隔离级别 · isolation tiers
"加个容器就安全了"是今年最常见的错觉。容器共享主机内核——一次内核提权，全部容器沦陷。真正的隔离是有层级的，越往下越硬，也越贵。
给 Agent 跑代码，常见三档：
下面给一个威胁场景，你选隔离级别，看选得准不准——是刚好、过度（浪费钱）还是不足（埋雷）。
选隔离级别本质是在风险 × 成本里找平衡。下面这张表把三档的启动时间、开销、逃逸难度、适用场景摆在一起：
| 维度 | 进程 | 容器 | 微VM |
|---|---|---|---|
| 启动时间 | ~10ms | ~200ms | ~1s |
| 额外开销 | ≈0 | 低 | 中（独立内核） |
| 逃逸难度 | 低（共享内核） | 中（共享内核） | 高（需破 hypervisor） |
| 并发密度 | 极高 | 高 | 中 |
| 典型用途 | 跑自家测试 | CI、已知半可信代码 | 用户上传代码、不可信 Agent |
关键判据只有一条：代码是谁写的、可不可信。自己写的、CI 跑的，进程/容器够；用户上传的、Agent 自动生成的、要联网的，上微VM。