоящий терминал, когда хотите вмешаться.
- start_preview
Живое превью — работа в процессе доступна по подписанному проксированному URL и никогда не публикуется в вашей сети.
- web_search
Веб-поиск — через ваш собственный экземпляр SearXNG, когда администратор его включит.
03 Управление для операторов
Администраторы решают, кому что доступно.
-
Именованные политики задают образ и лимиты ресурсов на задачу — профиль защиты не является полем политики.
-
Work доступен только администраторам, пока вы не откроете его пользователям; у веб-поиска, загрузки моделей и агентов тот же переключатель.
-
Простаивающие задачи останавливаются сами и продолжают с того же места — рабочее пространство всегда сохраняется.
-
Docker из коробки или Pod'ы Kubernetes с дисковыми квотами на задачу. Флаги одни и те же.
Изоляция, которую можно проверить.
Один контейнер: чат, Work, провайдеры и превью включены.