爆炸半径即权限模型：按‘能破坏什么’而非‘能读取什么’来隔离智能体沙箱

支出上限。 这是最容易被遗忘的杠杆。持有云凭据或模型 API 密钥的智能体可以以机器速度将自主权转化为金钱 —— 启动实例、疯狂调用计费 API、递归进入子智能体集群。针对每个任务设置硬性预算，可以将 “智能体整夜循环” 从一份五位数的账单变成一个受限的、平淡的失败。将预算视为一种权限：一个被授权花费 5 美元计算费用的任务，比一个被授权可以随意花费的任务更安全，两者是完全不同的对象。

请注意这四者的共同点：它们都不需要预测智能体会做什么。它们不枚举允许的操作，也不为每个工具维护策略。它们塑造了智能体行动的空间，因此无论模型输出什么，最坏的情况都是可以接受的。这就是从 “防止错误” 到 “限制成本” 的转变 —— 限制成本的能力会随着模型能力的提升而扩展，而预测能力则不然。

隔离是一种光谱 —— 根据内部运行的内容来权衡成本​

“在沙箱中运行”掩盖了一个真实的工程决策，因为隔离是有等级之分的，且成本各不相同。

普通容器共享宿主机内核；它们是进程隔离，而非安全边界，仅适用于你已经信任的代码。gVisor 类的用户态内核在系统调用到达宿主机之前对其进行拦截，以 10–30% 的 I/O 开销换取显著增强的隔离性。微型虚拟机（MicroVMs）—— 如 Firecracker 和 Kata Containers —— 为每个任务提供拥有硬件强制边界的独立内核。关于虚拟机对于单个任务来说太慢的陈旧观念已经过时了：Firecracker 的启动时间约为 125 毫秒，开销不到 5 MiB。

平台层正在赶上这种模式。Kubernetes 的 agent-sandbox 项目（一个在 2025 年底启动的 SIG Apps 计划）将单任务沙箱变为了一个一等 API 对象 —— 包含资源限制和安全策略的声明式沙箱模板，底层使用 gVisor 或 Kata 运行时，并通过热池将冷启动时间缩短至一秒以内。其意义不在于某个特定项目，而在于“为每个 Agent 任务提供一个可丢弃的隔离环境”已经变得足够廉价，从而成为了默认选项，而非特殊情况。

选择启发式方法与本文的论点一致：根据内部执行内容的“爆炸半径”来选择隔离等级，而不是根据代码预期的功能。运行针对不可信输入生成的代码的 Agent 应该使用 MicroVM。而在公共文档上进行只读检索的 Agent 可以留在容器中。如果你发现自己在通过强调 Agent 的指令来为较弱的沙箱辩护，那么你又回到了信任模型判断的老路上 —— 而沙箱的存在恰恰是为了避免这种信任。

在爆炸半径边界设置审批门槛，而非针对每个动作​

人机回环（Human-in-the-loop）是每个人都认同但几乎每个人都部署得很糟糕的控制手段。失败模式众所周知：对每个工具调用都提示人类进行审批，他们会在几天内习以为常，变成反射性地批准。审批变成了只有延迟而没有安全性的流程 —— 一个带有审计跟踪的橡皮图章。

沙箱解决了这个问题，它为你提供了一个关于门槛“应该设在哪里”的原则性答案：设在爆炸半径发生变化的边界，除此之外别无他处。

在沙箱内部，Agent 应该自由运行。在其临时分支中编辑文件、运行测试、调用白名单内的端点、消耗预算 —— 这些行为通过构建机制已经变得安全。为了这些操作去打扰人类，会让他们觉得这些干扰只是噪音。门槛属于“薄膜”部位：将分支合并到 main、将迁移从测试环境推向生产环境、在出站白名单中添加端点、提高支出上限、铸造一个权限更广泛的令牌。每一个动作都会改变后续所有操作的最坏情况，这才是人类真正应该评估的内容。

这产生了对常规权衡的一种令人愉悦的反转。因为审批很少见，所以它们保持了意义 —— 人类对每个任务只看到一个决策，其表述为“这即将离开沙箱”，而不是看到四十个表述为“Agent 想要运行一个命令”的决策。并且由于边界内的一切都是受限的，你可以给予 Agent 比“每步必报”机制下多得多的自主权。沙箱内的自主权与边缘处的严密审查并不是安全与速度之间的折中；这正是你同时获得两者的途径。

按最坏情况审计你的 Agent，而非按角色​

如果你现在在生产环境中运行 Agent，有一个审计问题可以戳破大多数“安全假象”：对于每个 Agent 任务，假设模型表现得尽可能糟糕，该任务能做的最坏事情是什么？不是“它被指示做什么”，也不是“它拥有什么角色”。而是它在其执行环境中实际能够触达、写入、窃取或支出的内容是什么？

如果诚实的答案取决于模型的良好表现 —— 取决于提示词是否奏效、指令是否被遵守、Agent 是否没发现你遗忘的令牌 —— 那么你并没有权限模型。你有的只是徒劳的希望。在 2025 年的一系列事件后意识到这一点的团队，不再询问“我们如何让 Agent 更加顺从”，而是开始询问“我们如何降低违抗的成本”。作用域受限的令牌、临时分支、出站白名单、支出上限、根据工作负载定价的隔离，以及仅在爆炸半径升级处设置的人工门槛。

模型的能力将持续提升，这意味着它们不仅变得更有用，而且在你的意图与它们的行为发生对齐失效（misalignment）时，单位破坏力也更强。提示词和角色无法跟上这种演进曲线。但墙可以。先筑好墙，你才能放心地让 Agent 奔跑。