Halkalı merkez mahallesi fatih cd ozgur apt no 46 , Küçükçekmece , İstanbul , 34303 , TR
AI coding agent’ın shell ve dosya sistemi yetkilerini sınırlandırmak için Docker runtime, workspace mount, network egress ve secret yönetimini threat-model yaklaşımıyla ele alan rehber.
Komutları canlı sistemde uygulamadan önce sürüm, yedek, firewall ve geri dönüş planını kendi altyapınızda doğrulayın.
Agent kodu sandbox içinde olsa bile host mount, Docker socket ve network izinleri trust boundary’yi genişletebilir. CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir.
Kurulum komutundan öte mimari, kapasite, güvenlik, hata teşhisi ve production işletimini tek akışta ele alıyoruz.
Agent kodu sandbox içinde olsa bile host mount, Docker socket ve network izinleri trust boundary’yi genişletebilir.
OpenHands Docker Sandbox Güvenliği için tasarım kararı yalnız servislerin ayağa kalkmasına göre verilmemeli. Read-only mount, ayrı service account, minimum egress, secret injection ve disposable workspace temel savunma katmanlarıdır. Mimari doğrulamada OpenHands Custom Sandbox dokümantasyonu ile gerçek ağ ve veri akışı birlikte karşılaştırılmalıdır.
CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir.
Permission denied ile gerçek güvenlik politikası ihlalini ayırmak için mount mode, UID/GID ve container capability’leri birlikte incelenmelidir. Bu yüzden kapasite testi, OpenHands Docker Sandbox Güvenliği üzerinde gerçek veri ve eşzamanlı iş yüküyle yapılmalı; yalnız boşta kullanılan RAM değeri satın alma kararına dönüştürülmemelidir.
Read-only mount, ayrı service account, minimum egress, secret injection ve disposable workspace temel savunma katmanlarıdır.
OpenHands Docker Sandbox Güvenliği için erişim politikası deployment sonrasında eklenen bir ayrıntı değildir. Agent kodu sandbox içinde olsa bile host mount, Docker socket ve network izinleri trust boundary’yi genişletebilir. Bu akışta public olması gerekmeyen database, worker, runtime veya yönetim portları private ağda tutulmalıdır.
Sandbox güvenliği yalnız container başlatmak değildir; düzenli image update, audit log ve saldırı senaryosu testi gerektirir.
Canlıya geçiş kontrolünde şu komut/işlem hattı da doğrulama noktası olarak kullanılabilir: docker ps --no-trunc. Permission denied ile gerçek güvenlik politikası ihlalini ayırmak için mount mode, UID/GID ve container capability’leri birlikte incelenmelidir. Bu kontrol başarısızsa release ilerletilmeden önce geri dönüş noktası test edilmelidir.
Permission denied ile gerçek güvenlik politikası ihlalini ayırmak için mount mode, UID/GID ve container capability’leri birlikte incelenmelidir.
OpenHands Docker Sandbox Güvenliği arızasında semptom ile kök nedeni ayırmak için önce son değişiklik zamanı kaydedilir. CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir. Ardından servis logu, dependency health ve ağ erişimi aynı zaman diliminde karşılaştırılır.
AI coding agent’ın shell ve dosya sistemi yetkilerini sınırlandırmak için Docker runtime, workspace mount, network egress ve secret yönetimini threat-model yaklaşımıyla ele alan rehber.
OpenHands Docker Sandbox Güvenliği seçimi, yalnız ürünün popülerliğine göre değil şu hedefe göre yapılmalıdır: AI coding agent’ın shell ve dosya sistemi yetkilerini sınırlandırmak için Docker runtime, workspace mount, network egress ve secret yönetimini threat-model yaklaşımıyla ele alan rehber. CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir. Bu iki koşul karşılanmıyorsa daha küçük bir PoC ile başlanması daha güvenlidir.
