52 lines
2.6 KiB
Markdown
52 lines
2.6 KiB
Markdown
# ADR-0004：安全门禁放在控制平面，Agent 保持"笨"
|
||
|
||
- 日期：2026-07-27
|
||
- 状态：已接受
|
||
|
||
## 背景
|
||
|
||
危险动作有三类：刷固件、Format/Sanitize、断电。任何一次误盘 = PoC 判定失败
|
||
（方案 §9.3：0 次错盘、0 次系统盘破坏）。
|
||
|
||
门禁可以放在 Agent（离设备近，判断准）或控制平面（离决策近，可审计）。
|
||
|
||
## 决定
|
||
|
||
**全部放控制平面**，且拒绝发生在**下发之前**。Agent 只执行已批准的命令模板 +
|
||
schema 校验过的参数，自己不做任何"这条命令安不安全"的判断。
|
||
|
||
Agent 侧保留的唯一防线是 `precheck`（设备在不在、路径对不对），
|
||
它是**执行前自检**，不是安全决策。
|
||
|
||
## 理由
|
||
|
||
- **可审计**：审批记录、模板版本、操作者、参数必须与决策在同一个地方，
|
||
否则审计链断在 Agent 上。客户安全评审第一个问的就是这个。
|
||
- **Agent 可信度低**：Agent 跑在客户的测试主机上，那台机器会蓝屏、会被人手动改配置、
|
||
会装乱七八糟的工具。安全判断不能依赖一个随时可能处于异常状态的环境。
|
||
- **升级路径**：安全规则改了，改控制平面就全网生效。要靠 Agent 判断，
|
||
就得推送 Agent 升级到每台客户主机——在实验室里这是以周计的事。
|
||
- **可测试**：门禁是纯函数（`safety/gates.py`），误盘场景可以在单测里穷举，
|
||
不需要真的接一块盘来试。
|
||
|
||
## 具体门禁（`safety/gates.py`）
|
||
|
||
1. **DUT 绑定**：序列号 + 设备路径 + `allow_destructive` 标签三信号一致才放行。
|
||
任一不匹配 → 拒绝，记 `SAFETY_REJECTED` 事件。
|
||
2. **系统盘保护**：解析目标设备的挂载点/启动标志/分区表，命中系统盘立即拒绝。
|
||
这一条**没有** override 开关，代码里不给绕过的口子。
|
||
3. **命令模板白名单**：危险命令只能来自 `safety/templates.py` 注册表，
|
||
参数受 JSON Schema 约束。不接受自由文本命令行。
|
||
4. **环境指纹一致性**：A/B 对比的两次运行环境指纹不一致 → 结论标记为不可比。
|
||
|
||
## 代价
|
||
|
||
- 控制平面必须掌握足够的设备信息才能判断（依赖 Agent 上报的设备探针数据）。
|
||
上报延迟 → 判断基于稍旧的数据。缓解：危险步骤执行前强制刷新一次探针，
|
||
Agent 的 `precheck` 再做一次现场核对，两者不一致直接拒绝。
|
||
- 多一次往返。危险动作本来就不该快。
|
||
|
||
## 什么时候推翻
|
||
|
||
不推翻。可以增强（加人工审批门、加双人复核），但不下放到 Agent。
|