Seatbelt
macOS内置的沙箱安全机制，通过Scheme风格策略文件描述进程允许或禁止的系统调用，用于限制应用程序的权限范围，常用于macOS平台的应用权限管控。
时间轴 (近 90 天)
Seatbelt 是 macOS 系统自带的沙箱框架，靠声明式策略文件限制进程的系统调用和资源访问；AppContainer 是 Windows 上的机制，给进程分配低权限令牌使其只能访问显式授予的资源和能力。
在 macOS 上，Gemini CLI 沙箱优先使用 sandbox-exec（Seatbelt），默认 profile 为 permissive-open，允许任意文件读取，但写入仅限项目目录、临时目录、缓存、~/.npm、~/.cache 及 --include-directories 指定路径，并屏蔽 Docker socket 和对 ~/.gemini 凭证文件的写入。
RLM 的 Python 子进程是普通子进程，并不经过操作系统级沙箱（Seatbelt/bwrap），该机制只覆盖 shell 命令
Seatbelt 是 macOS 的沙箱框架，bwrap（Bubblewrap）是 Linux 上基于用户命名空间的轻量级容器工具，Flatpak 等应用沙箱底层均依赖它
Claude Code和Codex在macOS都用Seatbelt、在Linux都用Bubblewrap做进程隔离
Unsloth 在三大平台为模型运行的代码提供沙箱隔离：Linux 使用 Bwrap，macOS 使用 Seatbelt，Windows 使用 MXC
Seatbelt是macOS内置的沙箱机制，底层接口为sandbox_init，通过Scheme风格的策略文件描述进程被允许或禁止的系统调用
该运行时在macOS上使用Seatbelt、在Linux上使用Bubblewrap实现操作系统级沙箱隔离
Codex使用操作系统级沙箱：macOS上用Seatbelt、Linux上用seccomp、Windows用原生沙箱或WSL
全部知识事实 (10)
Codex在macOS上使用Apple的Seatbelt沙盒技术，在Linux上通过网络命名空间实现隔离
80%待验证Seatbelt 是 macOS 系统自带的沙箱框架，靠声明式策略文件限制进程的系统调用和资源访问；AppContainer 是 Windows 上的机制，给进程分配低权限令牌使其只能访问显式授予的资源和能力。
50%待验证在 macOS 上，Gemini CLI 沙箱优先使用 sandbox-exec（Seatbelt），默认 profile 为 permissive-open，允许任意文件读取，但写入仅限项目目录、临时目录、缓存、~/.npm、~/.cache 及 --include-directories 指定路径，并屏蔽 Docker socket 和对 ~/.gemini 凭证文件的写入。
50%待验证Seatbelt 是 macOS 的沙箱框架，bwrap（Bubblewrap）是 Linux 上基于用户命名空间的轻量级容器工具，Flatpak 等应用沙箱底层均依赖它
50%待验证RLM 的 Python 子进程是普通子进程，并不经过操作系统级沙箱（Seatbelt/bwrap），该机制只覆盖 shell 命令
50%待验证Claude Code和Codex在macOS都用Seatbelt、在Linux都用Bubblewrap做进程隔离
50%待验证Unsloth 在三大平台为模型运行的代码提供沙箱隔离：Linux 使用 Bwrap，macOS 使用 Seatbelt，Windows 使用 MXC
50%待验证该运行时在macOS上使用Seatbelt、在Linux上使用Bubblewrap实现操作系统级沙箱隔离
50%待验证Seatbelt是macOS内置的沙箱机制，底层接口为sandbox_init，通过Scheme风格的策略文件描述进程被允许或禁止的系统调用
50%待验证Codex使用操作系统级沙箱：macOS上用Seatbelt、Linux上用seccomp、Windows用原生沙箱或WSL
50%