开源智能体网关Wirken：默认不信任智能体，用沙箱和签名日志限权

Help Net Security 在 11 月 9 日的报道中介绍了一个名为 Wirken 的开源项目：它位于消息应用与 AI 智能体之间，充当网关。项目的设计前提相当悲观——假设任何智能体都可能被诱导反过来对付它的主人，因此网关的任务是限制一个被攻陷的智能体能接触到什么。

Wirken 接入 Signal、WhatsApp、Telegram、Matrix、Discord、Slack、Teams、Google Chat 和 iMessage，另外还提供一个网页聊天入口。每个通道作为独立进程运行，只持有该通道自己的凭据，避免一处失守就牵连全部账号。

凭据存放在加密保险库中，在边缘侧注入，智能体和模型本身都不接触密钥。Shell 命令在无网络的临时容器中执行；如果沙箱不可用，执行会被直接拒绝，而不是降级放行。

权限模型按动作分级：读取操作自由放行；会改变状态的动作第一次需要批准，之后记住答案；删除、安装软件或触碰凭据则每次都要重新确认。这套规则写在网关层，而不是依赖模型自觉遵守。

每个动作在执行前都会写入带有签名的哈希链日志，并归属到触发它的具体用户，校验可以离线完成。报道引用的示例输出显示 7 个会话、1234 条记录与 24 个已验证的链头签名，作者也明确说明这只是验证功能的演示，不代表任何真实部署的规模。

报道同样列出了边界：MCP 服务的子进程和 LLM 客户端会自行发起对外连接，出站流量只被部分约束；注入检测会标记可疑输入但仍然放行；多个智能体共享网关的地址空间，只有通道适配器是独立进程。在共享频道里，一个人的二级批准会覆盖该频道内所有发送者，直到过期。

防篡改机制依赖保存在机器之外的密钥，如果攻击者以同一用户身份同时改写日志和密钥，仍可绕过校验；删除数据目录会连审计日志一起销毁，项目建议先导出。沙箱默认开启且依赖 Docker，关闭沙箱则命令会在没有容器的情况下运行，网关会在启动时给出警告。

安装脚本面向 Linux 和 macOS，提供可核对的哈希值；Windows 11 走另一条路径，功能集也不同。Wirken 在 GitHub 上免费提供。对正在把智能体接入真实聊天与办公系统的团队来说，它给出的是一套可审计、默认收紧权限的参考实现，而不是一个已经验证过的安全边界。