Что может пойти не так? Запуск недоверенного кода в облаке

Из-за ошибок при видеомонтаже доступна новая версия:    • What Could Possibly Go Wrong? Running untr...   Для создания новой версии никаких изменений в доклад или его содержание не вносилось. --- Что может пойти не так? Запуск ненадежного кода в облаке Жюль Денарду, Даниэль Хенкель Аннотация: В Datadog мы разрабатываем несколько функций для клиентов, которые требуют выполнения ненадежного программного обеспечения: фоновые агенты ИИ, которые пишут, тестируют и выполняют код, и определяемые пользователем рабочие процессы, которые могут запускать произвольные программы. Эти функции требуют выполнения ненадежного и потенциально вредоносного кода в нашей мультиоблачной инфраструктуре. Такие рабочие нагрузки не могут работать на стандартной вычислительной инфраструктуре, они требуют надежных гарантий изоляции на нескольких уровнях стека. В этом докладе рассказывается о том, как мы спроектировали, защитили и развернули мультиоблачную архитектуру песочницы кода, которая обрабатывает десятки миллионов выполнений в месяц. Мы расскажем, как использовали облачные средства контроля в AWS, Azure и Google Cloud для реализации многоуровневой защиты, и как изолировали эти рабочие нагрузки на уровне облачных учетных записей, хостов, сети и IAM, руководствуясь принципом «предполагай компромисс». В нашей организации работает более 3000 инженеров, и мы также расскажем, как сохранили работоспособность решения, не жертвуя при этом скоростью работы команд, разрабатывающих на его основе новые функции. Мы также объясним, как используем специально разработанного агента ИИ для непрерывного исследования среды песочницы на предмет уязвимостей и векторов повышения привилегий, и как этот подход позволил нам выявить уязвимости, которые человеку было бы сложно обнаружить самостоятельно. Жюль Денарду: Жюль Денарду — ведущий инженер по безопасности в Datadog, входящий в состав отдела проектирования безопасности, занимающийся повышением безопасности облачной инфраструктуры и приложений Kubernetes компании Datadog. Даниэль Хенкель: Даниэль Хенкель — ведущий инженер в Datadog, где он занимается разработкой среды Kubernetes. После нескольких лет работы над автоматизацией жизненного цикла узлов он сейчас создает платформу для запуска пакетных рабочих нагрузок и изолированных сред. Запись сделана на конференции fwd:cloudsec Europe 2026 https://fwdcloudsec.org/