容器、gVisor、microVM 差在哪：核心、系統呼叫與硬體誰和誰共用
容器共用 host 核心，gVisor 在中間插一個使用者空間核心，microVM 多一個 guest 核心加 hypervisor；三種都還共用同一台 host 的 CPU 快取與儲存。
#sandbox
58 篇文章沒有網路也能傳資料：共用快取、儲存與 CPU 時間怎麼變成訊號
兩個互不連線的程式可以靠共用資源的快慢傳位元：一方改變資源狀態，另一方計時。這類通道要先約好協定，速度慢、容易被雜訊蓋掉；本機實驗在 20 bps 以下幾乎全對，100 bps 以上錯誤明顯增加。
防守清單怎麼讀：隔離、降噪與偵測各擋哪一類問題
沒有任何一項防守同時擋住旁路通道與出口。擋通道的核心是不共用，擋出口的核心是收窄被放行的服務，監控只負責發現，自動停止是事後回應，兩者都不是預防。
出口不只一個：套件代理、DNS 與「替人跑腿」的服務
沙盒沒有直連網路，不代表沒有出口：套件代理、DNS 解析器、metrics 服務這類被放行的服務，只要能替人發請求就是出口。OpenAI 的三個案例都是這個形狀。
OpenAI 紅隊報告怎麼讀：四種通道、實驗條件與沒公開的數字
OpenAI 自述紅隊 agent 在共用主機上用快取、儲存、CPU 時間與 TLS 憑證快取做出通訊管道，多數通道很慢；多數測試被指定了通道或給了協定，頻寬與錯誤率沒有公開。
Agent 的程式碼跑在哪裡：容器、核心、主機、網路與監控五層隔離
一段 agent 程式碼從執行到連線會穿過五層：容器、核心邊界、共用主機、網路邊界、監控。每層只承諾一件事，共用主機這層幾乎沒有承諾。
你的 agent 該擔心哪幾層：個人、團隊與多租戶平台的優先順序
依我的判斷，OpenAI 談的是訓練前沿模型的研究環境；個人 agent 最該先做的是限制憑證與出口，旁路通道要到有第二個需要被隔離的租戶時才變成主要風險。
沙箱怎麼選：四種隔離的差別，以及 Claude Code 與 Codex 的預設差在哪
我把 agent 沙箱分成四種：共用核心的作業系統隔離、容器編排、本機 microVM（輕量虛擬機）、遠端 microVM。Claude Code 的沙箱預設關閉、只包 shell 指令；Codex CLI 本機預設開啟。公開的逃逸案例多半繞過邊界旁邊的設定檔或檢查腳本，不是打穿核心；沙箱回答的是被騙之後能走多遠，不是會不會被騙。用 Claude Code 的話，先開沙箱，再把 ~/.ssh、~/.aws 列進拒絕清單，並另外擋住 Read 工具。
AI Agent 的資安工具怎麼分：風險入口、七類工具與三個反覆出現的限制
裝 skill、接 MCP、讓 agent 跑指令時，風險可以看成從四個入口進來。我把相關的開源防護工具依介入的時間點分成七類，從安裝前掃描、沙箱、護欄到稽核與紅隊測試。這一篇先看每一類管哪一段，以及三個反覆出現的限制：沒有單一工具能獨當防線、預設值常常對你不利、公開的偵測數字缺少獨立評測。
Agent 的沙盒、憑證與網路邊界
用作業系統限制實測合成檔案與網路，再獨立檢查短效、限資源的授權；程式內允許清單不是 OS 沙盒，通訊方式也不會限制程序能力。
AI Agent GitHub Digest — 2026-10-18
**microsoft/mxc**（2,891★）是微軟 10/7 GA 的 agent 沙箱化執行層，GitHub Copilot／Codex／Replit 已支援；**perplexityai/SPACE**（1,332★）是 Perplexity 把自家 Firecracker microVM 沙箱開源出來，originally 跑 Perplexity Computer 的內部基礎設施；**Niko1221/Strata**（26,784★）讓 Qwen3.8-Flash-Next 能在消費級硬體一鍵跑起來，本地提供 OpenAI／Anthropic 相容 API；**morluto/rea**（304,672★）連續第三次上榜，4 天內從上次報的 14.6 萬星衝破 30 萬。Release：pydantic-ai v2.57.0 標了「相容性變更」，Skills 補上 `disable-model-invocation`／`user-invocable` 支援。
Agent 安全——四種威脅模型，加上沙盒、憑證代管與監控三道限制｜CMU 11-768 第 13 堂
第 13 講的主軸是「限制 agent 能存取什麼、能做什麼」。投影片先用五個真實事件說明出事的方式，再歸成四種威脅模型（惡意使用者、prompt injection、agent 失誤、不當手段）；對策分四層：訓練端的 red teaming 與安全訓練、執行端的沙盒與憑證代管、事後與即時的監控，以及安全評測。最容易被忽略的一點是：把 API key 藏起來，不等於 agent 不能濫用它背後的權限。
Codex 架構總覽：Rust Monorepo、Bazel 建構、跨平台沙箱
Codex 以 Bazel 管理 140+ Rust crate，核心分為 core/tui/exec-server/protocol 四大塊；沙箱用 codex_sandboxing 統一 macOS Seatbelt、Linux Landlock/bwrap、Windows 沙箱三平台介面；exec-server 以 JSON-RPC + Noise Relay 實現遠端執行。
