Agent 沙箱 vs 完整 VM：隔离、成本与本地工具调用

背景

Agent 一旦能执行命令，安全边界就从「提示词写得好不好」变成了 进程与文件系统能碰到什么。常见隔离档位大致是：进程级沙箱（限制网络与目录）、容器 / microVM、以及完整虚拟机。另有一类轻量路径是 WebAssembly 或专用解释器：适合纯计算与格式变换，不适合任意系统调用。

没有银弹。隔离越强，启动与 I/O 成本通常越高；隔离越弱，一次误删或一次外泄的面越大。工程团队需要按 工具危险等级 分层，而不是给所有调用同一套「能跑就行」环境。

要点

1. 临时沙箱：短生命周期、默认无持久密钥、用完即毁；适合跑测试与生成补丁。
2. 完整 VM：适合需要真实内核特性、复杂驱动或长期状态的场景；成本与运维更高。
3. 轻量运行时：Wasm / 受限解释器适合编解码、模板渲染；不要指望它替代系统包管理。
4. 本地浏览器工具：对人机协作极友好——样本不上传、立刻可见；与 Agent 沙箱互补，而不是互斥。

危险操作（写系统目录、读密钥、出网 POST）应默认落在更高隔离档，并要求显式确认。

怎么做

落地清单（可写进团队规则）：

1. 工具分级：只读变换（格式化、哈希）→ 本地沙箱可自动；副作用（写文件、发请求）→ 审批或更高隔离。
2. 路径白名单：工作区根以外一律拒绝；密钥目录、.env、SSH 私钥默认不可读。
3. 网络默认关：需要时按域名白名单临时打开，并记审计日志。
4. 凭证不进上下文：连接串、JWT 先在本地工具里拆字段、确认角色，再决定要不要交给 Agent。
5. 生命周期：沙箱会话设超时；产物拷回仓库前跑 Diff / 扫描。

粘贴样本 → 本地工具辨认敏感字段 →
仅把脱敏结构交给 Agent → Agent 在沙箱内生成补丁 →
人工 Diff → 合并

Unix 权限与哈希校验仍然有效：脚本可执行位、产物完整性、配置文件 mode，都能在沙箱策略之外再挡一层。

和本站工具

• Unix 权限：快速换算 mode 与符号表示。
• 哈希：校验产物是否被意外改写。
• 连接串解析：看清主机与账号，再决定隔离等级。
• JWT 解码：查看声明后再谈是否需要验签环境。

隐私说明：本站工具默认本地运算，适合「先看清再授权」的前置步骤。

选型时可以用一张简单决策表：是否需要任意系统调用？是否需要持久磁盘？是否需要访问内网？三个「否」优先沙箱或 Wasm；任一「是」再评估容器；需要内核模块或强隔离审计时再上完整 VM。决策表进仓库，避免每次口头争论。

本地工具调用的安全要点还包括：剪贴板内容默认视为不可信；生产日志先脱敏再分析；一次性令牌用完即作废。沙箱再坚固，人也可能把密钥贴进错误窗口——流程上的「先辨认、再授权」与技术隔离同等重要。把这些写成 onboarding 检查项，比只靠文档开头一段警告有效。

小结

把沙箱当成 默认执行面，完整 VM 留给确有需要的工作负载；敏感样本先走浏览器本地工具。隔离、成本与可调试性三角权衡写进规则文件，比事后补漏洞便宜得多。