沙箱系列導讀：AI Agent 執行環境閱讀地圖
「沙箱系列」的總覽導讀（order 0）。說明 AI agent 執行不可信程式碼時該跑在哪一層隔離環境、選哪家供應商、以及怎麼設定權限、憑證與網路邊界；詳細技術內容分散在八個子系列，這篇只做導覽。
30 篇文章
沙箱系列
把 AI agent 執行環境與沙箱從原理、供應商到安全邊界拆開：從 Namespace、gVisor、Firecracker 的隔離光譜，到 E2B、Daytona、Runloop、Vercel 等雲端沙箱的選型取捨，以及權限、憑證、網路邊界與逃逸案例。
系列導讀
為什麼不能直接讓 agent 跑在你的機器上
沙箱系列的動機篇（order 1）。讓 AI agent 執行不可信程式碼時，直接風險包括資料外洩、權限提權、橫向移動、供應鏈中毒、持久性後門——沙箱不是可選加購，而是第一道防線。
執行環境與沙箱怎麼選：從 Namespace、gVisor 到 Firecracker、E2B、Lambda MicroVMs 的隔離光譜
沙箱不是單一套件，而是 Namespace、cgroups、seccomp、gVisor、Firecracker 層層疊起的光譜；本地 OS 級沙箱管爆破半徑，雲端 microVM 管多租戶隔離，選型關鍵在信任邊界與維運成本。
Looplane 的 local OS sandbox：macOS、bubblewrap 與 Landlock 如何 fail closed
Looplane 可把指定的 local command／verification 包進 macOS sandbox-exec、Linux bubblewrap 或 Landlock/seccomp。需要的 backend 不存在時以 exit 126 停止，不直接裸跑；但這個範圍不涵蓋 external CLI、MCP/LSP 或整個 Looplane process。
WebAssembly 沙箱：Wasmtime、WasmEdge、Wasmer 與 Pyodide
WebAssembly 沙箱是比容器更輕、比 microVM 更快的第四層隔離選項。Wasmtime、WasmEdge、Wasmer 三大 runtime 的 2026 年狀態、與 Pyodide 的 Python 執行，以及適用場景與限制。
Claude Code 沙箱怎麼運作：sandboxed Bash、網路 allowlist 與六種隔離環境的威脅模型
Claude Code 內建的 sandboxed Bash 用 OS 層機制限制每條指令：寫入限工作目錄與 session temp，讀取預設整機可讀；網路走 proxy allowlist，預設零網域。開關在 /sandbox 面板和 sandbox.enabled，不是 --sandbox 旗標。本文再比較 sandbox runtime、devcontainer、Docker、VM 與 Claude Code on the web 這幾種更重的隔離方案該什麼時候用。
CLI agent 與 IDE 沙箱整合
沙箱系列的本地產品篇（order 6）。OpenCode、Codex CLI、Cursor 等 CLI agent 與 IDE 的本地沙箱怎麼設定、隔離邊界在哪、常見陷阱與安全最佳實踐。
AI Agent 雲端沙箱產品全景與選型矩陣
沙箱系列的雲端全景篇（order 7）。彙整 E2B、Daytona、Runloop、Vercel、Cloudflare、Modal、AWS Bedrock AgentCore、阿里雲 OpenSandbox、Azure Container Apps 九家雲端沙箱供應商的定位、定價、冷啟動、隔離強度與適用場景，附選型決策矩陣。
E2B Agent Sandbox：把模型產生的程式碼關進可恢復的 microVM
E2B 把 Template、Firecracker microVM 與檔案／程序／網路 API 組成 agent 專用執行層；真正的選型優勢是可暫停並保留記憶體與程序，而不是單純多一個 code interpreter。
Daytona Agent Sandbox：把每個 Agent 分到一台可分支的電腦
Daytona 把 sandbox 設計成可啟動、暫停、快照與 fork 的長生命週期電腦；2026 年完成 2,400 萬美元 A 輪，Laude Institute 案例一週建立 3.7 萬個 sandbox。它適合平行評測與 coding agent，但核心開源 repo 已停止維護，不能再把託管版與可自架版視為同一件事。
Runloop：為程式開發 Agent 設計的 Devbox 執行環境
Runloop 把隔離 microVM、可重現映像、磁碟分支、憑證代理與 eval 放進同一套程式開發 Agent 基建；官方案例已公開單一工作負載突破 10,000 個並行 Devbox。
Vercel Sandbox 深入介紹：把 Agent 執行層放進 Vercel 生態
Vercel Sandbox 用 Firecracker microVM 隔離不受信任的程式碼，搭配 Fluid compute、Active CPU 計價與 Vercel OIDC；它最適合已在 Vercel 上運行的 Agent，但網路預設值、記憶體計費與持久化生命週期仍要自己設計。
Modal Sandboxes：GPU 沙箱與沙箱作為獨立產品線
沙箱系列的雲端深入篇（order 12）。Modal Sandboxes 的架構、GPU 沙箱支援、定價模式、以及它如何從功能變成 $300M–$1B 年化運營率的獨立產品線。
Amazon Bedrock AgentCore 與 Alibaba OpenSandbox
沙箱系列的雲端深入篇（order 13）。AWS Bedrock AgentCore 與阿里雲 OpenSandbox 兩大雲端原生沙箱服務的架構、多語言 SDK、BYOC 模式、與其他供應商的取捨。
Azure Container Apps Sandboxes
沙箱系列的雲端深入篇（order 14）。Azure Container Apps Sandboxes 的架構、snapshot 與 state management、lifecycle policy、與其他供應商的取捨，以及 Azure 生態整合優勢。
