让智能体干活，本质上是在给一个你无法完全预测其行为的执行者发权限。编码智能体要跑命令、浏览器智能体要碰页面、数据智能体要查库。权限给窄了，八步任务卡在第三步；给宽了，一条被污染的网页内容就可能变成一次删除操作。

一、沙箱解决什么

沙箱的核心承诺只有一句话：让爆炸半径可承受。智能体可以犯错、可以被注入、可以抽风，但最坏情况下损失的只是一个可重建的容器、一个临时目录、一张快照回滚。

工程上常见的层级是从松到紧：

1. 进程级限制：跑在容器里，限制 CPU、内存、网络出口白名单；
2. 文件系统隔离：只挂载工作目录，用 overlay 或快照支持一键回滚；
3. 网络隔离：默认断网，白名单放行包仓库和明确需要的 API；
4. 凭据隔离：沙箱内不出现长期凭据，需要特权操作时通过代理服务代办并留痕。

二、比隔离更难的是放行

真正的难点从来不是把东西关起来，而是决定放什么出去。智能体要装依赖就要网，要拉私有代码就要凭据，要交付结果就要写库。每一条放行都是一个策略决定，而策略会随任务类型变。

可行的做法是把放行做成显式协议：智能体声明需要的资源，宿主按任务模板审批，临时凭据短时效发放、用完即废。审批的粒度应该是任务级而不是会话级——一个会话里干三件事，和三件事共用一套权限，风险完全不同。

三、别忘了沙箱里的东西也不可信

沙箱保护的是外面，里面跑的代码和读的内容仍然可能全是恶意输入。提示注入最现实的威胁模型就是：智能体在沙箱里读了一份带指令的网页或 issue，然后拿着沙箱内仅有的权限去干坏事。所以沙箱边界要按「里面的内容随时会变坏」来设计，而不是「内容审过了才进来」。

小结

沙箱不是一道墙，是一组带审批的放行规则加上可回滚的执行环境。愿意在回滚速度和凭据时效性上花功夫的团队，才敢把智能体的权限放大到真正能干活的程度。

说明：本文为公开资料的整理与评述，信息来源包括主流容器与沙箱方案的公开文档及安全行业分析，数据以各官方原文为准。本文由 AI 辅助整理，不构成技术选型或投资建议。