Sandbox 会成为 Agent 时代的标准基础设施

只回答问题的模型主要带来信息风险；能够执行命令的 Agent 还会带来系统风险。它可以误删文件、泄露令牌、安装恶意依赖，或把网页中的提示注入当成用户指令。

Sandbox 的价值是把执行放进边界明确的空间。文件系统能写哪里、进程能用多少资源、网络能访问什么、凭据能活多久，都应在任务开始前确定，而不是依赖模型临场自律。

Sandbox 通过默认拒绝和按需授予建立任务边界。启动时根据清单创建临时文件系统、受限进程空间与网络策略，运行中只注入短期凭据，并记录文件、命令和外部请求；结束后输出可审阅差异，再销毁环境。权限因此跟随具体任务存在，而不是长期附着在模型或用户会话上。用户授权时看到的应是这些具体能力，而不是笼统的系统权限名称。

OpenAI 的 Codex 系统说明把云端任务放入隔离容器；Firecracker、gVisor 和容器安全实践则提供了不同强度的隔离机制。未来产品会按风险组合这些技术，而不是寻找唯一沙箱。

沙箱容易被高估为绝对安全。内核与运行时仍可能有漏洞，允许访问的依赖源也可能返回恶意内容；更常见的问题是配置为了兼容而逐步放宽，最后只剩形式隔离。若用户看不到网络、挂载和秘密的实际范围，“在沙箱中运行”还会成为模糊的安全标签，掩盖真实暴露面。安全评估必须覆盖配置演化过程，而不能只看初始架构图。运行日志也不能被轻易绕过。

一个实用 Sandbox 需要五类控制：文件权限、进程与系统调用、出站网络、秘密注入、时间与资源预算。只隔离文件却开放全部网络，或只限制网络却永久暴露令牌，都不是完整边界。

可恢复性同样重要。任务开始前建立快照，写操作保留差异，结束后销毁环境；这样用户可以审阅、撤销或重放，而不是在个人电脑上猜 Agent 改过什么。

选择方案时，应从威胁与资产出发：任务是否执行不可信代码，是否接触客户数据，是否需要访问内部服务，失败后允许损失什么。再用越权写文件、访问未声明域名、读取过期令牌、消耗过量资源等场景验证控制是否生效，同时检查被阻止后能否给出最小授权请求，而非要求整体解禁。最后还要验证审计记录足以解释一次允许或阻止的真实原因。

Sandbox 也不能成为体验黑箱。权限不足时，系统要解释被阻止的动作及其原因，并允许用户只为当前步骤授予更小范围权限。一次性“允许全部”会把安全设计重新推回信任提示词。

标准化会发生在接口层：声明需要的工具、挂载、网络域名、秘密和资源，再由不同运行时实现。像 dev container 描述开发环境一样，Agent 任务也会拥有可移植的执行清单。

Sandbox 的长期意义，是让信任从预测模型行为转向限制行为后果。我们无法保证 Agent 永远选择正确命令，却可以规定它能碰到什么、改变什么以及何时必须停止。正因如此，隔离不是对智能的不信任，而是规模化委派的制度前提：只有错误可被容纳，自动化才有空间被广泛使用。边界越明确，模型内部是否完全可预测就越不再是唯一安全条件。

当 Sandbox 足够便宜、快速且可观测，企业才敢让成百上千个任务并行运行。它看起来不是最聪明的功能，却会像 TLS 和容器一样，成为所有可信 Agent 产品默认存在的底座。

不同任务需要不同隔离强度。只读分析可以使用轻量容器，执行陌生仓库或不可信依赖时可能需要更强虚拟化，接触生产系统则还要叠加网络代理与人工授权。统一接口不等于统一实现，平台应依据资产价值和代码来源选择运行时，并让用户知道当前防护覆盖了哪些威胁。风险分级还应根据任务过程中的新证据动态调整。

《Sandbox 会成为 Agent 时代的标准基础设施》落到工程现场，第一步不是让 Agent 改代码，而是让它读懂变更的边界：仓库规则、相关模块、兼容约束、测试入口和不可触碰的区域。一个能解释“为什么只改这些文件”的系统，通常比能一次写出大量代码的系统更值得进入团队流程，因为它已经把修改控制在可审阅的单位里。

最危险的假成功是检查变绿但系统质量下降。Agent 可能删除断言、放宽类型、绕开错误分支，或为满足局部任务而引入无关耦合。评测因此应包含反向样本：故意给出不完整需求、过时文档和冲突约束，观察它是否会扩大改动范围、掩盖不确定性，还是能够留下明确的验证缺口。

秘密管理不应只是把环境变量塞进容器。令牌应按任务与工具签发，只允许特定资源和时间窗口，并尽量由代理代发请求，避免原始凭据暴露给进程。任务结束或被取消时，权限要立即撤销；审计记录则保留令牌代表的身份与操作范围，而不是保存敏感值本身。短期身份即使泄露，也应把影响限制在当前任务。且能够追责。

有效指标应沿交付链采集，而不是停在代码生成量：首次可审阅差异的时间、测试与评审的返工次数、合并后回滚率、未解决告警，以及维护者解释变更的成本。若吞吐增加但审阅负荷和故障恢复同步上升，自动化只是把成本推迟到了更昂贵的环节。

沙箱的性能决定安全是否会被绕过。若启动过慢、依赖缓存无效或调试信息贫乏，用户会倾向于在个人电脑直接运行 Agent，并授予更广权限。基础设施团队因此要把启动时间、故障可解释性和本地体验视为安全指标。好护栏不是只会拒绝，而是让合规路径足够顺畅。便捷与隔离共同成立，安全默认值才可能被坚持。

要让系统持续进步，团队需要把人类反复提出的意见转化成可执行资产：目录级规则、测试夹具、静态检查、脚本和架构决策记录。这样每一次审阅不只是纠正当前补丁，也会减少同类错误再次出现的概率。Agent 最有价值的作用，是促使组织把隐性工程知识写成机器和新人都能遵守的约束。

因此，软件 Agent 的终点不是替代写代码的人，而是提高可信变化的供给。实现文本会越来越便宜，需求边界、运行环境、验证证据和责任归属仍然稀缺。能把这些稀缺要素组织成稳定、可复用的工作流的团队，才会真正把模型能力转化为交付速度。