Изоляция
Запускайте сессии агентов в сетево изолированном пространстве имён.
Включите политику на уровне компании, чтобы запускать сессии агентов в собственном сетевом пространстве имён (netns). В режиме netns исходящий egress запрещён по умолчанию, поэтому агент не может вынести ваши данные по сети. Это опционально - по умолчанию выключено.
Agent session · netns
- Own network namespace
- Loopback + control socket only
- Egress denied by default
- No raw outbound to the internet
Outside world
- Public internet · blocked
- Other tenants · unreachable
- Internal services · allow-list (roadmap)
- Policy is per-company · default off
Как это работает
1
Задайте политику
Выберите режим песочницы на уровне компании: off (по умолчанию) или netns для сетево изолированных сессий.
2
Сессия стартует в netns
В режиме netns каждая сессия агента запускается в собственном сетевом пространстве имён Linux.
3
Egress запрещён по умолчанию
Исходящий сетевой трафик из сессии в песочнице блокируется, поэтому она не может выйти в публичный интернет.
4
Работа остаётся изолированной
Агент выполняет свою задачу внутри пространства имён без открытого пути для вывода данных по сети.
Подробнее
Изоляция в сетевом пространстве имён
Режим netns помещает каждую сессию агента в собственное сетевое пространство имён Linux. Это сетевая изоляция egress - а не полная песочница seccomp/syscall.
Egress по умолчанию запрещён
Внутри сессии в режиме netns исходящий сетевой доступ запрещён по умолчанию, убирая простой путь для вывода данных агентом за пределы машины.
На уровне компании, опционально
Режим песочницы - это настройка на уровне компании, и по умолчанию она выключена. Включайте её для компаний, которым нужна сетевая изоляция; в остальных оставляйте выключенной.
Включите изоляцию egress
shell · per-company egress policy
# Opt in: run agent sessions in a network namespace
$ synaptyx company set-sandbox --mode netns
✓ sandbox_mode = netns · applies to new sessions
# Inside a sandboxed session, outbound is denied by default
$ curl https://example.com
curl: (7) Couldn't connect — network is unreachable
# Default stays off until you flip it
$ synaptyx company get-sandbox
sandbox_mode: off # off | netns
Сетевая изоляция, которая честна насчёт своих границ.
Это изоляция egress на базе netns: исходящий сетевой доступ запрещён по умолчанию внутри сессии в песочнице. Это не полная песочница syscall - мы описываем ровно то, что она делает, и ничего сверх.
Сравнение
| Synaptyx | Без изоляции | Только контейнер | |
|---|---|---|---|
| Сетевое пространство имён на сессию | режим netns | нет | общее по умолчанию |
| Egress запрещён по умолчанию | да | нет | нет |
| Политика на уровне компании | off | netns | нет | на уровне образа |
| Состояние по умолчанию | off · опционально | открыто | открыто |
| Allow-list для внутренних | в планах | нет | нет |
Частые вопросы
Нет - и мы не будем это утверждать. Сегодня это изоляция egress на уровне сетевого пространства имён: сессии работают в собственном netns, где исходящий сетевой доступ запрещён по умолчанию. Это не песочница seccomp/syscall.
Нет. Режим песочницы по умолчанию выключен и задаётся на уровне компании. Вы включаете его, переключая политику на netns; до этого сессии работают как сейчас.
В режиме netns egress запрещён по умолчанию. Ограниченный allow-list для одобренных внутренних адресатов в планах; сегодня безопасно исходить из того, что исходящего доступа из сессии в песочнице нет.
Нет - это дополняет их. Изоляция egress ограничивает, куда агент может дотянуться по сети; журнал аудита фиксирует, что он сделал, а бюджеты ограничивают его траты. Используйте их вместе.
Готовы изолировать сессии агентов?
Запросите доступ за пару минут - или обсудите с нами ваши требования к изоляции.