“代码在容器里运行，所以是隔离的”这句话信息量很低。容器挂了哪些目录、能访问哪些网段、使用谁的云凭证、能否启动特权子进程、输出会被送到哪里，任何一项没说清，隔离都可能只是一层包装。
执行型 Agent 会读取仓库、安装依赖、运行命令、访问网站和调用工具。它的能力集合应该像部署规格一样被声明、审批和验证。我把这份契约叫 Sandbox Manifest：不是给人看的安全口号，而是运行时真正执行的清单。
邓明瑞 / 纯粹
邓明瑞 / 纯粹
“代码在容器里运行，所以是隔离的”这句话信息量很低。容器挂了哪些目录、能访问哪些网段、使用谁的云凭证、能否启动特权子进程、输出会被送到哪里，任何一项没说清，隔离都可能只是一层包装。
执行型 Agent 会读取仓库、安装依赖、运行命令、访问网站和调用工具。它的能力集合应该像部署规格一样被声明、审批和验证。我把这份契约叫 Sandbox Manifest：不是给人看的安全口号，而是运行时真正执行的清单。
