Agent 执行沙箱
前置：知道容器（Docker）大概是 什么。不需要懂内核、虚拟化或者操作系统课上的那些东西。
本专题回答：模型写出来的代码敢不敢直接跑，容器够不够用，以及每开一个隔离环境要等多久。
两件在没有隔离时都会真的发生的事：
- 你让 Agent 清理临时文件，它生成的 shell 里有一行是
rm -rf /—— 不是恶意，只是路径变量拼接时空了 - 你装了个网上找来的 MCP 工具，用着挺好，它在后台顺手读了一遍你的
~/.ssh/id_rsa—— 这件事你根本不会察觉
所以问题不是「模型会不会犯错」，而是它犯错的时候能够到多远。执行沙箱划的就是这条线。
本专题只讲生产运行时的隔离
训练时也需要沙箱，但那是另一套东西 —— 并发规模差两个数量级、单个环境只活几十秒、而且必须能重置回同一个起点。那部分见 Agent 训练环境，逐条对比见 训练环境 01 篇。
先约定几个词，本专题全程使用：
| 词 | 意思 |
|---|---|
| 沙箱（sandbox） | 一个受限的执行环境，里面的代码伤不到外面。注意它限制的是「破坏能力」，不是「信息搬运能力」 |
| 逃逸（escape） | 沙箱里的代码突破隔离、拿到宿主机权限。这是所有隔离方案最终要防的那件事 |
| 宿主（host） | 跑着沙箱的那台机器或那个进程。相对地，沙箱内部叫 guest |
| 内核 | 操作系统的核心，负责管硬件和进程。沙箱和宿主共不共享内核，是三条路线最根本的分界 |
| 系统调用（syscall） | 程序请求内核干活的接口，比如打开文件、发网络包。拦不拦系统调用、在哪一层拦，决定了隔离强度和开销 |
| microVM | 精简过的虚拟机，去掉了传统虚拟机里绝大多数不必要的设备模拟，所以能在一百多毫秒内启动，代表实现是 Firecracker |
| 爆炸半径 | 出事之后影响到的范围。沙箱的意义就是把它从「整台宿主机」压缩到「一个沙箱实例」 |
一、隔离强度和启动速度是一对矛盾
划这条线不难，难的是同时满足两个互相拉扯的要求 —— 既要关得够死，又要开得够快（用户在等回答，你不能让他等一台虚拟机开机）：
隔离越强，启动越慢 、资源开销越大。三条主流技术路线就是在这条轴上的三个不同位置。
二、三条隔离路线
← 快、弱隔离 慢、强隔离 →
三者不是简单的优劣关系 —— 02 篇会说明它们各自防住了什么、防不住什么。
三、正文构成
| # | 标题 | 读完能回答的问题 |
|---|---|---|
| 01 | 为什么需要沙箱 | 到底怕的是什么？「隔离」这两个字其实分成四件独立的事，以及什么情况下你不需要沙箱 |
| 02 | 三条隔离路线 | 容器够不够？三条路各自把代码关在哪一层，分别防住了什么、防不住什么 |
| 03 | E2B 与快照机制 | 一台虚拟机凭什么能在一百毫秒内起来？任务做到一半怎么把它冻住、明天再解冻 |
| 04 | 开源产品怎么做 | 已经上线的产品实际选了哪条路？OpenHands 为什么同时留了五种后端 |
| 05 | 选型与落地 | 我该选哪个？如果决定不上沙箱，靠权限分层能顶到什么程度 |
四、拆解对象
| 项目 | ★ | 协议 | 语言 | 定位 |
|---|---|---|---|---|
daytonaio/daytona | 71,960 | — | — | Agent 运行环境，star 最高 |
firecracker-microvm/firecracker | 36,147 | Apache-2.0 | Rust | microVM，AWS Lambda 与 Fargate 的底座 |
kortix-ai/suna | 20,119 | NOASSERTION | TypeScript | 最接近 Manus 的开源实现 |
google/gvisor | 19,118 | Apache-2.0 | Go | 用户态内核 |
e2b-dev/E2B | 13,474 | Apache-2.0 | Python | Agent 沙箱的事实标准 SDK |
superradcompany/microsandbox | 7,767 | Apache-2.0 | Rust | 轻量 microVM 方案 |
e2b-dev/infra | 1,331 | Apache-2.0 | Go | E2B 的服务端，快照机制在这里 |
OpenHands/software-agent-sdk | 1,008 | MIT | Python | 五种 workspace 后端并存 |
五、与其他专题的关系
- Agent 安全：沙箱是纵深防御的最后一道，安全 04 篇已指出它管不了数据外泄
- Agent 网关 · MCP 网关：工具级授权在网关侧，代码执行隔离在沙箱侧，两者互补
- Agent 持久化执行：沙箱的暂停恢复与工作流的检查点是同一类问题 的不同层次
- Lobster0 项目沉淀：无沙箱、靠权限分层的实践对照
← 回到 Agent Infra 板块总览