pi-mono 深度導讀 15：Containerization、Sandbox、Permission Model——Gondolin、Docker、OpenShell、安全邊界
Pi 為什麼不內建 Permission System、Gondolin Extension（微 VM 隔離）、Docker 整合模式、OpenShell 沙盒、Permission Model 設計哲學、三種容器化部署模式、安全邊界對比、micro-VM vs Container vs Process Isolation、Extension 如何實作沙盒。
Azure Container Apps Sandboxes
沙箱系列的雲端深入篇（order 14）。Azure Container Apps Sandboxes 的架構、snapshot 與 state management、lifecycle policy、與其他供應商的取捨，以及 Azure 生態整合優勢。
Amazon Bedrock AgentCore 與 Alibaba OpenSandbox
沙箱系列的雲端深入篇（order 13）。AWS Bedrock AgentCore 與阿里雲 OpenSandbox 兩大雲端原生沙箱服務的架構、多語言 SDK、BYOC 模式、與其他供應商的取捨。
跟成熟 coding agent 學設計（37）：Code mode——把工具呼叫編譯成程式碼批次執行
looplane 已先做 bounded tool-program DSL：唯讀程式支援 list/read/search/diff、repeat 與 if_contains；modify/check transaction 會經整體 approval，失敗時回滾 touched paths。它還不是任意 JavaScript/Python code mode，也沒有平行 transaction execution。
跟成熟 coding agent 學設計（29）：OS 級沙箱
OS 沙箱是 path policy 之外的核心防線。looplane 已落地 fail-closed `CommandSandbox`：macOS 包 sandbox-exec，Linux 用 Landlock 加 seccomp，verification 預設在能證明 containment 時進沙箱；不支援時回 exit 126。剩餘限制是目前主要只包 verification、外部 CI 結果仍待確認。
跟成熟 coding agent 學設計（3）：Workspace 隔離與 path policy
Looplane 的 disposable clone 與 SafePathPolicy 保護來源 repo；現在 `--sandbox-checks` 也能用 macOS sandbox-exec、Linux bubblewrap 或 Landlock 包住 verification command，Cloudflare 另有受限 Sandbox slice。但不同 backend 的 network policy、外部 runtime coverage 與 production hardening 仍未一致驗證。
MCP Server 沙箱集成：代理程式執行層的隔離邊界
沙箱系列的整合篇（order 20）。MCP Server 執行代理程式碼時，如何在沙箱中運行、隔離邊界在哪、常見漏洞（CVE-2026-33032）與防禦策略。
Modal Sandboxes：GPU 沙箱與沙箱作為獨立產品線
沙箱系列的雲端深入篇（order 12）。Modal Sandboxes 的架構、GPU 沙箱支援、定價模式、以及它如何從功能變成 $300M–$1B 年化運營率的獨立產品線。
CLI agent 與 IDE 沙箱整合
沙箱系列的本地產品篇（order 6）。OpenCode、Codex CLI、Cursor 等 CLI agent 與 IDE 的本地沙箱怎麼設定、隔離邊界在哪、常見陷阱與安全最佳實踐。
執行環境與沙箱怎麼選：從 Namespace、gVisor 到 Firecracker、E2B、Lambda MicroVMs 的隔離光譜
沙箱不是單一套件，而是 Namespace、cgroups、seccomp、gVisor、Firecracker 層層疊起的光譜；本地 OS 級沙箱管爆破半徑，雲端 microVM 管多租戶隔離，選型關鍵在信任邊界與維運成本。
Looplane 的 Cloudflare 遠端執行：Worker、Sandbox、Capability DO 與 durable RunSession
Looplane 的舊同步 M6 路徑曾完成一次真實 deployed coding run；目前已擴成帶 RunSession、SSE、approval、cancel 與 artifact 的 async control plane，但新增路徑尚未 live revalidate。Sandbox 只拿分 audience 的短效 HMAC capability，provider credential 留在 Worker；現有證據不等於 production traffic 或 SLO。
