Kars: AI Ajanları için Kubernetes Tabanlı Sıfır Güven Runtime
Kars, her AI ajanını izole Kubernetes sandbox'ında çalıştırır; tüm dış çağrılar Rust tabanlı router üzerinden denetlenir, kimlik bilgisi ajanda tutulmaz.
Kars, Azure Cloud Native ekibinin (AKS ve Azure Linux'un arkasındaki ekip) geliştirdiği açık kaynaklı bir referans mimarisi; her AI ajanını güvenilmeyen kod gibi ele alıp Kubernetes üzerinde izole bir sandbox içinde çalıştırıyor. Temel motivasyon net: bir ajana gerçek araçlar ve gerçek kimlik bilgileri vermek, prompt injection ile ele geçirilmesi durumunda Azure aboneliğine, GitHub organizasyonuna ve müşteri verilerine kadar uzanan bir saldırı yüzeyi yaratıyor.
Mimaride her sandbox pod'unda ajan ile aynı pod içinde ama farklı bir UID altında çalışan Rust tabanlı bir 'inference router' bulunuyor; ajanın hiçbir zaman görmediği kimlik bilgilerini bu router tutuyor ve dışarı çıkan her çağrıyı o brokerlıyor. Router; Entra Agent ID üzerinden kimlik ve token brokerlığı, Foundry içerik güvenliği filtreleri, token bütçeleri ve rate limiting, L7 egress allowlist/blocklist, MCP gateway, politika tabanlı governance ve SHA-256 hash-zincirli, kurcalamaya dayanıklı audit log gibi işlevleri tek noktada topluyor. Farklı framework'lerdeki ajanlar ise AgentMesh üzerinden Signal Protocol ile uçtan uca şifreli haberleşiyor; röle sadece şifreli metni görüyor.
Geliştirme deneyimi de üretimle birebir örtüşecek şekilde tasarlanmış: kars dev --target local-k8s komutu, aynı Helm chart, NetworkPolicy ve sidecar'larla yerel bir kind kümesinde AKS'teki üretim topolojisini birebir taklit ediyor. Politikalar, onay kapıları ve güven topolojisi declarative Kubernetes kaynakları olarak Git'e commit edilip Argo/Flux ile reconcile edilebiliyor; bu da güvenlik ekiplerinin Python yerine YAML inceleyebilmesini sağlıyor. Proje henüz resmi bir Microsoft ürünü değil ve kubernetes-sigs/agent-sandbox, agentgateway gibi upstream girişimlerle mimari hizalanma hedefleniyor ama şimdilik resmi bir entegrasyon yok.