SAM: Rangkaian P2P Zero-Trust untuk AI Agents

AI agents sekarang berjalan di mana-mana — cloud VM, datacenter on-prem, laptop developer, Raspberry Pi, bahkan peranti Android. Masalahnya, bila agent perlu berkongsi tools (skrip, endpoint LLM, API dalaman), ia biasanya bermakna mendedahkan infrastruktur persendirian kepada internet awam. Itu bukan pilihan untuk organisasi yang serius soal keselamatan.

Google ada jawapan: [Sovereign Agent Mesh](https:// SAM) (SAM), dilancarkan 18 Ogos di bawah lesen Apache-2.0. Bukan Segment Anything — SAM ialah overlay P2P zero-config, zero-trust yang dibina khusus untuk agent-to-agent tool sharing merentasi Model Context Protocol. Node discover antara satu sama lain secara automatik, lalui NAT traversal, dan authorize setiap panggilan secara kriptografi. Tiada firewall ports, tiada DNS config, tiada TLS cert management untuk setiap service.

Repo di github.com/google/sam ada disclaimer yang jujur: ini bukan produk Google yang disokong secara rasmi. Tapi engineer-nya nampak production-ready.

Apa Masalah yang SAM Selesaikan

Bila agent di server cloud perlu panggil tool yang berjalan di laptop developer, ada beberapa pilihan tradisional. Kamu boleh expose endpoint laptop melalui reverse proxy — tapi sekarang tool dalaman kamu ada di internet. Boleh setup VPN — tapi VPN tak direka untuk agent-to-agent tool discovery dan authorization. Boleh bina API gateway tersuai — tapi itu infrastruktur yang kena maintain sendiri.

SAM ambil pendekatan berbeza. Ia overlay khusus yang treat setiap node sebagai untrusted by default. Mesh itu sendiri handle peer discovery, NAT traversal, dan cryptographic authorization secara automatik. Agent yang join mesh boleh expose tools yang MCP-compatible kepada agents lain tanpa perlu buka firewall ports atau manage certificates. Control plane handle identity; data plane handle mesej yang dienkrip dan diberi kuasa.

Perkara ini penting sebab ekosistem agent sedang bergerak ke arah multi-agent workflows. Satu agent mungkin handle code review, satu lagi handle deployment, dan satu lagi manage infrastruktur. Mereka perlu panggil tools antara satu sama lain secara secure, dan SAM beri mereka networking layer untuk buat begitu.

Tiga Binari, Satu Overlay

SAM terbahagi kepada tiga komponen utama:

• sam-control-plane — Registry yang handle pendaftaran identity node, authentication OIDC, penerbitan Biscuit token, dan pengedaran policy. Satu-satunya komponen yang simpan identity secrets.
• sam-router — Bootstrap points libp2p dan routing overlays GossipSub. Boleh jalankan beberapa router untuk redundancy. Mereka relay traffic tapi tak simpan identity material atau policy state.
• sam-node — Client P2P yang setiap agent jalankan. Sediakan mesh transport, self-healing connectivity, dan local MCP HTTP interface.

Node join mesh dengan sam-node join dan run dengan sam-node run. Transport libp2p gunakan UDP port 5001 dan TCP port 5002; local MCP API default pada port 8080. Node simpan identity secara lokal dan boleh bergerak antara rangkaian sambil kekal PeerID — berguna untuk agents di laptop yang bergerak antara rumah, pejabat, dan cloud.

# Join mesh (perlu OIDC credentials)
sam-node join --control-plane https://your-cp.example.com

# Jalankan node
sam-node run

# Local MCP API kini ada di http://localhost:8080
# Tools: discover_remote_services, find_remote_tools, call_remote_tool

Untuk organisasi yang nak kawalan penuh, docs syorkan "DIY Mode" — host sendiri control plane. Public testnet ada di bananas.sam-mesh.dev, tapi ia dilabel sebagai beta, bukan production path.

Cara Authorization Berfungsi

Bahagian paling menarik dalam SAM ialah model authorization. Ia bridge identity web tradisional (OIDC) dengan decentralized capability tokens (Biscuit), dan hasilnya node authorize permintaan secara offline.

