Agent Code Execution & Sandboxing/ 智能体代码执行与沙箱安全

让 AI 智能体在隔离的安全环境中执行代码，既能完成复杂任务又不威胁宿主系统——就像给智能体配了一间防爆实验室，随便它怎么折腾都不会炸到自己。

• 容器级沙箱（Container Sandbox）：利用 Docker/gVisor 等容器技术，将代码执行环境与宿主系统进行进程级隔离。每个代码执行请求启动一个独立容器，执行完即销毁，做到一次一用。这是目前最主流的方式，兼顾安全性和启动速度。

• 微虚拟机沙箱（MicroVM Sandbox）：采用 Firecracker 等轻量级虚拟机技术，提供硬件级隔离保证。比传统虚拟机快（毫秒级启动），比容器更安全。AWS Lambda、Fly.io 后台都在用这套方案。

• 浏览器沙箱（Browser Sandbox）：利用 WebAssembly 或 iframe 沙箱执行 JavaScript/Python（通过 Pyodide），天然继承浏览器的安全模型，无需管理后端基础设施。适合轻量级、无服务端的场景。

• 测试一：E2B 云端沙箱快速验证

• 操作：安装 e2b Python SDK，调用 sandbox = Sandbox() 创建沙箱，执行 sandbox.process.start('ls -la')，最后 sandbox.close() 销毁

• 工具：E2B Sandbox（https://e2b.dev/docs），提供免费额度

• 指标：沙箱启动时间（<500ms 为优）、进程执行成功率、是否存在文件泄漏

• 测试二：Docker 本地沙箱安全测试

• 操作：启动 Docker 容器并添加完整的安全限制——--read-only / --cap-drop=ALL / --network=none / --memory=256m，在容器内尝试访问宿主机文件系统和网络

• 工具：Docker（https://docker.com）+ gVisor 运行时（https://gvisor.dev）

• 指标：沙箱逃逸测试通过率（必须 100%）、资源限制生效（内存超限时 OOM Kill）

• 测试三：WebAssembly 浏览器沙箱

• 操作：在浏览器中使用 Pyodide 运行 Python 代码，尝试通过 open('/etc/passwd') 访问系统文件，验证被浏览器安全策略拦截

• 工具：Pyodide（https://pyodide.org）—— 浏览器中的 Python 运行时

• 指标：文件系统访问被拦截、网络请求受 CORS 限制、执行完成后内存正确释放

1. 沙箱逃逸不彻底：默认 Docker 容器不安全！必须显式添加 --cap-drop=ALL、禁用特权模式、使用只读文件系统。很多团队用默认配置就上线，等于没隔离。

1. 冷启动延迟影响体验：容器/VM 的启动时间（200ms-2s）在交互场景下会明显影响响应速度。解决方案：预热沙箱池（sandbox pool），保持一组空闲沙箱随时待命，类似数据库连接池的思路。

1. 网络隔离与功能需求冲突：完全断网沙箱最安全，但很多场景需要访问 pip/apt 安装依赖。折中方案：白名单出网规则，只允许访问 pypi.org、github.com 等可信域名，且要求 HTTPS。

1. 文件持久化的两难：沙箱销毁后文件丢失，但用户又需要保存生成的图表/CSV。方案：沙箱只做计算，结果通过 API 写回宿主存储（如 S3），不依赖沙箱内部文件系统持久化。

• E2B 开源沙箱（OpenAI Code Interpreter 同类方案）: https://github.com/e2b-dev/e2b

• Google gVisor 容器沙箱运行时: https://gvisor.dev

• Firecracker 微虚拟机（AWS 开源）: https://github.com/firecracker-microvm/firecracker

• Pyodide — 浏览器里的 Python: https://pyodide.org