Agent 沙箱与运行时隔离：从零搭建到供应链治理

教程总纲 · Agent 沙箱与运行时隔离：从零搭建到供应链治理

讲什么、怎么学、怎么跳读，一页说清。本书面向搭建者：每个方案都给能跑的配置与代码。

一、这本书讲什么

一句话：教你给「会执行命令的 Agent」搭一个隔离运行环境，并把它纳入权限、审计与供应链治理。

展开成三句：

1. 信任边界——Agent 产出的命令由不可信输入（网页、issue、依赖描述）塑造，等价于执行互联网上任意人提交的代码，必须放进「规则 → 沙箱 → 审批」三层防线。
2. 从零搭建——Docker 四道边界（文件系统、网络、能力、资源）起步；共享内核风险用 gVisor（runsc）或 Firecracker 微 VM 兜住；执行网关让 Agent 不直接持有执行权。
3. 治理闭环——allowlist 与审批门、防篡改的审计日志与回放，再延伸到供应链治理（恶意 Skill 与依赖投毒）与红队自测。

二、学习路径

全书按「选型 → 搭建 → 权限审计 → 供应链与防护」四篇递进：

【篇一 · 选型】            【篇二 · 搭建】            【篇三 · 权限与审计】      【篇四 · 供应链与防护】
第 0 章 导览               第 2 章 从零搭一个Agent沙箱  第 3 章 权限与审计         第 4 章 供应链治理
 ├ 0.1 信任边界              ├ 2.1 Docker 落地           ├ 3.1 allowlist 与审批门   第 5 章 运行时防护
 └ 0.2 学习路线与环境        ├ 2.2 gVisor 与微 VM        └ 3.2 审计日志与回放       第 6 章 红队自测与落地
第 1 章 隔离模型选型         └ 2.3 执行网关与工具代理                               附录 · 速查与延伸阅读
 ├ 1.1 三级实操对比
 └ 1.2 按攻击面选级别
       │                          │                          │                         │
       ▼                          ▼                          ▼                         ▼
  判断用哪级隔离    ──▶   搭出沙箱与网关     ──▶   管住命令、留下证据   ──▶   管住来源、持续对抗
​

（文字流程图）读代码 / 写文件 / 任意执行三类 Agent ──▶ 选定隔离级别 ──▶ Docker 落地 ──▶ 按需升级 gVisor / 微 VM ──▶ 接执行网关 ──▶ 配 allowlist 与审批门 ──▶ 落审计日志 ──▶ 供应链治理与红队自测。

三、按需跳读

• 只想快速有个沙箱：0.1 → 1.2 → 2.1 → 3.1，半天产出一个可用的读 / 写型沙箱。
• 已有容器加固经验：跳过 0.2，直读 1.1 → 2.1 → 2.3，重点看执行网关。
• 关心内核逃逸与多租户：2.2 → 第 6 章（红队演练），配 1.2 的加档规则。
• 关心供应链投毒：0.1 → 第 4 章；「824 个恶意 Skill / 5 个市场」为单一来源数字，仅供参考。
• 关心提示注入识别：本书只管命令执行侧隔离，注入本身见本站《AI 应用安全与对齐：提示注入防御与输出管控》文集与《企业安全实践与攻防知识库》。

四、章节目录

第 0 章 导览
　0.1 信任边界：为什么要给 Agent 上沙箱
　0.2 学习路线与环境

第 1 章 隔离模型选型
　1.1 进程、容器与微 VM：三级实操对比
　1.2 按攻击面选级别

第 2 章 从零搭一个 Agent 沙箱
　2.1 Docker 方案落地：文件系统与网络边界
　2.2 加固：gVisor 与微 VM
　2.3 执行网关与工具代理

第 3 章 权限与审计
　3.1 allowlist 与审批门在沙箱内的落位
　3.2 审计日志与回放

第 4 章 供应链治理
　4.1 恶意 Skill 案例与四步自查清单
　4.2 Skill 与 MCP 来源锁定与审查流程

第 5 章 运行时防护
　5.1 异常行为信号与熔断
　5.2 逃逸后的损害控制

第 6 章 红队自测与落地
　6.1 红队自测清单与回归
　6.2 三段落地路线与文集分工图

附录
　附录 A 术语表
　附录 B 隔离技术与工具速查
　附录 C 练习题

说明：第 3.2 节结尾是通往第 4 章的衔接点（审计取证 → 供应链事件复盘）；第 6.2 节以三段落地路线与文集分工图为全书收官。

五、参考来源

• gVisor（runsc）官方文档与 GitHub 仓库；GKE Sandbox（gVisor 生产使用案例）
• Firecracker 官方文档与规格（启动不超过 125 毫秒、内存开销小于 5 MiB、每秒可创建约 150 个 microVM，官方数据）
• Docker 官方文档（docker run 参考、安全基线：capabilities、seccomp、只读文件系统、资源限额）；systemd 官方手册
• E2B 官方文档与公开设计资料（Firecracker microVM + 快照池，官方宣称约 150 毫秒冷启动）
• 《Harness 工程：从零打造智能体运行环境》第 5 章（权限与审批门）、第 6 章（沙箱与执行隔离）
• 《企业安全实践与攻防知识库》（注入与攻防）
• 本站《AI 应用安全与对齐：提示注入防御与输出管控》文集
• CVE-2026-100602 官方记录；runc 容器逃逸历史漏洞（CVE-2019-5736、CVE-2024-21626，官方记录）