Begini flow-nya: control plane verify OIDC JWT — token yang sama yang Google, Microsoft, dan identity provider lain keluarkan. Kemudian ia translate claims JWT menjadi Datalog facts dan seal dalam Biscuit token. Claim sub jadi user(...), setiap group jadi group(...), dan peer ID bind sebagai client_peer_id(...).

Bila node terima permintaan, ia evaluate Biscuit token mengikut rules lokal sendiri tanpa call back ke control plane. Ini hapuskan bottleneck authorization central dan mesh terus berfungsi walaupun control plane turun.

Enforcementnya ketat — default-deny. Node yang baru join expose sifar service kepada peers. Access perlu capability fact yang eksplisit macam granted_service_exact(...). Tiada pengecualian terbina dalam — malah discovery catalog (system://sam.catalog) mesti diberi kuasa secara eksplisit. Service ikut konvensyen type://name dengan wildcard support:

# Contoh policy: bagi contractor akses MCP read-only
roles:
  name: contractor
  allowed_targets:
    - "group:backend-nodes"
  granted_services:
    - service_type: mcp
      service_name: "db-reader"
      permission: exact

Setiap permintaan lalui pipeline dua peringkat. Peringkat 1 check ban dan revocation caches. Peringkat 2 jalankan dua Biscuit authorizer passes — satu untuk identity token node sendiri, satu untuk token caller. Check baseline block replay attacks dengan require connection peer ID match token. Operator boleh tambah local attenuation rules juga: deny write tool lepas 9 PM, block contractors dari service tertentu, enforce time-based restrictions.

Secure Outbound Gateway: sam-box

SAM juga selesaikan satu gap keselamatan agent yang nyata. Agent dalam sandbox selalunya perlu panggil API luar, tapi kamu tak nak bagi mereka API keys.

sam-box berjalan sebagai sidecar. Proses nano-init bertindak sebagai PID 1 dalam sandbox dan set proxy environment variables. Bagi tools yang ignore environment variables, ia gunakan LD_PRELOAD untuk intercept syscall C connect() pada port 80 dan 443. Traffic routing melalui Unix domain socket ke sam-box, yang verify Biscuit token, inject credential sebenar dari secrets.yaml, dan upgrade permintaan ke HTTPS. Sandbox agent tak pernah pegang key.

Pemisahannya kemas: agent boleh buat outbound requests, tapi dia tak pernah nampak credentials sebenar. Gateway handle authentication, sandbox handle execution, dan Biscuit token pastikan hanya agents yang diberi kuasa boleh capai service tertentu.

Di Mana SAM Berada dalam Stack

SAM bukan service mesh serbaguna macam Istio atau Linkerd. Ia tak handle HTTP routing, load balancing, atau circuit breaking untuk web services. Scopenya lebih sempit: agent-to-agent tool sharing merentasi MCP. Tapi masalah ini semakin penting apabila architecture multi-agent semakin merebak.

Projek ini masuk ruang yang sesak. Startup dan projek open-source telah keluarkan pelbagai protokol komunikasi agent dan framework tool sharing sepanjang 18 bulan lalu. Yang membezakan SAM ialah gabungan zero-trust networking, offline authorization melalui Biscuit token, dan sokongan untuk persekitaran heterogen — cloud, datacenter, laptop, Raspberry Pi, Android.

Bagi organisasi yang jalankan agents merentasi beberapa network boundary — perkhidmatan kewangan, kesihatan, sektor awam, fleet edge industri — SAM tawarkan sesuatu yang networking tools generik tak ada: overlay khusus yang treat setiap node sebagai untrusted dan setiap service sebagai eksplisit diberi kuasa.

Projek ini ada di GitHub di bawah Apache-2.0, dengan Docker images di ghcr.io, Helm chart, production Kubernetes guides, dan integration docs untuk Gemini, Claude Code, dan agents lain. Public testnet ialah titik permulaan; nilai sebenar ialah deployment self-hosted di mana kamu kawal layer identity dan policy.