Preoccupazioni trasversali
Prompt injection
Il prompt injection è la superficie di attacco specifica degli LLM. I collaboratori controllano commenti del codice, file README e nomi di file. Se un agente privilegiato legge quel materiale, le istruzioni piantate diventano escalation di privilegi.
Due mitigazioni, in ordine di forza:
- Agenti separati. L'agente con visibilità sul codice del collaboratore non è l'agente che modifica l'infrastruttura. Quest'ultimo riceve solo input strutturati — nome del servizio, porta, variabile — mai testo libero dal workspace.
- Vincola l'action space. Le modifiche all'infrastruttura sono scelte parametrizzate (aggiungi una dipendenza da una allowlist, cambia una porta, imposta una env var), non editing libero di file. Riduci ciò che è possibile invece di validare l'output.
Egress filtering
Un workspace che può raggiungere endpoint arbitrari è un canale di esfiltrazione. Metti in allowlist i package registry e poco altro.
Nessuna credenziale nel workspace
Token Git, chiavi del registry e segreti di produzione vivono solo nei servizi Tier 3.
Accetta ciò che non può essere prevenuto
Chiunque lavori su codice può copiarlo. Non c'è soluzione tecnica — solo scoping (vedono poco), contratto (NDA) e audit (chi ha visto cosa, quando). Progetta intorno a questo invece di spendere effort a difenderlo.
Dati personali
CV, documenti di identità e dati di pagamento appartengono a un sistema separato dalla piattaforma di sviluppo — non nello stesso database che traccia i commit.