AI Agent 沙箱选型指南：五种隔离架构对比

什么时候选它：

• 你已经有 Kubernetes 集群，想在不引入 VM 的情况下获得更强隔离
• 你的工作负载不是 I/O 密集型
• 你的团队有容器化运维经验

什么时候不选：

• I/O 密集型任务 — 30-50% 的性能损耗可能不可接受
• 本地轻量部署 — 它依赖 containerd/K8s 生态
• 需要 100% 系统调用兼容 — 有些调用没实现

2.3 WebAssembly (WASM) — 正确的未来方向，但现在还不够

代表技术：WasmEdge、Wasmtime、Wasmer、Pyodide (浏览器端)

代码编译为中间字节码，在沙箱虚拟机中运行。线性内存模型天然提供内存安全和指令级隔离。

什么时候选它：

• 插件/扩展系统 — Envoy filters、Shopify Functions
• 边缘计算 — Cloudflare Workers
• 浏览器端代码执行

什么时候不选：

• AI Agent 需要直接运行 Python/Node.js/Bash — WASI 生态还不够"无感"
• 需要访问本地文件系统和网络
• 需要跑现有工具链而不想重新编译

趋势判断：WASM 是正确的长期方向。随着 WASI Preview 2 和 Component Model 成熟，预计 2-3 年内将成为轻量沙箱的主流选择。但今天对通用 AI Agent 脚本的支持还需要额外适配工作。

2.4 传统容器 (Containers) — 熟悉但容易被高估

代表技术：Docker、Podman

有一个关键认知需要建立：Docker 的设计目标是应用部署隔离，不是防御恶意代码执行。 这是两个不同的问题域。

在默认配置下，我们的 20 项安全测试中 Docker 仅拦截了 2 项（10%）。通过 --cap-drop ALL、自定义 seccomp profile、AppArmor 等手段可以大幅提升，但这需要深厚的安全工程经验——配置错误本身就是最大的安全风险。

什么时候选它：

• 常规开发测试，代码来自你自己的团队
• 已有完善的 Docker 安全加固流程
• 快速原型验证

什么时候不选：

• 面对恶意代码时，默认配置远远不够
• 本地 AI Agent — 启动太慢、daemon 太重

2.5 原生进程沙箱 (Native Process Sandbox) — 本地 AI Agent 的最佳平衡

代表技术：SkillLite (Rust)、Claude SRT (Seatbelt)

利用操作系统原生安全原语（macOS Seatbelt、Linux bwrap + seccomp、Windows Job Object）在进程级别实施隔离。没有单独的内核，没有 VM——直接用 OS 自身的能力。

SkillLite 和 Claude SRT 同用 Seatbelt 底层技术，但安全拦截率差异巨大（100% vs 32.5%）。原因不在运行时沙箱本身，而在于 SkillLite 的防御纵深架构——在代码进入沙箱之前就有两层过滤：

┌─────────────────────────────────────────────┐
│ Layer 1: 安装时扫描                          │
│ ├─ 静态规则引擎（模式匹配）                  │
│ ├─ LLM 分析（可疑代码 → 模型审查）            │
│ └─ 供应链审计（PyPI/OSV 漏洞库）              │
├─────────────────────────────────────────────┤
│ Layer 2: 执行前授权                          │
│ ├─ 两阶段确认（扫描 → 确认 → 执行）           │
│ └─ scan_id 一次性消费（防重放绕过）           │
├─────────────────────────────────────────────┤
│ Layer 3: 运行时沙箱                          │
│ ├─ OS 原生隔离（Seatbelt / bwrap + seccomp） │
│ ├─ 进程执行白名单（仅允许解释器）             │
│ ├─ 文件系统隔离（拒绝敏感路径 + 移动保护）    │
│ ├─ 网络隔离（deny + SOCKS5 代理白名单）       │
│ ├─ 资源限制（rlimit CPU/mem/file/nproc）     │
│ └─ IPC 阻断（deny mach-register/iokit-open） │
└─────────────────────────────────────────────┘

