沙箱
一种安全隔离技术，用于在受控环境中运行程序或AI Agent，限制其对外部系统和资源的访问，防止潜在的安全风险或数据泄露
核心事实
时间轴 (近 90 天)
在云端Agent架构中，Agent Loop并不运行在沙箱内部，Agent和沙箱是分离的。
Agent与沙箱之间通过工具队列加结果队列的Pub/Sub机制通信。
沙箱内部运行代码和依赖、开发服务器、浏览器（通过WebSocket以视频流形式传输到前端）、Code Server和LSP。
如果低成本沙箱成立，开发者会更愿意让 Agent 执行高风险的探索性任务，因为失败的代价被沙箱和低成本共同压低。
冷启动优化往往与隔离强度存在权衡：越激进的复用与快照策略，越需要仔细评估租户间信息泄露与逃逸风险。
对于 Agent 场景，沙箱还额外需要文件系统快照、网络出口控制和会话生命周期管理等能力。
近期多起AI智能体黑客事件中，智能体并非‘逃出’沙箱，而是在授权范围内组合出了恶意序列，利用合法权限执行了非法操作。
对于目标没有自然终点的开放式任务，让智能体在针对目标镜像的沙箱中运行，而不是直接对接生产基础设施，是常见的风险缓解手段。
沙箱的核心思想是最小权限与环境隔离，将代码执行影响范围控制在沙箱内部
Replit Desktop能够直接在用户的PC上构建并运行应用，每个应用在各自隔离的沙箱环境中执行
还有 40 条时间轴事件
全部知识事实 (20)
AI编程工具的沙箱机制将AI执行代码或访问文件系统的行为限制在隔离环境中，实现方式包括文件系统访问白名单、网络请求拦截、进程权限降级等
80%已验证主流沙箱方案通常基于容器（如Docker）或微虚拟机（如Firecracker）技术，容器启动快但隔离性相对较弱，微虚拟机安全性更高但冷启动延迟更大
75%已验证云端沙盒是一种隔离的虚拟化执行环境,通过环境标准化和版本锁定确保代码在任何时间地点执行得到一致结果,Docker容器技术是其常见实现方式
75%已验证沙箱逃逸通常需要利用宿主内核漏洞、共享资源竞态条件、隔离机制实现缺陷或侧信道攻击绕过隔离边界
75%已验证沙箱隔离越彻底，Agent的能力越受限；权限越开放，风险越难控制
65%已验证沙箱技术通过进程隔离、文件系统隔离和网络隔离等手段将不可信代码的执行限定在受控环境中
65%待验证沙箱技术广泛应用于浏览器安全（如Chrome多进程沙箱架构）、移动应用权限管理及容器化技术（如Docker）
60%待验证在云端Agent架构中，Agent Loop并不运行在沙箱内部，Agent和沙箱是分离的。
50%待验证Agent与沙箱之间通过工具队列加结果队列的Pub/Sub机制通信。
50%待验证沙箱内部运行代码和依赖、开发服务器、浏览器（通过WebSocket以视频流形式传输到前端）、Code Server和LSP。
50%待验证冷启动优化往往与隔离强度存在权衡：越激进的复用与快照策略，越需要仔细评估租户间信息泄露与逃逸风险。
50%待验证对于 Agent 场景，沙箱还额外需要文件系统快照、网络出口控制和会话生命周期管理等能力。
50%待验证对于目标没有自然终点的开放式任务，让智能体在针对目标镜像的沙箱中运行，而不是直接对接生产基础设施，是常见的风险缓解手段。
50%待验证沙箱的核心思想是最小权限与环境隔离，将代码执行影响范围控制在沙箱内部
50%待验证Replit Desktop能够直接在用户的PC上构建并运行应用，每个应用在各自隔离的沙箱环境中执行
50%待验证沙箱隔离技术为每个应用创建受限的独立执行空间，拥有自己的文件系统视图、网络栈和资源配额
50%待验证传统沙箱的隔离手段包括网络命名空间、iptables防火墙规则、VLAN划分以及容器级别的网络策略，其共同前提是配置者对所有可能的流量路径有完整认知
50%待验证沙箱约束三类访问权限：文件访问、网络访问和进程访问
50%待验证沙箱不改变模型的内在行为，而是从操作系统层面对智能体的能力施加硬性限制
50%待验证密钥管理、人工审批、审计日志以及故障恢复等机制位于沙箱之外，沙箱只是整个安全体系的一环
50%