Looplane 的 disposable workspace 與 run bundle：原始 repo 為什麼不會被直接修改
Looplane 先把指定的完整 Git commit 複製到 run directory 裡的 detached-HEAD workspace，再讓 runtime 修改與驗證。原始 repo、執行 workspace 與 run artifacts 因此有清楚邊界；這能提供 source isolation 與 audit bundle，但不等於 OS sandbox。
Looplane 的 local OS sandbox：macOS、bubblewrap 與 Landlock 如何 fail closed
Looplane 可把指定的 local command／verification 包進 macOS sandbox-exec、Linux bubblewrap 或 Landlock/seccomp。需要的 backend 不存在時以 exit 126 停止，不直接裸跑；但這個範圍不涵蓋 external CLI、MCP/LSP 或整個 Looplane process。
Looplane 的工具隔離：path allowlist、argv 嚴格化、process group 與 credential-free subprocess
這篇只拆 Looplane 的 tool executor 如何把一次呼叫安全落地：`SafePathPolicy` 限制 path 並阻擋 symlink escape，`VerificationCommand` 固定 argv 且使用 `shell=False`，subprocess 只拿清理過的 env，寫入走 read-version hash 與 atomic replace，timeout 會終止整個 process group。權限決策、OS sandbox 與 tool program 各留給後續專篇。
沙箱作為獨立商業產品：Modal $300M ARR 啟示
沙箱系列的商業篇（order 27）。Modal 沙箱從功能變成 $300M–$1B 年化運營率的獨立產品線，說明沙箱如何從「功能」變成「產品」，定價與包裝策略，以及對自建與託管決策的啟示。
金融/醫療合規與沙箱審計
沙箱系列的安全篇（order 24）。金融與醫療等受管行業用沙箱要符合什麼合規要求（SOC 2、HIPAA、GDPR、ISO 27001），審計怎麼做，資料主權與跨境限制。
沙箱成本模型：wall-clock vs active-CPU 計費
沙箱系列的成本篇（order 26）。比較 wall-clock 與 active-CPU 兩種計費模式，各隔離層級成本差異，以及如何估算月成本與避免隱藏費用。
沙箱生命週期管理：暫停、快照、休眠與恢復
沙箱系列的業務篇（order 28）。沙箱生命週期管理：暫停（pause）、快照（snapshot）、休眠（hibernation）、恢復（resume）的概念、實作方式、與長任務的適用場景。
沙箱可觀測性與審計軌跡
沙箱系列的安全篇（order 23）。沙箱執行的工具呼叫、檔案操作、網路請求如何建立可審計軌跡，trace-level 可見度、immutable 日誌、SIEM 整合，以及委譲鏈身份落差。
AI Agent 雲端沙箱產品全景與選型矩陣
沙箱系列的雲端全景篇（order 7）。彙整 E2B、Daytona、Runloop、Vercel、Cloudflare、Modal、AWS Bedrock AgentCore、阿里雲 OpenSandbox、Azure Container Apps 九家雲端沙箱供應商的定位、定價、冷啟動、隔離強度與適用場景，附選型決策矩陣。
沙箱系列導讀：AI Agent 執行環境閱讀地圖
「沙箱系列」的總覽導讀（order 0）。說明 AI agent 執行不可信程式碼時該跑在哪一層隔離環境、選哪家供應商、以及怎麼設定權限、憑證與網路邊界；詳細技術內容分散在八個子系列，這篇只做導覽。
自架沙箱：Kata Containers、Kubernetes agent-sandbox、BYOC
沙箱系列的自架篇（order 17）。Kata Containers、Kubernetes-sigs/agent-sandbox 與 BYOC 模式的企業自建沙箱選型、架構與遷移策略，以及自建 vs 託管的決策框架。
WebAssembly 沙箱：Wasmtime、WasmEdge、Wasmer 與 Pyodide
WebAssembly 沙箱是比容器更輕、比 microVM 更快的第四層隔離選項。Wasmtime、WasmEdge、Wasmer 三大 runtime 的 2026 年狀態、與 Pyodide 的 Python 執行，以及適用場景與限制。
為什麼不能直接讓 agent 跑在你的機器上
沙箱系列的動機篇（order 1）。讓 AI agent 執行不可信程式碼時，直接風險包括資料外洩、權限提權、橫向移動、供應鏈中毒、持久性後門——沙箱不是可選加購，而是第一道防線。
