网页脚本
浏览器标签页里的 JS，不能随意读你的磁盘。
沙箱系列 · 第 1 期 · 概念
沙箱是什么
AI Agent 跑命令时常用的沙箱：让一段程序能跑，但把它关在隔离环境里，限制它能碰什么。
定义
一句话
沙箱（sandbox）：让程序在受限边界内执行——外面的正常系统还在；里面的程序以为自己在跑，但文件系统、网络、权限等往往都被削过。写到不该写的地方就失败，连不该连的网就被挡住。
动机
为什么需要它
因为你经常要跑「不完全可信」的东西。
别人的插件
扩展能力有用，但权限必须可裁剪。
Agent 自动命令
智能体可能执行 shell / 写文件——你希望它干活，又不希望搞乱整机。
核心就两个字：隔离。事故尽量圈在小范围里。
结构
三层常见限制
1
文件
能改哪些目录，改不了哪些
2
网络
默认可不可以上网
3
进程能力
能不能拉起新权限、碰敏感资源
第 2 期会把文件层讲透；第 3 期讲边界是怎么被系统「拦」出来的。
关键对比
假约定 vs 真强制
| 假约定 | 真强制（真沙箱） | |
|---|---|---|
| 做法 | 口头说「你只能在这个文件夹干活」 | 系统或运行时强制检查资格 |
| 权限 | 进程往往仍是完整权限 | 启动时已套上限制 |
| 越界结果 | 换路径可能照样成功 | 没资格 → 写失败 / 被拒绝 |
| 谁执法 | 程序自觉 | 系统 / 内核 |
差别不在口号，而在谁执法。口头约定不是真沙箱。
形态
生活中到处都是沙箱
浏览器标签页
跑网页脚本的一种隔离。
容器跑服务
把服务圈在命名空间与挂载边界里。
开发工具 + Agent
给自动命令套隔离环境再执行。
形态不同，目的一样：可控地执行，把事故圈在小范围。
收束
记住三句
1
沙箱不是让程序更聪明，是让它更难闯祸。
2
隔离靠强制，不靠自觉。
3
再看到「沙箱」：里面在跑，外面有边界。