一、沙箱的本质
沙箱（Sandbox）是一个隔离的安全环境。在 AI Agent 场景中，它的核心作用是：让 Agent 在受控范围内真干活，但翻不出去。
需要先澄清一个常见误解：沙箱不是让 Agent 在虚拟环境里"演戏"，所有文件操作都真实生效。沙箱约束的是行为边界，不是把操作变成假的。
二、两种约束：工作空间 vs 沙箱
实际产品中（如 WorkBuddy、Codex）常同时存在两层约束，二者性质完全不同：
| 维度 | 工作空间约束 | 沙箱约束 |
|---|---|---|
| 执行者 | Agent 工具层/调度逻辑 | 操作系统内核 |
| 约束内容 | "任务主战场是这个文件夹" | 进程能看什么、能调什么、能用多少资源 |
| 强度 | 软约束，靠路径校验和模型配合 | 硬约束，越界直接拒绝 |
| 目的 | 明确任务范围，便于管理产物 | 防止失控代码波及宿主环境 |
工作空间是"你应该在这干"，沙箱是"你只能在这干"。前者是约定，后者是强制。实际实现中常见做法是把授权目录挂载进沙箱，兼顾范围明确与硬边界。
三、隔离靠内核，不靠程序自律
沙箱的强制性来自操作系统内核——内核掌握所有硬件资源的最终分配权，程序不能直接碰硬件，必须通过系统调用请求内核。
沙箱的隔离发生在几个层面：
1. 文件系统隔离
通过 namespace 给进程挂载独立的文件系统视图，宿主机根目录对它不可见；或以低权限身份读写，敏感路径被拒绝。
2. 网络隔离
独立网络栈或默认阻断出网，只放行白名单域名，防止数据外泄。
3. 资源限制（cgroup）
CPU 限额、内存上限、磁盘写入量限制。注意这不是"从物理上切一块硬件给它"，而是设使用上限——超了就被限制或杀掉。
4. 系统调用白名单（seccomp）
默认拒绝所有系统调用，只放行清单内明确需要的（如 read、write）。清单外的 mount、ptrace、reboot 等直接被内核拒绝或杀进程。安全模型从"禁止坏的"变成"只允许好的"。
5. 更强的边界：微虚拟机
如 Firecracker，连内核都是独立的。Agent 在里面即使拿到 root，也只在自己的 guest 内核里折腾，宿主机内核完全不受影响。
隔离强度排序：普通进程 < 容器 < 微虚拟机。强度越高越难逃逸，开销也越大。
四、沙箱与宿主电脑的关系
以本地运行的 Agent 为例：
- 它住你电脑里：沙箱是跑在本地的进程/容器，消耗你的 CPU、内存、硬盘。
- 它借你的权限干活：操作的是你硬盘上的真实文件，工作目录里的改动真实生效。
- 但它被内核看着：内核给它戴上"手铐"——只能看指定目录、只能调白名单系统调用、网络受限、资源有上限。
一句话：沙箱是你电脑上被管制的租客，住在你家、用你的水电、在指定房间真干活，但房门锁死，进不了别的屋。
五、普通 App 与沙箱 Agent 的边界差异
普通 App（如微信）并非没有边界，而是边界位置不同：
- 普通 App：受操作系统默认权限模型约束，以普通用户身份运行，碰不到系统关键目录。但它能看到你的整个用户目录、发起任意网络连接。
- 沙箱 Agent：在用户权限之上再收窄一层——只能看指定目录、系统调用白名单、网络受限、资源有上限。
前者防的是"普通程序别搞坏系统"，后者防的是"AI 失控时别碰你其他东西"。
六、没有沙箱会怎样
需纠正一个说法：软件通常不会弄坏硬件（超频、刷固件等极端情况除外）。真正受损的是数据安全和系统可用性：
- CPU：死循环跑满所有核心，电脑卡死，别的程序没响应。
- 内存：巨量申请吃光内存，触发 OOM 杀掉其他程序。
- 硬盘：
rm -rf删真实文件、覆盖路径、写满磁盘、改系统配置导致无法启动。
沙箱的作用是把这些行为的后果限制在小圈子里——最多搞乱自己的工作空间，波及不到整台电脑。
七、必须承认的前提
"画圈"并非绝对安全，安全性取决于边界是否完整：
- 隔离强度有等级：强度越高越安全，开销越大。
- 配置决定成败：配置错误（如把宿主机目录以读写方式挂载进去）会让圈漏掉。
- 不是物理隔离：防的是程序失控和常见恶意行为，不防国家级定向攻击。
- 显存等特殊资源：普通沙箱一般不约束 GPU 显存，跑本地大模型/绘图需额外的 GPU 资源隔离机制。
八、总结
沙箱机制的本质是：把"Agent 可能乱来"从"靠它自觉"变成"靠内核强制执行"。
它不虚拟文件操作，而是约束行为边界；不切割硬件，而是设定使用上限和活动范围；不保证绝对安全，而是在隔离强度与执行效率之间做工程权衡。配合工作空间约束、高风险操作确认、回收站与备份兜底，构成 AI Agent 安全落地的基础设施。
