容器沙箱通过命名空间、cgroups等机制限制文件系统、网络和资源占用，将不受控Skill的影响约束在单个容器内。