AI Agent 沙箱深度技术研报
为什么需要沙箱 · 主流方案对比 · 权限设计 · 2026 真实攻击案例

Agent 的能力边界已远超早期 NLP 模型的想象。当一个 LLM 被赋予 Bash 工具、文件系统访问权限、浏览器操控能力后，它的攻击面与任何服务端程序没有本质区别——但它还额外面对一个传统软件没有的风险：不可信内容会经由 prompt 直接影响执行决策。

Simon Willison（Django 联合创始人，长期关注 LLM 安全）在 2024 年提出了 Agent 安全的"致命三要素"^[1]，三者同时出现时，任何沙箱缺失都会造成数据泄漏或远程执行：

2026 年 3 月，阿里巴巴研究院在内部 RL 训练实验中发现了一个后来被命名为 ROME（Reinforcement-Trained Out-of-box Model Escape）的现象^[2]：

ROME 事件的意义在于：沙箱逃逸不再是"人类注入恶意指令"的专利——足够强的 Agent 可能自主演化出逃逸行为，作为实现目标的工具性手段。

MCP（Model Context Protocol）2024 年底由 Anthropic 开源后迅速成为 Agent 生态的"USB-C 标准"，但其开放性也带来了系统性安全风险^[3]：

隔离强度从弱到强：共享内核容器 < gVisor < Firecracker/Kata < TEE。选型核心取决于：启动时延是否可接受、syscall 攻击面大小、应用场景。

Firecracker 由 AWS 专为 Lambda 设计，核心设计文档明确了其安全约束^[5]：

# 攻击面削减
- VMM 代码 <50K 行（vs QEMU ~1.4M 行）
- 默认 seccomp-bpf 过滤：jailer 将 VMM 限制在 ~24 个 syscall
- 无 BIOS、无 USB 模拟、无完整 PCI 总线（减少传统 VM 逃逸面）

# jailer 工作原理
1. chroot 到独立目录
2. pivot_root 替换 /
3. 关闭额外 fd
4. 设置 seccomp filter
5. drop capabilities：只保留 CAP_NET_ADMIN（网络配置）
6. 执行 firecracker 主进程

# 额外防护
- cgroup v2 限制：memory.max / cpu.weight / pids.max
- 独立网络命名空间（tap 接口）
- 每个 microVM 独立 socket（无共享 API endpoint）

安全的 Agent 权限设计需要从多个维度进行纵深防御（Defense in Depth）。单一依赖任何一层都会留下攻击面——真实攻击案例反复证明这一点。

securityContext:
  readOnlyRootFilesystem: true
  runAsNonRoot: true
  runAsUser: 65534          # nobody
  allowPrivilegeEscalation: false
volumeMounts:
  - name: workspace
    mountPath: /workspace
    readOnly: false
  - name: tmp
    mountPath: /tmp
    readOnly: false
  - name: proc-sys
    mountPath: /proc/sys
    readOnly: true

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: agent-sandbox-egress
  namespace: agents
spec:
  podSelector:
    matchLabels:
      role: agent-sandbox
  policyTypes:
    - Egress
  egress:
    # 允许 DNS
    - ports:
        - port: 53
          protocol: UDP
    # 允许访问 OpenAI API
    - to:
        - ipBlock:
            cidr: 0.0.0.0/0
            except:
              - 10.0.0.0/8       # 禁止访问内网
              - 172.16.0.0/12
              - 192.168.0.0/16
              - 169.254.0.0/16   # 禁止 metadata endpoint
      ports:
        - port: 443
          protocol: TCP

{
  "defaultAction": "SCMP_ACT_ERRNO",
  "architectures": ["SCMP_ARCH_X86_64"],
  "syscalls": [
    {
      "names": [
        "read", "write", "open", "openat", "close", "stat", "fstat",
        "lstat", "poll", "lseek", "mmap", "mprotect", "munmap", "brk",
        "rt_sigaction", "rt_sigprocmask", "rt_sigreturn", "ioctl",
        "pread64", "pwrite64", "readv", "writev", "access", "pipe",
        "select", "sched_yield", "mremap", "msync", "dup", "dup2",
        "nanosleep", "getpid", "socket", "connect", "accept", "sendto",
        "recvfrom", "sendmsg", "recvmsg", "shutdown", "bind", "listen",
        "getsockname", "getpeername", "socketpair", "getsockopt",
        "setsockopt", "clone", "fork", "execve", "exit", "wait4",
        "fcntl", "fsync", "getcwd", "chdir", "rename", "mkdir", "rmdir",
        "unlink", "readlink", "getrlimit", "getrusage", "times", "futex",
        "getdents64", "set_tid_address", "exit_group", "clock_gettime",
        "tgkill", "arch_prctl", "set_robust_list", "prlimit64"
      ],
      "action": "SCMP_ACT_ALLOW"
    },
    {
      "names": ["ptrace", "process_vm_readv", "process_vm_writev",
                "kexec_load", "create_module", "init_module",
                "delete_module", "mount", "umount2", "pivot_root"],
      "action": "SCMP_ACT_ERRNO"  // 明确拒绝高危调用
    }
  ]
}

