AI智能体沙箱隔离
5 节点1 篇10 来源
【背景】随着AI编程代理普及，其执行不可信代码带来的安全风险日益凸显。Pillar Security研究员Eilon Cohen与Ariel Fogel在2026年2月的分析指出，容器、gVisor、microVM和内核能力四种主流隔离层级各有失败模式，核心结论是：隔离技术保护宿主机免受沙箱侵害，却无法保护沙箱自身免受内部挂载内容（如凭据）的泄露。
以Cursor为例，CVE-2026-22708显示静态白名单在环境被污染后失效，而完整文件系统读取权限导致凭据可通过标准输出外泄。相比之下，Claude Code通过Seatbelt/Bubblewrap实现双隔离，限制文件访问至当前工作目录并路由网络流量，未报告类似漏洞。OWASP指南强调最小权限原则，建议将工具授权逻辑置于代理上下文之外。学术界则探索更轻量方案，如Sandlock利用Linux非特权原语实现毫秒级启动，SideKernel针对macOS提供易用microVM沙箱。云厂商如腾讯云AGSX和UCloud Sandbox已将此类隔离作为基础设施服务，支持毫秒级启动与多形态沙箱。争议焦点在于：在性能开销与安全边界之间，何种隔离强度能真正阻断“沙箱内”的数据外泄路径？
事情怎么走到这一步
Anthropic发布Claude Code沙箱功能，基于OS级原语实现文件系统与网络双重隔离，减少84%权限提示。
anthropic.com ↗Pillar Security发布SAIL 2.0框架分析，指出Cursor等代理存在凭据外泄风险，强调隔离层级无法解决沙箱内部挂载问题。
pillar.security ↗Sandlock论文在ASPLOS 2026研讨会发表，提出利用Landlock/seccomp实现无特权、低延迟的AI代理进程沙箱。
arxiv.org ↗Solo.io博客指出OpenAI、Anthropic等公司近期发生代理逃逸事件，强调硬件隔离（microVM）优于软件隔离。
solo.io ↗腾讯云开发者社区文章详解Agent沙箱定义，介绍AGSX服务支持浏览器/代码沙箱及毫秒级启动特性。
developer.cloud.tencent.com ↗