沙箱生命周期

计算与文件环境的创建、使用、隔离、保留和销毁合同。

沙箱是运行代码和处理文件的环境，不应承担唯一的业务真相。环境可以因超时、容量或供应商故障被销毁；Task状态、操作身份和最终产物必须存放在独立的持久系统。恢复时应能根据已提交记录重建环境，而不是希望模型记得上一次临时目录里的内容。

托管Agent公开工程中，harness、session日志与sandbox可以有不同生命周期。Meta Muse披露的用户VM和cell外权限权威，又显示隔离粒度可以是用户而非每个角色。企业需要明确环境属于租户、项目、任务还是某次Run；一个账号内多个Bot并不必然拥有独立磁盘或浏览器登录。

环境合同包括镜像版本、允许挂载、网络目的地、CPU与内存、执行时限、依赖安装和空闲保留。生产凭证优先由网关代持，临时授权绑定scope和Task。产物离开沙箱前保存内容hash、媒体类型和访问策略。checkpoint恢复不应自动恢复已经撤回的凭证或来源权限。

容器、microVM和托管sandbox有不同隔离与运维成本，不能只看冷启动速度。长时间预热会增加费用和敏感快照保留面；共享环境可提高复用，却需要可见的共享边界。测试应覆盖环境崩溃、重新挂载、受限出网、资源耗尽与销毁后数据可恢复性，并明确哪些临时文件不会保留。

例如同一任务创建第二个Run时，可以复用已审阅的输入文件和依赖镜像，但不应自动复用旧浏览器登录、开放端口和过期凭证。文件复用、计算预热、身份授权是三项独立决定。教育班级与法律客户的任务尤其要明确环境清理和共享策略；看见不同聊天头像不意味着底层已经隔离。

环境资源、应用数据和授权凭证应各有保留策略，并记录执行镜像的来源。

实践重点：持久产物外置；短期凭证与任务绑定；损坏后从已提交状态重建。

验证抓手：测试环境崩溃、重新挂载、出网与凭证边界。

常见误区：把沙箱磁盘当唯一状态，或把不同角色误当隔离环境。

OpenAI：托管Agents架构；Anthropic：Managed Agents工程设计。