沙箱、出网与凭证代持

隔离对象

模型生成代码需要最小文件挂载、独立临时目录、CPU／内存／磁盘配额、超时、出网规则和依赖限制。容器是进程隔离手段，是否需要microVM或托管沙箱由威胁模型决定，不能把“放进Docker”当作完整保证。

生产凭证尽量不进入模型可读文件或生成代码的环境。工具网关或vault代持短期授权，以任务、scope和目的地约束动作；日志脱敏，限制调试权限。MCP连接标准不自动替远端server背书，工具定义变化和安装更新也属于供应链边界。

持久与临时分离

沙箱文件可能包含下载资料、浏览器登录和中间结果。为任务隔离目录和身份，明确复用范围、保留和销毁。必须持久保存的产物、证据引用与事件写到独立存储；恢复时重建环境而非假设原进程还活着。共享浏览器登录意味着共享能力，不能仅靠不同聊天窗口宣称隔离。

验证

用无真实危险数据的样本检查禁止域名、越界文件、资源耗尽、恶意依赖、取消后后台进程与清理。读取产物前检查文件类型、大小、路径穿越和宏／脚本等活动内容。验证通过也只证明已测边界，应记录具体环境和政策版本。