治理深水區：Policy、Omnibox、Spend 與憑證代理
Omnigent 把治理從 prompt 抽到 Server 層的 Policy 引擎：Python 函式回 allow/deny/ask，三層堆疊疊加 cost budget 與 tool caps，搭配 Omnibox 以 bwrap/seatbelt 做 OS 原生隔離與 egress 憑證代理；本文對照 FailproofAI、DashClaw 等五套治理方案的定位與決策表。
多個 Agent 怎麼一起管：Omnigent 的 meta-harness、Policy 與跨裝置 Session
Databricks 開源的 Omnigent 把 Claude Code、Codex、Cursor、Pi 等 harness 包在 Runner/Server 與 Omnibox 沙盒之上，用三層 Policy 與可分享的持久化 Session 讓模型與 harness 一鍵替換，9.3k stars 的 alpha 專案。
跟成熟 coding agent 學設計（9）：外部 CLI 當 backend——包別人的 loop，安全邊界畫在哪
每家成熟 coding agent 都有 headless 機器介面：codex 有 `exec --json` 和更完整的 app-server JSON-RPC，claude-code 有 `-p` 加 stream-json，pi/opencode/omp 各有一種 JSON 事件流。直接把這些 CLI 當 backend 是最快的路，但代價是：它們自帶 agent loop、自己的權限模型、自己的登入。looplane 的答案是讓外來 CLI 完整擁有它的 loop，自己只守住三件事——隔離副本、patch audit、最終驗證——並且一條 runtime 永遠不偽裝成另一條。
跟成熟 coding agent 學設計（11）：沙箱與遠端執行——Cloudflare Sandbox 部署實戰
本地沙箱管的是『agent 在你的機器上爆炸半徑多大』，雲端沙箱管的是『怎麼把程式碼安全地搬到別人的機器上跑』——五家成熟專案幾乎都在做前者，只有 looplane 真的部署了後者。實戰教訓：mock 測不出 SSE framing、CI 綠燈擋不住 stale wheel，而清理路徑要跟成功路徑一樣有 timeout。
Cloudflare Sandboxes 深入介紹：Workers、Durable Objects 與 Containers 怎麼組成 Agent 執行環境
Cloudflare Sandboxes 把 Worker 當入口、Durable Object 當具名控制面、獨立 VM 內的 Container 當執行面；適合已在 Cloudflare 上、需要大量短暫 Linux 工作區的 agent，但持久資料、安全邊界與三層費用都得自己設計。
Daytona Agent Sandbox：把每個 Agent 分到一台可分支的電腦
Daytona 把 sandbox 設計成可啟動、暫停、快照與 fork 的長生命週期電腦；2026 年完成 2,400 萬美元 A 輪，Laude Institute 案例一週建立 3.7 萬個 sandbox。它適合平行評測與 coding agent，但核心開源 repo 已停止維護，不能再把託管版與可自架版視為同一件事。
E2B Agent Sandbox：把模型產生的程式碼關進可恢復的 microVM
E2B 把 Template、Firecracker microVM 與檔案／程序／網路 API 組成 agent 專用執行層；真正的選型優勢是可暫停並保留記憶體與程序，而不是單純多一個 code interpreter。
Runloop：為程式開發 Agent 設計的 Devbox 執行環境
Runloop 把隔離 microVM、可重現映像、磁碟分支、憑證代理與 eval 放進同一套程式開發 Agent 基建；官方案例已公開單一工作負載突破 10,000 個並行 Devbox。
Vercel Sandbox 深入介紹：把 Agent 執行層放進 Vercel 生態
Vercel Sandbox 用 Firecracker microVM 隔離不受信任的程式碼，搭配 Fluid compute、Active CPU 計價與 Vercel OIDC；它最適合已在 Vercel 上運行的 Agent，但網路預設值、記憶體計費與持久化生命週期仍要自己設計。
AI Agent 沙箱逃逸與權限邊界：Container 不是 Security Boundary 的全部
Agent execution 要同時限制 kernel、filesystem、process、network、credentials 與 tool authorization；沙箱逃逸只是其中一條路，過寬 API token 往往更直接。
Modal：跑推論引擎的那一層，以及它什麼時候不值那個溢價