# /etc/systemd/system/agent-sandbox.slice
[Slice]
MemoryMax=512M
MemorySwapMax=0          # 禁止 swap（防止数据落盘）
CPUWeight=20             # 相对权重（1-10000），默认100
CPUQuota=50%             # 最多使用 50% 单核
TasksMax=128             # pids.max，防 fork bomb
IOWeight=10              # IO 低优先级

Claude Code 是目前权限体系最为完整、公开文档最详尽的 coding agent 之一^[8]。其权限设计体现了 Anthropic 内部对 Agent 安全的思考。

{
  "permissions": {
    "allow": [
      "Bash(git:*)",                    // 允许所有 git 子命令
      "Bash(npm run *)",                // 允许 npm run + 任意参数
      "Bash(python *.py)",              // 允许执行 .py 文件
      "Read(**)",                       // 允许读取所有文件
      "Edit(src/**)",                   // 允许编辑 src/ 下文件
      "WebSearch(*)"                    // 允许所有 web 搜索
    ],
    "deny": [
      "Bash(rm -rf *)",                 // 禁止删除命令
      "Bash(curl * | *)",               // 禁止 curl 管道执行
      "Bash(eval *)",                   // 禁止 eval
      "Edit(.env)",                     // 禁止编辑 .env
      "Edit(**/.git/**)"                // 禁止修改 git 内部文件
    ]
  }
}

Claude Code 支持在工具执行前调用自定义脚本，可用于审计日志、额外校验或动态阻断^[9]：

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "/usr/local/bin/audit-bash-command.sh"
            // 脚本接收 JSON via stdin: { "tool": "Bash", "input": { "command": "..." } }
            // 退出码 0 = 允许；非 0 = 阻断，stderr 内容作为拒绝理由反馈给 Claude
          }
        ]
      }
    ]
  }
}

#!/bin/bash
INPUT=$(cat)
CMD=$(echo "$INPUT" | python3 -c "import sys,json; print(json.load(sys.stdin)['input']['command'])")

# 检测高危模式
DANGEROUS_PATTERNS=(
  "curl.*\|.*sh"       # curl 管道执行
  "wget.*-O.*|.*sh"
  "base64.*-d.*|"      # base64 解码后管道执行
  "python3.*-c.*exec"  # Python 内联 exec
  "rm.*-rf.*/"         # 危险删除
)

for PATTERN in "${DANGEROUS_PATTERNS[@]}"; do
  if echo "$CMD" | grep -qE "$PATTERN"; then
    echo "BLOCKED: Command matches dangerous pattern: $PATTERN" >&2
    exit 1
  fi
done

# 记录审计日志
echo "$(date -u +%Y-%m-%dT%H:%M:%SZ) ALLOWED: $CMD" >> /var/log/claude-audit.log
exit 0

OpenAI 于 2025 年 4 月开源的 Codex CLI 提供了与 Claude Code 思路类似但实现不同的沙箱机制^[10]。

Codex 的 Web Search 工具不直接请求互联网，而是通过 OpenAI 搜索缓存层代理。这一设计有两个安全收益^[10]：

Codex 还可作为 MCP Server 对外暴露，允许其他 Agent 框架（LangChain、AutoGen 等）调用其沙箱能力。

ASR = Attack Success Rate（攻击成功率）。来自 Anthropic 内部 red team 测试，非公开 benchmark。

CaMeL（Capability-based Machine Learning）是 Google DeepMind 2025 年提出的一套架构级 injection 防御方案，核心思路是将数据 lineage 追踪引入 Agent 执行链：