Agent kodu sandbox içinde olsa bile host mount, Docker socket ve network izinleri trust boundary’yi genişletebilir. CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir.
| Belirti / problem | Muhtemel katman | İlk doğrulama |
|---|---|---|
| Sandbox başlıyor fakat workspace yazılamıyor | Permission denied ile gerçek güvenlik politikası ihlalini ayırmak için mount mode, UID/GID ve container capability’leri birlikte incelenmelidir. | İlgili servis logu, dependency health ve son değişiklik zamanı tek zaman çizgisinde karşılaştırılır. |
| Agent local model endpoint’ine ulaşamıyor | CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir. | Peak kaynak kullanımı, concurrency ve disk/network baskısı aynı test penceresinde ölçülür. |
| Tool çağrıları bozuk JSON/timeout üretiyor | Read-only mount, ayrı service account, minimum egress, secret injection ve disposable workspace temel savunma katmanlarıdır. | Public/private portlar, kimlik doğrulama, TLS ve secret kapsamı dıştan içe doğrulanır. |
| GPU var fakat görev başarı oranı düşük | Sandbox güvenliği yalnız container başlatmak değildir; düzenli image update, audit log ve saldırı senaryosu testi gerektirir. | Sürüm, config diff, kalıcı veri ve geri dönüş noktası birlikte kontrol edilir. |
Kurulum komutundan öte mimari, kapasite, güvenlik, hata teşhisi ve production işletimini tek akışta ele alıyoruz.
AI coding agent’ın shell ve dosya sistemi yetkilerini sınırlandırmak için Docker runtime, workspace mount, network egress ve secret yönetimini threat-model yaklaşımıyla ele alan rehber.
Agent kodu sandbox içinde olsa bile host mount, Docker socket ve network izinleri trust boundary’yi genişletebilir.
CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir.
Read-only mount, ayrı service account, minimum egress, secret injection ve disposable workspace temel savunma katmanlarıdır.
Sandbox güvenliği yalnız container başlatmak değildir; düzenli image update, audit log ve saldırı senaryosu testi gerektirir.
Permission denied ile gerçek güvenlik politikası ihlalini ayırmak için mount mode, UID/GID ve container capability’leri birlikte incelenmelidir.
Kurulum komutundan öte mimari, kapasite, güvenlik, hata teşhisi ve production işletimini tek akışta ele alıyoruz.
Türkiye (Türkçe)
Almanya (German)
Worldwide (English)
docker inspect openhandsdocker stats --no-streamdocker info | grep -i securitydocker ps --no-truncKurulum komutundan öte mimari, kapasite, güvenlik, hata teşhisi ve production işletimini tek akışta ele alıyoruz. CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir.
Kurulum komutundan öte mimari, kapasite, güvenlik, hata teşhisi ve production işletimini tek akışta ele alıyoruz.
Kurulum komutundan öte mimari, kapasite, güvenlik, hata teşhisi ve production işletimini tek akışta ele alıyoruz.
Agent kodu sandbox içinde olsa bile host mount, Docker socket ve network izinleri trust boundary’yi genişletebilir. CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir.
Agent kodu sandbox içinde olsa bile host mount, Docker socket ve network izinleri trust boundary’yi genişletebilir.
Read-only mount, ayrı service account, minimum egress, secret injection ve disposable workspace temel savunma katmanlarıdır.
CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir.
Sandbox güvenliği yalnız container başlatmak değildir; düzenli image update, audit log ve saldırı senaryosu testi gerektirir.
Permission denied ile gerçek güvenlik politikası ihlalini ayırmak için mount mode, UID/GID ve container capability’leri birlikte incelenmelidir.
AI coding agent’ın shell ve dosya sistemi yetkilerini sınırlandırmak için Docker runtime, workspace mount, network egress ve secret yönetimini threat-model yaklaşımıyla ele alan rehber. OpenHands Docker Sandbox
Kurulum komutundan öte mimari, kapasite, güvenlik, hata teşhisi ve production işletimini tek akışta ele alıyoruz. CPU/RAM limitleri runaway süreçleri sınırlar; disk quota ve process limitleri de kaynak tüketimi planına dahil edilmelidir.