30 秒快速回答
AI Agent 沙箱（Sandbox）是把 AI 智能体及其工具调用隔离在受限环境中的安全基础设施——代码在这里执行、浏览器在这里打开、文件在这里读写，但一切都与你的主机、云凭证和生产数据隔离。一句话价值：给 AI 的每一次行动都装上「防爆舱」，即使智能体被恶意内容劫持，也炸不到你的真实系统。
为什么 2026 年人人都需要 Agent 沙箱？
Claude 发布 Computer Use 公测后几天，安全研究员 Johann Rehberger 就演示了著名的 ZombAIs 攻击：一个恶意网页在正常浏览任务中向 Claude 注入隐藏指令，AI 随即下载二进制、执行 chmod +x、连接攻击者服务器，主机直接变成「僵尸」。整个链条第一次尝试就成功——因为当时 Claude 直接跑在裸机上。
这个事件说明三件事：
- 提示注入无法根除：只要 Agent 会读网页、读邮件、读文件，恶意内容就可能劫持它；
- 能力越强，破坏越大：能写代码、能执行命令的 Agent 一旦失控，等于把主机权限交给了攻击者；
- 沙箱是唯一现实的兜底：与其赌 AI 永远不被骗，不如默认它会被骗，然后让它骗不动。
三大沙箱类型：对比选型
| 类型 | 隔离粒度 | 典型场景 | 代表方案 |
|---|---|---|---|
| 浏览器沙箱 | 页面级 | 网页浏览、表单填写、爬虫 | Firecrawl Browser Sandbox、Browserbase |
| 代码执行沙箱 | 进程级 | 代码生成、数据分析、脚本执行 | E2B、Modal、Firecrack 代码沙箱 |
| 完整开发环境沙箱 | 环境级 | Claude Code / Codex 类编程 Agent | Docker 容器、Codespaces、Northflank |
选择原则：能力越大的 Agent，隔离层级要越深。只做网页检索用浏览器沙箱；要跑代码用代码沙箱；要部署完整开发工作流，直接上 Docker 级环境沙箱。
主流方案横向对比
| 方案 | 启动速度 | 隔离强度 | 上手成本 | 适合谁 |
|---|---|---|---|---|
| Docker（自建） | 秒级 | 高 | 中 | 有运维能力的团队，最可控 |
| E2B | 毫秒级 | 高 | 低 | 需要频繁启停代码沙箱的开发者 |
| Modal | 秒级 | 高 | 低 | 需要 GPU / 弹性算力的场景 |
| Firecrawl Browser | 秒级 | 中 | 极低 | 只要浏览器隔离，无需写代码 |
5 分钟搭一个最小 Docker 沙箱
# 1. 创建非 root 用户的沙箱镜像
cat > Dockerfile <<'EOF'
FROM python:3.12-slim
RUN useradd -m -u 1000 sandbox && \
mkdir -p /workspace && chown sandbox:sandbox /workspace
USER sandbox
WORKDIR /workspace
EOF
# 2. 构建并启动：只读挂载 + 无网络 + CPU/内存限额
docker build -t ai-sandbox .
docker run --rm -it \
--network none \
--read-only \
--memory 512m --cpus 1 \
-v $(pwd)/data:/data:ro \
ai-sandbox bash
这段代码实现了沙箱的四个核心要素：非 root 用户（提权困难）、无网络（数据不外传）、只读根文件系统（无法持久篡改）、资源限额（防失控烧钱）。需要联网时，用 --network bridge 配合 egress 白名单，而不是直接放行全部流量。
6 条沙箱安全最佳实践
- 永远非 root 运行：容器内创建专用低权限用户，禁止以 root 身份执行 Agent；
- 网络默认拒绝：先
--network none，按需开放白名单域名，防止敏感数据外泄； - 只读挂载 + 白名单目录：主机文件只读挂载，Agent 只能写沙箱内临时目录；
- 每次任务严格超时：所有 Agent 任务设置执行超时与调用次数上限；
- 凭证零注入：云凭证、API Key 绝不挂进沙箱环境变量，需要时用短时令牌按需注入；
- 隔离会话状态：不同任务用独立沙箱实例，防止一次污染扩散到后续任务。
总结与延伸阅读
核心要点：沙箱不是「防 AI 犯错」的技术，而是「防 AI 犯错造成代价」的技术；提示注入无法根除，但沙箱让每次注入攻击的最高损失可控。选型时先定隔离层级（浏览器/代码/环境），再按启动速度与上手成本选方案，最后落实非 root、无网络、只读挂载、超时四件套。
延伸阅读：
- 本站《什么是提示注入攻击？一文看懂 AI 安全的头号威胁（附 5 种防御方法）》——理解威胁模型；
- 本站《什么是零信任 AI Agent？系统级安全架构全解析》——把沙箱升级为系统性安全架构；
- 本站《怎么让 AI 操控电脑？Computer Use 完全指南》——看沙箱在 GUI Agent 中的落地场景。