智能体沙箱与执行隔离

为什么需要

编码智能体和电脑操作智能体会安装依赖、运行脚本、访问网络。这些动作由模型临时决定，而模型可能出错，也可能被网页、文件或仓库里的文字诱导——提示注入让读到的内容变成了指令。所以要先假设智能体会做出意料之外的事，再限定它能波及的范围。

隔离强度分几档

1. 进程级：同一台机器上的受限进程，启动最快，隔离最弱。
2. 容器：独立的文件系统和进程空间，适合要装依赖、改代码、跑测试的任务，但与宿主机共享内核。
3. 微虚拟机：每个任务一个轻量虚拟机，有独立内核，启动通常在一秒以内，是运行不受信任代码的常见选择。
4. 完整虚拟机或独立机器：隔离最强，成本和启动时间也最高。

按任务的风险选档，而不是一律用最强的。

隔离之外的两件事

• 网络出口：默认拒绝，只放行任务需要的地址。别漏掉不显眼的通道——DNS 查询也能把数据带出去；「只读请求是安全的」这个假设，在有外部服务会替你执行请求时也不成立。
• 凭据与权限：只给完成这次任务所需的最小权限，令牌按会话发放、用完即失效，日志里的凭据要脱敏。沙箱封得再严，带进去的令牌权限过大，损害照样发生在沙箱外面。

读信号时看什么

新的智能体平台或运行时，先找三个答案：代码跑在哪一档隔离里，出网规则是什么，智能体拿到的凭据能做什么。事故复盘里，问题通常出在后两项。