Modal 是按秒計費的 serverless GPU 平台，同時把 agent sandbox 做成一級公民（官方自報累計啟動逾 10 億個 sandbox、佔營收三分之一以上）。選型的關鍵不是它多方便，是你的 GPU 使用率：2026-08-21 實查，Modal A100 80GB 折算 $2.50/hr、RunPod 同卡 $1.59/hr，使用率超過六成四自己開機器就比較便宜；但同一天 H100 SXM Modal $3.95/hr、Lambda $3.99/hr，這張卡的溢價幾乎是零。
Hermes Agent 的安全模型：--yolo 之下還有一層拿不掉的地板
Hermes 的審批預設是 smart 模式：低風險指令由 auxiliary 模型放行、真正危險的自動拒絕、不確定的才問人。`--yolo` 與 `approvals.mode: off` 都關不掉 hardline 封鎖清單（`rm -rf /`、fork bomb、`dd` 寫實體磁碟），而 `approvals.deny` 是它的使用者版：在 yolo 之前就攔下來。官方自己標明這整套的威脅模型是「誠實但犯錯的 agent」，不是對抗惡意行程。
Hermes Agent 的七種終端後端：換到沙箱等於關掉危險指令審批
Hermes 的指令可以跑在 local、ssh、docker、singularity、modal、daytona、vercel_sandbox 七種後端。關鍵取捨不是效能而是審批：local 與 ssh 會做危險指令檢查，其餘五種一律跳過，因為官方把容器／沙箱本身當成邊界。另外 Docker 預設是「一個長壽容器跨 session 共用」，不是每次對話一個乾淨環境。
自架常駐個人 agent 橫向對照：九個專案，同一個安全問題的九種答案
OpenClaw 386k star、Hermes Agent 232k，但 OpenRouter 上 Hermes 的日 token 量在 2026-05-10 就反超了（224B vs 186B）。這半年冒出來的九個自架 agent 不是九個競品，是對同一題的九種答案：agent 的執行邊界該畫在哪。CVE-2026-44112 打穿的是 OpenClaw 的沙箱本身，而 Meta 對齊主管那次刪信事故裡連攻擊者都沒有——安全指令是被 context 壓縮吃掉的。
o3 找到 Linux kernel 零日，代價是 1:50 的訊噪比｜Stanford CS146S 第 7 週
課程量到的 AI SAST 誤報率是 50–100%，而傳統 SAST 本來也有 50% 以上——真正的新問題是非決定性：同一個 prompt 跑兩次結果不同，你無法回答「掃完了沒有」。課程列的 agent 攻擊向量有五種，其中 intent breaking 攻擊的是 agent 的計畫本身。
Claude 怎麼讀寫 PDF / DOCX / PPTX：拆解 skill + sandbox 的三層架構
Claude 沒有 docx_tool / pdf_tool — 它只用 bash + file tools，加上 SKILL.md 指令、容器內預裝的 pdfplumber / python-pptx 等 library，三層拼出檔案讀寫能力。
OpenAI 公開 Codex 安全部署策略：沙箱、自動審批與企業治理框架
OpenAI 在 2026 年 5 月公開 Codex 內部部署實踐：沙箱劃技術邊界、審批決定何時停下、Auto-review 用子代理代替人類審批、Managed configuration 由企業管理員強制下發。核心理念是：低風險動作零摩擦，高風險動作必經審查。
GitHub Copilot Coding Agent：把 Issue 丟給 AI，讓它自己開 PR
GitHub Copilot Coding Agent 讓你把 Issue 指派給 Copilot，它在雲端沙箱裡自動開 branch、寫程式、跑 CI、開 PR。成功關鍵是設好 AGENTS.md，沒設定的話 agent 容易跑偏。適合定義清楚的中型任務，需 Pro+（每月 1,500 premium requests）或 Enterprise 方案。
Vercel Open Agents：把 coding agent 從你的筆電搬到雲端
Vercel Labs 開源的 coding agent 參考實作。三層架構分離 web UI、agent workflow、sandbox VM，設計給想自建 Claude Code / Cursor Background Agent 的團隊當起手。
Claude Managed Agents：把 agent 外殼和沙箱都交給 Anthropic
Claude Managed Agents 是 Anthropic 2026/04/08 推出的 beta 服務，提供 agent harness 加雲端容器沙箱，按 token 加 $0.08/session-hour 計費，適合長時間非同步任務，不想自己寫 agent loop 和跑沙箱的人值得看。
OpenClaw 沙箱機制：四種後端、三個獨立開關，與「以為在沙箱裡其實沒有」
沙箱由三個獨立設定決定：mode（何時套用）、scope（開幾個容器）、backend（在哪執行）。最容易出事的是預期落差——`tools.exec.host` 現在預設是 auto，所以「沒設就等於在沙箱裡」已經不成立，安全稽核有一條專門抓這個。