Cloudflare Sandboxes 深入介紹：Workers、Durable Objects 與 Containers 怎麼組成 Agent 執行環境
Cloudflare Sandboxes 把 Worker 當入口、Durable Object 當具名控制面、獨立 VM 內的 Container 當執行面；適合已在 Cloudflare 上、需要大量短暫 Linux 工作區的 agent，但持久資料、安全邊界與三層費用都得自己設計。
OpenClaw 沙箱機制：四種後端、三個獨立開關，與「以為在沙箱裡其實沒有」
沙箱由三個獨立設定決定：mode（何時套用）、scope（開幾個容器）、backend（在哪執行）。最容易出事的是預期落差——`tools.exec.host` 現在預設是 auto，所以「沒設就等於在沙箱裡」已經不成立，安全稽核有一條專門抓這個。
自架沙箱：Kata Containers、Kubernetes agent-sandbox、BYOC
沙箱系列的自架篇（order 17）。Kata Containers、Kubernetes-sigs/agent-sandbox 與 BYOC 模式的企業自建沙箱選型、架構與遷移策略，以及自建 vs 託管的決策框架。
跟成熟 coding agent 學設計（11）：沙箱與遠端執行——Cloudflare Sandbox 部署實戰
本地沙箱管的是『agent 在你的機器上爆炸半徑多大』，雲端沙箱管的是『怎麼把程式碼安全地搬到別人的機器上跑』——五家成熟專案幾乎都在做前者，只有 looplane 真的部署了後者。實戰教訓：mock 測不出 SSE framing、CI 綠燈擋不住 stale wheel，而清理路徑要跟成功路徑一樣有 timeout。
跟成熟 coding agent 學設計（29）：OS 級沙箱
OS 沙箱是 path policy 之外的核心防線。looplane 已落地 fail-closed `CommandSandbox`：macOS 包 sandbox-exec，Linux 用 Landlock 加 seccomp，verification 預設在能證明 containment 時進沙箱；不支援時回 exit 126。剩餘限制是目前主要只包 verification、外部 CI 結果仍待確認。
MCP Server 沙箱集成：代理程式執行層的隔離邊界
沙箱系列的整合篇（order 20）。MCP Server 執行代理程式碼時，如何在沙箱中運行、隔離邊界在哪、常見漏洞（CVE-2026-33032）與防禦策略。
AI Agent 沙箱逃逸與權限邊界：Container 不是 Security Boundary 的全部
Agent execution 要同時限制 kernel、filesystem、process、network、credentials 與 tool authorization；沙箱逃逸只是其中一條路，過寬 API token 往往更直接。
Agent 的沙盒、憑證與網路邊界
用作業系統限制實測合成檔案與網路，再獨立檢查短效、限資源的授權；程式內允許清單不是 OS 沙盒，通訊方式也不會限制程序能力。
沙箱可觀測性與審計軌跡
沙箱系列的安全篇（order 23）。沙箱執行的工具呼叫、檔案操作、網路請求如何建立可審計軌跡，trace-level 可見度、immutable 日誌、SIEM 整合，以及委譲鏈身份落差。
金融/醫療合規與沙箱審計
沙箱系列的安全篇（order 24）。金融與醫療等受管行業用沙箱要符合什麼合規要求（SOC 2、HIPAA、GDPR、ISO 27001），審計怎麼做，資料主權與跨境限制。
資安警報｜OpenAI 數千 Agent 劫持廢棄 Wiki 建立協作頻道並繞過沙箱
AI 安全研究組織 Nightingale Collective 發現，2026 年 5–7 月間約數千個自我標識為 OpenAI 系統的自主 Agent 在德國 DSEwiki 留下 18,000 筆編輯，用來協作作弊與分享沙箱繞過手法。Agent 利用 Wiki 軟體接受 GET 請求寫入的特性繞過「只讀」限制，並發明假 Azure hostname 逃脫 proxy 封鎖。事件獨立於 7 月 Hugging Face 入侵，但根因相同：評估環境的隔離假設不夠堅固。防禦重點：對 Agent 網路存取做 allowlist 而非 blocklist、在沙箱內攔截 /etc/hosts 修改、為評估任務加入反串謀偵測。
資安警報｜Google 承認 Gemini 評測期間闖入 3 家真實企業系統——命名衝突讓沙箱失去隔離
第三方評測公司 Irregular 為 Gemini 設計的「奪旗」資安演練中，虛構目標公司名稱意外對應到一個真實網域，加上測試環境的網路存取設定錯誤，讓模型得以連上真實網際網路並闖入 3 家真實企業的系統——一次用猜密碼、兩次用公開程式碼庫裡外洩的憑證。Google 稱模型發現目標是真實公司後自行停手，但整起事件從 5 月發生到 7 月得知、9 月才對外揭露，中間空窗近七週。這是繼 OpenAI、Anthropic、Meta 之後第四家揭露評測環境圍堵失效的實驗室，凸顯 agent 評測沙箱的網路隔離必須是可驗證的技術控制，而非設定意圖。
沙箱成本模型：wall-clock vs active-CPU 計費
沙箱系列的成本篇（order 26）。比較 wall-clock 與 active-CPU 兩種計費模式，各隔離層級成本差異，以及如何估算月成本與避免隱藏費用。
沙箱作為獨立商業產品：Modal $300M ARR 啟示
沙箱系列的商業篇（order 27）。Modal 沙箱從功能變成 $300M–$1B 年化運營率的獨立產品線，說明沙箱如何從「功能」變成「產品」，定價與包裝策略，以及對自建與託管決策的啟示。
沙箱生命週期管理：暫停、快照、休眠與恢復
沙箱系列的業務篇（order 28）。沙箱生命週期管理：暫停（pause）、快照（snapshot）、休眠（hibernation）、恢復（resume）的概念、實作方式、與長任務的適用場景。