智能体沙箱是一个受限的执行环境：智能体可以在里面读写文件、运行命令、访问指定的网络资源，但它能碰到的东西由沙箱的边界决定，超出边界的操作会被拦下。它不是给智能体加的一层心理暗示，而是操作系统或虚拟化层面的隔离。理解沙箱的关键不在它“很安全”这个标签，而在它到底隔离了哪几样东西。
沙箱通常隔离的三样东西
第一是文件系统。沙箱里的智能体只能看到分配给它的工作目录，宿主机的其他文件不在它的视野里，误删或改错的范围就被收住了。第二是进程与资源。沙箱限制它能启动哪些程序、占用多少 CPU 和内存，一个失控的任务不至于拖垮整台机器。第三是网络。很多沙箱默认不联网，或者只放行白名单里的地址，智能体不能随意向外发送数据。谷歌新推出的智能体计算环境就是这个思路：每个智能体独享一台隔离的电脑，任务在隔离环境里跑完，结果再交回来。
沙箱拦不住的三件事
沙箱管的是“能碰到什么”，管不了“智能体信了什么”。如果智能体读到的文件、网页或邮件里藏着诱导指令，它可能在沙箱允许的范围内照做，例如把工作目录里的文件发到某个地址。沙箱也拦不住权限给得太大：一个人把整个项目目录和全部密钥都放进沙箱，隔离就只剩形式。更隐蔽的是硬件层面的信号泄露，研究人员已经演示过经由共享硬件信号把数据带出隔离环境的办法，沙箱本身不是万能锁。
什么时候可以信它，什么时候不行
把沙箱当作默认配置是对的：让智能体先在隔离环境里跑，需要的目录、网络和密钥按最小权限给，关键操作留给人确认。指望沙箱单独兜底是错的：敏感目录不放进去、可疑来源的内容先过一遍、涉及钱和账号的操作必须人工复核。沙箱的价值在于缩小事故半径，而不是替人做判断。
