466
// 项目简介
vArmor 是一个利用 AppArmor、BPF、Seccomp 和基于 Envoy 的网络代理来增强安全性的云原生容器沙箱系统。它通过对文件系统、进程和网络流量实施细粒度的访问控制，帮助开发者加固 Kubernetes 工作负载。该项目提供内置规则和基于 Operator 的设计，旨在简化容器化应用纵深防御策略的实施。
// 技术分析
vArmor 是一个云原生容器沙箱系统，旨在通过利用 AppArmor、BPF 和 Seccomp 等 Linux 内核级技术以及基于 Envoy 的网络代理，增强 Kubernetes 环境中的安全性。它解决了在无法使用硬件虚拟化的场景下（例如多租户集群或保护敏感的 AI Agent 工作负载）对容器隔离和减少攻击面的迫切需求。通过使用 Kubernetes Operator 模式和自定义资源定义（CRD），vArmor 允许开发人员以声明式方式应用安全策略，有效地平衡了强大的防御能力与操作的易用性。
// 核心亮点
01
利用包括 AppArmor、BPF 和 Seccomp 在内的多种强制执行机制，为容器化工作负载提供全面的内核级安全保护。
02
具备由 Envoy 驱动的网络代理强制执行机制，可实现 L4/L7 流量控制、TLS SNI 过滤以及容器出口流量的审计日志记录。
03
为 AI Agents 提供专门的保护，通过协议级访问控制来降低提示词注入（prompt injection）和未经授权的数据外泄等风险。
04
遵循云原生设计，使用 Kubernetes Operators 和 CRDs，能够无缝集成到现有的微服务部署工作流中。
05
提供内置的安全规则，支持“默认允许”（Allow-by-Default）模型，无需深厚的安全配置文件编写专业知识即可实现即时保护。
06
支持灵活的策略执行，允许用户在阻止违规行为或仅进行审计之间进行选择，以最大限度地减少对性能的影响。
// 典型使用场景
01
加固关键业务容器以防止权限提升和横向移动
02
在无法立即修补时缓解高风险漏洞带来的威胁
03
通过 L4-L7 网络出口控制保护 AI Agents 和 LLM 应用
// 快速开始
要开始使用 vArmor，请访问官方文档 varmor.org，按照安装指南将 operator 部署到您的 Kubernetes 集群中。安装完成后，您可以使用项目的 CRD API 定义安全策略，以加固您的特定工作负载。您可以探索提供的使用说明和内置规则，将您的第一个沙箱策略应用到部署中。