生产级 AI Agent 沙箱全景

调研时间：2026-06-22 | 隔离层级：L0–L4 全覆盖 汇总所有 sandbox 研究（12 篇已有 + 5 篇 C 线扩展），给出 6 轴分析和推荐阅读顺序

一句话定位

把 6 个开源项目、4 个 Coding Agent 内建方案、1 棵决策树、1 套威胁模型整合到一张图里，回答「AI Agent 安全代码执行的完整版图是什么」。

日常类比

这篇文档像一张城市地图——前面的精读是每条街道的详细导航，决策树是你的导航 App，威胁模型是犯罪热力图。这张地图把它们叠在一起，让你同时看到道路、路线和风险。类比边界：地图是静态的，但沙箱技术在快速演进——6 个月后这张地图可能需要重画。

6 轴全景

轴 1：microVM 引擎

底层隔离能力的提供者，做的是「把不可信代码关进硬件隔离的笼子」。

精读：Firecracker / CubeSandbox / Kata [已有]

轴 2：云端平台

在 microVM 引擎之上封装 API 和计费，做的是「让开发者三行代码用上沙箱」。

精读：E2B / Daytona [已有]

轴 3：用户态内核

不用 KVM，在用户态拦截 syscall，做的是「没有硬件虚拟化也能隔离」。

精读：gVisor [已有]

轴 4：OS 进程沙箱（Agent 内建）

操作系统层的进程隔离，做的是「不起 VM 也能限制进程的文件/网络/syscall 访问」。

精读：Codex 沙箱 [已有]（A 线）

轴 5：应用层权限（Agent 内建）

不做 OS 级隔离，在应用层通过 classifier、hook、用户确认控制执行。

精读：Claude Code 权限 [已有]（A 线）

轴 6：决策树 + 威胁模型（C 线新增）

把上面 5 轴的选型逻辑和安全分析汇总到可执行的决策框架中。

选型决策树 / 威胁模型（C 线新建）

6 开源项目 + Coding Agent 关系图

graph TB
    subgraph "L4: 硬件 microVM"
        FC[Firecracker<br>引擎]
        CS[CubeSandbox<br>AI 平台]
        KATA[Kata Containers<br>K8s 安全容器]
    end

    subgraph "L3: 云端/平台封装"
        E2B_P[E2B<br>云服务]
        DAY[Daytona<br>Agent 平台]
    end

    subgraph "L1: 用户态内核"
        GV[gVisor<br>Sentry]
    end

    subgraph "Agent 内建"
        CODEX[Codex<br>L2 OS sandbox]
        CLAUDE[Claude Code<br>L0 Permission]
        CURSOR[Cursor<br>L0 确认框]
    end

    FC -->|"同源技术 RustVMM"| CS
    FC -->|"底层引擎"| E2B_P
    CS -->|"E2B SDK 兼容"| E2B_P
    CS -.->|"竞赛对象"| CONTRIB[犀牛鸟贡献]

    CODEX -.->|"可嵌入 microVM"| CS
    CLAUDE -.->|"可调用 E2B API"| E2B_P

    style CONTRIB fill:#ffeb3b,stroke:#f57f17
    style CS fill:#fce4ec,stroke:#c62828

犀牛鸟视角：CubeSandbox 贡献的 ROI

文档 issue vs Rust 核心的 ROI

推荐策略：犀牛鸟时间有限（报名截止 7/31，活动结束 9/14），从文档 → examples → Go 逐步升级。Integration 文档（#244）空白 + 有 12 个 examples 可转化 = 最高 ROI 起点。

详细贡献指南：CubeSandbox 竞赛贡献指南（C 线新建）

当前 open good-first issues（2026-06-22 核实）

推荐阅读顺序

入门读者（对沙箱/虚拟化不了解）

1. 行业全景 — 6 项目横评，建立心智模型
2. 赛道深度分析 — 每个项目的设计哲学和类比
3. 选型决策树 — 根据自己的场景定位方案
4. 精读: CubeSandbox — 竞赛主对象

安全工程师

1. 威胁模型 — 6 类威胁 + 缓解矩阵
2. 技术挑战 — 12 项真实难点
3. Coding Agent 沙箱对照 — 生产 Agent 安全对比
4. Codex 沙箱精读 — OS 沙箱最佳实践

犀牛鸟参赛者

1. CubeSandbox 竞赛贡献指南 — 从这里开始
2. 精读: CubeSandbox — 架构理解
3. 选型决策树 — 理解竞争格局
4. Coding Agent 沙箱对照 — 写 Integration 文档的素材

架构师（选型决策者）

1. 选型决策树 — 直接定位方案
2. Coding Agent 沙箱对照 — 生产 Agent 集成评估
3. 威胁模型 — 安全评估
4. 行业全景 — 竞品对比

完整文档索引

基础研究（已有 12 篇）

C 线扩展研究（5 篇新建）

A 线交叉引用（不修改）

核心发现（5 条）

1. OS sandbox vs microVM 的分水岭是信任边界：单用户自用场景（Codex 路线），OS 级 L2 隔离在延迟和复杂度上有压倒性优势；多租户代码执行服务，L4 microVM 是最低安全标准

2. CubeSandbox vs E2B 是自托管 vs 云的选择：两者 SDK 兼容，技术差异在于 CubeSandbox 自托管（数据不出境、无计费）而 E2B 是纯云服务。CubeSandbox 的 60ms 冷启动比 E2B 的 ~150ms 快，但 E2B 的零运维优势明显

3. Coding Agent 的并行需求正在推动沙箱密度：Claude Code 的 Dynamic Workflow 可编排百级 subagent，如果每个 subagent 都需要独立沙箱，<5MB/实例的 CubeSandbox 是目前密度最高的强隔离方案

4. Mac 开发者的限制是真实的：KVM 硬依赖意味着 Mac 用户无法在本地跑 microVM。贡献路径必须分层——文档/examples 在 Mac 上可完成，核心组件测试需要 Linux

5. Claude Code 没有独立 microVM：完全依赖应用层权限（classifier + hook + 用户确认），与 CubeSandbox 的 L4 硬件隔离形成最大的差异。两种策略适用于不同信任模型

证据等级