代码执行 Agent 的沙箱边界 | 柠萌的生活日记

代码执行必须在进程、文件、网络、凭据和时间维度隔离。

图：输入校验不能替代隔离，进程、文件、资源、网络和凭据必须共同设防；点击查看原图。

问题背景

生成式模型擅长处理模糊语言和提出候选方案，却不天然保证状态一致、权限正确或动作可恢复。讨论“代码执行 Agent 的沙箱边界”时，重点不应只是跑通演示，而是系统失败后是否知道发生了什么、能否安全继续，以及结果能否重复验证。

设计方案

使用一次性环境、只读镜像、最小挂载、网络白名单与短期凭据。

在“最小权限执行环境”进入实现前，先标注输入来源、调用身份和数据等级；输出通过结构与领域校验后才允许进入下一步。涉及外部副作用时，执行记录必须包含稳定业务键和脱敏证据。

实施产物：最小权限执行环境

每次任务创建临时工作区；使用只读根文件系统、非 root、资源限额和网络白名单；结束后销毁。先在测试环境保存一条完整运行证据，再接入真实写操作；每次变更都必须能定位到配置、代码和数据版本。

practice:
  id: harness-sandbox
  artifact: "最小权限执行环境"
  owner: platform-team
  timeout_seconds: 30
  failure_mode: fail_closed
  audit: required

示例只表达边界，不是可直接复制的完整框架配置。落地时应使用当前依赖版本的官方 API，并把超时、身份和审计接到现有基础设施。

实施步骤

1. 选一个可回放的小任务，写清输入、成功条件和禁止发生的副作用。
2. 实现“最小权限执行环境”，把模型建议与真正执行隔离。
3. 人工走通成功、拒绝和恢复三条路径，保存 run_id 与关键事件。
4. 加入自动化回归，再用小比例非关键流量观察指标。
5. 达到门槛后逐步放量；任一安全约束失败立即停止新任务并回退版本。

失败演练与验收

首要反例是：仅靠提示词禁止危险命令。不要只验证顺利完成；还要注入超时、重复请求、取消、无权限输入和依赖返回畸形数据。

本篇的硬性验收是：尝试访问宿主路径、元数据地址和超额资源，均应被内核或运行时阻断。同时记录 逃逸尝试数、限额触发数、环境销毁时长。验收脚本应按结构化字段判定，不以“回答看起来合理”代替测试。

上线与回滚

“最小权限执行环境”上线前要固定模型、提示、规则、工具 schema 与数据版本，并用影子或灰度流量比较旧版。若 逃逸尝试数、限额触发数、环境销毁时长 越过门槛，先停止新 Run，再处理在途任务，恢复旧组合后逐项核对未决副作用。

适用边界

当场景是“完全不执行外部代码”时，这套设计的维护成本通常高于收益。权限、金额、删除和一致性约束始终交给确定性代码，不能交给模型自行判断。

多层边界共同成立

层	控制
进程	非特权用户、无新权限、系统调用过滤
文件	临时根、只读输入、独立输出、配额
资源	CPU、内存、进程数、文件数、墙钟时间
网络	默认拒绝、目的地/端口 allowlist、代理审计
凭据	按工具短时注入，子进程不可继承多余秘密
生命周期	唯一环境、终止进程树、可证明销毁

路径检查使用打开后的真实文件/目录边界，防止 ..、符号链接和竞态逃逸；压缩包解压逐项检查目标路径与展开大小。命令以 argv 数组执行，不拼 shell 字符串。网络要阻断云元数据、宿主与私网地址，DNS 解析后再次检查实际目标，避免重绑定。

沙箱不能让恶意代码变安全，只能降低影响。测试 fork bomb、内存增长、超长输出、挂起进程、路径穿越、符号链接、SSRF 和进程退出后遗留子进程。验收限制由内核/运行时强制，而不是仅靠 Agent 提示；销毁失败环境进入隔离与告警，不能复用于下一个租户。

第二轮实践复核

围绕“最小权限执行环境”建立一个不接触生产数据的最小项目，固定运行时、框架、模型、提示、规则和工具 schema 版本。正文代码块若缺少完整依赖、导入或领域类型，应视为架构伪代码；只有放入示例仓库并通过下述命令的代码才标记为可运行。

• 项目验证：运行项目既有的 schema 校验、契约测试与离线评测命令
• 回归夹具：把输入、结构化输出、工具轨迹和副作用记录为 JSON，用固定版本执行正常、拒绝、超时、取消与重复请求五组回归样本。
• 必留证据：run_id、版本组合、终止原因、动作幂等键，以及 逃逸尝试数、限额触发数、环境销毁时长。
• 通过条件：未批准写操作为零副作用；相同幂等键重复执行只产生一个业务结果；超时或恢复后状态可解释。
• 失败处理：先停新任务，再核对在途动作；回滚模型、提示、规则、工具与状态迁移的完整组合，不能只换回模型。

复用顺序

1. 为“代码执行 Agent 的沙箱边界”建立确定性假工具，先跑契约与失败用例，不接触真实凭据。
2. 围绕“最小权限执行环境”接入只读能力，核对权限裁剪、脱敏字段和 Trace 完整性。
3. 需要写能力时先输出 dry-run 差异，再绑定审批结果与一次性动作哈希。
4. 以本文验收指标比较影子流量；达到门槛才放量，越线立即执行文中的组合回滚。

实践与资料复核日期：2026-08-22；框架 API 以锁定版本的官方文档为准。

参考资料

• 官方文档

框架 API 会持续演进，复制示例前应再次确认当前版本。可持续的 AI 工程不依赖某个模型偶尔表现出色，而依赖清晰契约、可靠 Harness 与可重复验证。