Brex推出開源工具CrabTrap 即時管控AI代理對外連線

金融科技公司布雷克斯（Brex）公布了一款開源代理伺服器CrabTrap，能即時允許或封鎖「AI代理」對外發出的HTTP、HTTPS請求。這項工具不是在提示詞或程式碼裡設限，而是直接在網路傳輸層攔截並管控代理的執行權限。

根據Brex工程部落格於4月21日（當地時間）公布的內容，共同創辦人暨執行長佩德羅·法蘭切斯基（Pedro Franceschi）親自撰文介紹CrabTrap。他指出，這款工具介於AI代理與外部應用程式介面（API）之間，攔截所有對外請求，只放行符合政策的通訊。

所謂AI代理，是指能自行判斷並執行任務或交易的系統。一旦這類系統取得真實的憑證、API金鑰、OAuth權杖或服務帳號，安全的重點就不只在於回答是否正確，更在於它能碰觸哪些系統、能執行什麼操作。

Brex認為，既有的管控方式存在侷限：有的綁定在「模型上下文協定（MCP）」這類特定協定上，有的則依賴單一模型供應商提供的防護機制。因此團隊選擇在傳輸層檢查所有對外通訊，讓管控不受限於特定代理或特定模型。

導入方式相對單純，只要把HTTP_PROXY與HTTPS_PROXY環境變數指向CrabTrap即可。代理發出的對外請求會先經過這道關卡，其中HTTPS通訊採用自有憑證授權機構（CA），以傳輸層安全（TLS）中間解密的方式檢查內容。

在容器環境中，系統也能透過iptables設定封鎖繞過代理的直接連線。這是考量到如果只改代理設定、卻留下繞道路徑，代理仍可能把請求送到監控範圍之外。

請求的放行與否分兩階段判定。系統先用以URL模式為基礎的靜態規則檢查，若靜態規則難以判斷，再交由大型語言模型判定器分析自然語言撰寫的安全政策與請求內容。

大型語言模型判定器會以結構化JSON格式回傳「允許（ALLOW）」或「拒絕（DENY）」的結果。當允許規則與拒絕規則相互衝突時，系統會以拒絕規則為優先，直接封鎖該請求。

靜態規則的優點是結果可預期、運算成本低，缺點是難以應付事先未定義的請求類型；大型語言模型判定則能套用自然語言政策，但結果帶有機率性、並非百分之百穩定。正因如此，Brex選擇讓兩種機制並行運作。

CrabTrap還內建政策產生器，能分析實際流量、自動產生政策草案，讓管理者不必從零開始撰寫每一條允許與封鎖規則，而是以過去的網路呼叫紀錄為基礎建立政策。

系統也提供評估功能，能重新執行過去的稽核紀錄，比對政策調整前後的判定結果是否一致。所有請求與判定紀錄都會存進「PostgreSQL」資料庫，方便追蹤每一筆請求的去向與所依循的政策。

Brex目前已在實際營運環境中使用CrabTrap。根據其中一項營運案例，大型語言模型判定器介入處理的比例低於整體請求的3%。不過，這個數字僅反映該特定案例的靜態規則與流量結構，並不代表適用於其他組織或其他AI代理環境。

在涉及資金移動的服務，例如支付、錢包與交易所API，記錄並限制AI代理對外請求的能力可能變得格外重要。本刊此前曾報導Coinbase（COIN）支援AI代理以USDC完成付款的案例。隨著AI代理愈來愈直接參與交易與付款，其執行權限與通訊路徑同樣需要受到管控。

Fiddler AI則評論，這類代理伺服器工具凸顯出即時政策執行的必要性，但也提醒，企業級的治理架構仍須把遙測、評估、監控、政策執行與稽核機制整合在一起運作，單靠代理伺服器並不足以取代整套安全體系。

在公開的開發者討論中，有人肯定CrabTrap走開源路線、在網路層直接介入的做法，也有人對大型語言模型判定的機率性結果表示疑慮。值得留意的是，CrabTrap的監控範圍僅限於對外HTTP、HTTPS請求，檔案讀取、shell執行與非HTTP通訊仍須另外管控。Brex已將這款用於控管AI代理對外HTTP、HTTPS請求的CrabTrap以開源形式公開釋出。