大多数沙箱方案只覆盖 Layer 3。SkillLite 的安装时扫描和供应链审计是目前 AI Agent 沙箱领域的独有能力：

三、按场景选型：决策树

你的 AI Agent 运行在哪里？
├── 公有云 / 多租户 SaaS
│   ├── 用户上传完全不可信的代码？
│   │   ├── 是 → Firecracker MicroVM（或 E2B/Modal 托管）
│   │   └── 否 → gVisor + Kubernetes
│   └── 不想自建基础设施？
│       └── E2B / Modal 托管方案
├── 本地个人电脑 / AI 助手
│   ├── 需要毫秒级响应 + 零依赖？
│   │   └── SkillLite（40ms 热启动，2MB binary）
│   ├── 已有 Docker 且能做安全加固？
│   │   └── Docker + seccomp + cap-drop
│   └── 需要离线 + 隐私不出域？
│       └── SkillLite
├── 边缘计算 / 嵌入式
│   └── WASM（WasmEdge / Wasmtime）
└── 企业 K8s 集群
    ├── 安全合规要求高？
    │   └── Kata Containers（VM 级隔离 + K8s）
    └── 性能优先？
        └── gVisor runsc

场景一：本地 AI Agent / 个人助手

典型产品：OpenCode、Claude Desktop 本地版、本地 Copilot

核心诉求：毫秒级响应、低内存、离线可用、防止 AI 幻觉导致的意外破坏

推荐：SkillLite

场景二：多租户 AI 代码执行平台

典型产品：Replit、E2B、Code Interpreter as a Service

核心诉求：绝对隔离、防内核逃逸、安全合规

推荐：Firecracker MicroVM（或 E2B/Modal 托管）

场景三：K8s 集群安全容器

推荐：gVisor 或 Kata Containers

场景四：插件系统 / 边缘计算

推荐：WASM（WasmEdge / Wasmtime）

天然的内存安全和指令级隔离，非常适合插件架构和资源受限环境。

场景五：开发测试 / 快速原型

推荐：Docker（加安全加固）

如果代码来自你自己的团队，Docker 的默认配置对常规开发测试已经够用。如果涉及不可信代码，务必配置 seccomp profile 和 --cap-drop ALL。

四、综合对比表

五、关于"共享内核"的风险——客观评估

SkillLite 和 Docker 都共享宿主内核，理论上存在内核逃逸风险。但这个风险需要放在具体场景中评估：

内核逃逸的门槛极高：需要未公开的内核 0-day + 绕过 KASLR/SMEP/SMAP + 绕过 seccomp 过滤。SkillLite 已经通过 seccomp 阻止了 ptrace、mount、kexec_load 等高危系统调用，进程白名单（仅允许解释器）进一步缩小攻击面。

信任模型决定选择：

对于本地 AI Agent 场景，用户运行的是自己选择的 AI 模型，主要风险是"意外错误"和"初级恶意 Prompt"——这恰好是进程沙箱 + 供应链审计最擅长的区间。

六、进阶思路：混合架构

实际生产中，最佳实践往往是组合使用——按风险等级路由到不同强度的沙箱：

 ┌──────────────────────────────┐
 │ SkillLite 前置扫描            │
 │ (安装时扫描 + 静态扫描 +      │
 │ 供应链审计 → 风险评级)         │
 └──────────┬───────────────────┘
            │
 ┌──────────┼──────────────────┐
 │          │                  │
┌─────────▼──────┐ ┌─────▼──────┐ ┌──────▼─────┐
│ 低风险          │ │ 中等风险    │ │ 高风险      │
│ SkillLite 沙箱  │ │ Docker 加固 │ │ Firecracker │
│ (40ms, 10MB)   │ │ (秒级启动) │ │ (125ms)    │
└────────────────┘ └────────────┘ └────────────┘

SkillLite 的供应链安全层可以作为任何运行时沙箱的前置过滤器——先评估风险，再决定隔离强度。

七、总结

最后一句：在 AI Agent 安全领域，最大的风险不是选错了沙箱方案，而是根本没有沙箱。目前大多数 AI Agent 框架默认配置下几乎没有沙箱保护。无论你选哪种方案，先用起来。

SkillLite: https://github.com/EXboys/skilllite 安全 benchmark 测试脚本和数据均已开源，欢迎复现验证。