Agent Sandbox：Agent Runtime 的统一执行域（Execution Domain）
工具执行的安全隔离是智能体系统迈向企业级治理的关键，Agent Sandbox 是不可或缺的底座。
Agent Sandbox 并不是一个“更安全的代码执行器”，也不是智能体系统中的可选组件。在 Agentic Runtime（智能体运行时）语义下，Sandbox 的角色已经发生根本变化。
Sandbox 是 Agent 行为发生的可信执行域。
只要智能体（Agent）需要操作真实世界——如浏览网页、运行代码、访问文件、调用系统命令——这些行为就必须发生在一个统一、隔离、可治理的执行边界内。这个边界，就是 Agent Sandbox。
从“工具隔离”到“执行域统一”
早期对 Sandbox 的理解，集中在“如何安全地执行不可信代码”这一问题上。
但在智能体场景中，Agent 的行为并非单次代码执行，而是一个连续、跨能力的行动链，例如：
- 浏览网页获取信息
- 将结果写入文件
- 运行脚本处理数据
- 启动本地服务进行验证
- 再回到浏览器完成交互
下面的列表总结了如果这些行为发生在不同隔离环境中，系统会遇到的典型问题：
- 状态需要在环境之间反复搬运
- 中间产物无法天然共享
- 行为链条无法完整回放
- 调试与审计成本急剧上升
因此，Agent 系统更需要的是一个统一的执行域，而非多个分散的 Sandbox。
Sandbox 的本质：不可信输入驱动的可控行为
在智能体系统中，所有 Action（行为）都具有如下特征：
- 输入来自大语言模型（LLM, Large Language Model）
- 执行目标是现实系统能力
这意味着每一次 Action 都是不可信输入，驱动高风险行为。
因此，Sandbox 的核心职责是：
- 限定行为能力边界
- 仲裁可执行动作
- 隔离潜在破坏面
标准执行模型通常包括以下步骤：
- Agent 生成 Action（行为描述）
- Runtime 进行权限与策略仲裁
- Action 在 Sandbox 执行域内完成
- 结果被采集、审计并反馈给 Agent
任何绕过执行域、直接在应用进程中执行工具的设计，长期来看都难以扩展和治理。
Sandbox 必须是 Runtime 的组成部分，而不是外挂
在智能体运行时架构中，Sandbox 不应作为“外部工具执行器”存在。
原因包括：
- 权限模型难以跨系统统一
- 状态与执行语义被割裂
- 难以支持中途接管与回放
- 难以参与调度与成本治理
Agentic Runtime 中，Sandbox 应与以下能力处于同一控制平面：
- 调度（Scheduler）
- 状态管理（Session / Task / Trace）
- 权限仲裁（Permission Arbiter）
- 资源控制（CPU / GPU / Token / IO）
Sandbox 是 Runtime 的执行平面（Execution Plane），而非外围组件。
权限模型：行为级，而非 API 级
传统系统的权限模型多围绕 API 展开，而智能体系统需要的是行为级权限模型。
在 Sandbox 中，权限模型至少应支持：
- 工具级能力授权
- 会话级权限边界
- 参数级可审计性
- 单次行为即时撤销
- 执行轨迹全链路记录
权限判断应发生在行为即将发生之前，而不是请求已经发出之后。Sandbox 是实施这种权限模型的关键位置。
执行生命周期：短生命周期是安全前提
在智能体系统中，Sandbox 执行需遵循以下原则：
每一次执行，都是一个可回收的原子行为单元。
因此，Sandbox 通常具备如下特性：
- 无持久文件系统（或显式挂载）
- 无默认网络访问
- 无跨执行状态泄漏
- 执行结束即销毁或重置
短生命周期的设计，主要是为了防止状态污染、限制攻击面扩散、保证审计边界清晰，而非单纯的性能优化。
隔离技术不是重点，执行语义才是
gVisor、Firecracker、Wasm 等技术是实现手段，其差异在于隔离强度与启动成本，但共同目标一致：
为 Agent 提供受控、可回收、可审计的执行环境。
从 Runtime 视角看，Sandbox 技术选型应优先考虑：
- 执行语义是否完整
- 是否支持统一调度
- 是否可被治理系统接管
而不是单纯追求“更强隔离”或“更快启动”。
人工接管：Sandbox 的隐含责任
在生产环境下，智能体系统不可避免会遇到失败。此时，系统必须允许：
- 人类接管执行环境
- 检查现场状态
- 修复后继续执行
这要求 Sandbox 具备：
- 可交互访问能力
- 与运行时状态一致
- 权限受控的接管入口
如果 Sandbox 缺乏可接管能力，将影响系统的可运维性和故障恢复能力。
Sandbox 在 Agentic Runtime 中的不可替代性
缺少 Sandbox，Agent 系统容易出现以下结构性问题：
- 行为越权
- 状态污染
- 安全难以审计
- 调试难以回放
- 治理难以落地
这不是实现细节的问题，而是执行边界缺失导致的根本性挑战。
总结
在 Agentic Runtime 体系中：
- Sandbox 不是安全补丁
- 不是工具执行器
- 也不是可选组件
Sandbox 是 Agent 行为发生的核心执行场所。
一个完整的智能体运行时，至少应包含以下要素：
推理 + 状态 + 调度 + 执行域（Sandbox） + 治理
Sandbox 正是其中不可替代的执行基座，为智能体系统的安全、治理与可扩展性提供了坚实基础。