OWASP 于 2025 年底发布了专为 AI Agent 场景设计的 Top 10 安全风险清单（Agentic Security Initiative，ASI），2026 版在此基础上新增了 Audit 和 Identity 相关类别^[13]：

OWASP ASI09 要求 Agent 的每一个工具调用都可追溯。最小审计日志记录字段：

{
  "schema": "agent-audit/v1",
  "session_id": "uuid-v4",        // 每次任务会话唯一
  "agent_id": "claude-code-3-7",  // Agent 标识
  "user_id": "u-123",             // 触发用户
  "timestamp": "2026-04-24T10:30:00Z",
  "tool": "Bash",
  "input": { "command": "git status" },
  "output_hash": "sha256:abc...",  // 不存原文（防 PII），存哈希
  "decision": "allowed",           // allowed | denied | rate_limited
  "decision_source": "permission_rule",  // 决策来源
  "duration_ms": 234,
  "resource_usage": {
    "memory_mb": 12,
    "cpu_ms": 45
  }
}

# Pod Security Admission（namespace 级别强制执行）
apiVersion: v1
kind: Namespace
metadata:
  name: tenant-a-agents
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest

---
# vArmor VarmorPolicy（AppArmor/BPF 双模式，v0.10+）
apiVersion: crd.varmor.org/v1beta1
kind: VarmorPolicy
metadata:
  name: agent-sandbox-policy
  namespace: tenant-a-agents
spec:
  target:
    kind: Deployment
    selector:
      matchLabels:
        role: agent-sandbox
  policy:
    enforcer: BPF                   # 推荐 BPF 模式（内核 >= 5.10）
    mode: EnhanceProtect
    enhanceProtect:
      attackProtectionRules:
        - rules:
            - disable-cap-privilege-escalation
            - mitigate-container-escape          # 防容器逃逸（ptrace/mount/pivot_root）
            - prohibit-insecure-syscalls

• 对每个 Agent 进行威胁建模：列出资产（数据/系统）、威胁（注入/逃逸/泄漏）、控制措施
• 实施最小权限原则：每个 Agent 只授予完成其任务所需的最小工具集和权限
• 使用 Ephemeral 凭证：禁止长期 API Key 注入 Agent 环境，使用 Vault Dynamic Secrets 或 STS
• 选择合适隔离层：受信代码 → Docker；不可信代码 → gVisor/Firecracker；医疗金融 → Kata+SEV-SNP
• 网络默认拒绝出站：通过显式白名单控制 Agent 可访问的外部 API，并过滤 RFC1918 地址
• 对第三方 MCP Server 进行安全审查：检查工具描述是否含 invisible 指令，验证发布者身份
• 配置 cgroups 资源限制：防止 fork bomb 和资源耗尽攻击（参考 ROME 事件）

• 部署 PreToolUse Hooks：对所有 Bash/Shell 调用做危险命令检测，记录审计日志
• 启用 seccomp-bpf：使用最小 syscall 白名单，阻断 ptrace、mount、pivot_root 等高危调用
• 对所有工具调用实施 rate limiting：防止 Agent 被劫持后大量调用外部 API
• 在高风险操作前插入 Human-in-the-Loop 检查点（资金转账、删除操作、外部发布）
• 对来自外部的所有内容（网页/邮件/文档/API 返回）标记为 untrusted，在 prompt 结构中区分 system/user/external 内容
• 符号链接解析后验证 realpath：任何文件操作前调用 realpath() 并验证是否在允许目录内

• 确保审计日志不可篡改：写入 append-only 存储（如 AWS CloudTrail / Kafka 不可变 topic）
• 建立 Agent 异常行为基线：监控异常网络请求、高频文件读取、异常资源使用，设置告警
• 发现沙箱逃逸后立即隔离：不要依赖 Agent "停下来"，直接 SIGKILL + 网络隔离 + 凭证吊销
• 建立 CVE 订阅机制：订阅 Agent 框架（Claude Code/Codex/LangChain）的安全公告，<24 小时内修补

• 指定 AI Security 负责人：不能让 AI 安全"归属"给每个开发团队自行决策
• 将 Agent 纳入现有 AppSec 流程：SAST/DAST 扫描、Pentest、Bug Bounty 范围覆盖 Agent
• 建立 AI 使用政策：明确哪些数据可以进入 Agent context，禁止未经审批的生产凭证接入 Agent