待验证50% 置信权衡取舍精确时间
开启 sandbox.allowNestedUserNamespaces 后，沙箱内命令能够绕过部分文件保护限制，是需要使用者自行权衡安全与可用性的选项
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/20
首次发现
有效期至：2027/1/18
来源
涉及实体
相关事实
待验证iOS的App Sandbox通过强制代码签名和权限声明机制将应用数据访问限定在沙盒容器目录内78% 相似待验证`sandbox_mode` 与 `approval_policy` 是两个正交维度：`sandbox_mode` 决定进程在 OS 层面的读写与联网能力，`approval_policy` 决定执行前是否暂停询问人类；把 `approval_policy` 设为 `never` 不会放宽沙箱边界，在 `read-only` 下仍无法写文件。76% 相似待验证每个沙箱都应该绑定到经过认证的用户或任务，一个被猜到的沙箱 ID 不应该授予任何访问权限。75% 相似待验证沙盒应用只能访问自己 ~/Library/Containers/ 目录下的数据，而非沙盒应用的数据可能散布在 Application Support、Preferences、钥匙串等多个系统级位置73% 相似待验证沙箱隔离（Sandboxing）是从网络层面限制智能体的出站能力，通过白名单机制只允许访问经过审查的服务70% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1077802API
curl https://kongchang.com/api/v1/knowledge/claims/1077802MCP
get_claim(id=1077802)