Glean 发布技能治理新架构：沙箱隔离与运行时凭证代理确保企业级 AI 安全
随着企业 AI 应用的深入，技能（Skills）作为一种封装工具与专业知识的代码包，正成为扩展 AI 行为的关键载体。然而，技能的共享性也带来了严峻的安全挑战：一个看似无害的“季度报告格式化”技能，可能隐藏窃取 CRM 数据并发送至外部服务器的指令。若缺乏管控，过度权限的技能可能诱导 Agent 执行用户未授权的操作，导致数据泄露或恶意代码注入。
针对这一核心问题，Glean 团队在最新技术更新中发布了一套完整的技能治理与安全架构，旨在让企业在扩展 AI 行为的同时，杜绝数据泄露与失控执行的风险。
全生命周期扫描：将技能视为攻击面
Glean 摒弃了仅依赖人工审查的传统模式，转而实施自动化、全生命周期的扫描机制。无论技能源自私有仓库、公共市场、开源格式还是 GitHub 工作流，Glean 均将其视为潜在的攻击面（Attack Surface）。
扫描过程涵盖技能的创建、上传、导入、分享及发布全阶段，并支持变更后的自动重扫。系统会深度分析可见描述、元数据、示例脚本、引用文件及附件，重点识别：
- 提示注入（Prompt Injection） 或隐藏指令；
- 数据外泄风险 或可疑的出站目的地；
- 危险工具使用 或过度代理行为（如诱导 Agent 使用超出必要范围的工具）。
每个技能将获得明确的判定结果——通过（Pass）、建议审查（Review Recommended）或拦截（Blocked），并附带详细的风险因素解释，供管理员或技能审核员进行复核与处置。
运行时隔离：沙箱与凭证代理双重防护
技能虽能塑造 Agent 的行为，但绝不能控制其运行环境或持有其凭证。Glean 通过以下机制实现这一隔离：
- 沙箱隔离（Sandboxing）：技能文件与代码在独立的沙箱环境中运行，限制其对宿主系统的直接访问。
- 运行时凭证代理（Credential Broker）：当技能需要访问外部系统时，凭证代理会检查目的地与请求是否符合策略，仅以授权的身份和权限进行中介访问。凭证始终保留在沙箱之外，且策略可阻止访问未批准的目的地。
这种架构明确了职责边界：技能塑造行为，沙箱限制执行，凭证代理管控访问。这不仅保护了技能本身不被当作可信代码，也确保了整体环境的可控性。
治理模式：管理员设顶，用户设底
Glean 倡导一种灵活的治理哲学：管理员设定天花板，用户设定地板。
- 自下而上的创新：高级用户可自由创建或导入技能，这是产生最佳技能的主要来源。
- 自上而下的管控：管理员决定哪些技能可推广至部门或组织范围，哪些自动启用，哪些被撤回。
该模式支持细粒度的访问控制（用户级与组织级）、管理员与审核员角色分离、版本化历史与回滚功能，以及在命名冲突时优先使用个人技能等策略，构建了一个既开放又受控的信任技能目录。
结语：开放生态与集中治理的融合
Glean 证明了开放性与控制权并非零和博弈。企业既可通过 GitHub 导入或 MCP 调用广泛生态中的技能，又能通过统一的扫描、沙箱、代理及治理机制确保其安全性。未来的企业 AI 价值，将不再取决于技能的唯一来源，而在于其能否在安全、受控、可评估和持续改进的环境中运行。
