在AI Agent从“聊天助手”向“自主执行者”演进的今天，我们正面临着前所未有的安全挑战。当Agent开始拥有访问文件系统、调用命令行工具甚至发起网络请求的能力时，一个失控的Prompt就可能让整个服务器沦陷。

为了让Agent既能“放手干活”，又不“惹是生非”，进程级沙箱（Process-level Sandboxing）成为了保障宿主环境安全的最后一道防线。

本文尝试构筑一套基础安全标准，咱们一起来看下需要考虑哪些方面。

1. 根基之固：文件系统隔离 (Filesystem Isolation)

沙箱的起点在于文件系统的边界控制。我们不能相信Agent的任何路径输入。

• 最小化可见性：采用白名单机制挂载路径。Agent的工作区（Workspace）是其唯一可见的“世界”，系统目录（如 /etc, /usr/bin）及包含密钥的隐私路径默认完全屏蔽。
• 权限分级：即使在工作区内，也要区分读、写、执行权限。例如，数据目录通常只需写权限，而脚本目录需执行权限。
• 攻击面封堵：必须严防目录遍历（../）以及利用符号链接（Symlink）或硬链接指向沙箱外的敏感文件。
• 临时目录独享：这是常被忽视的一点。每个沙箱实例必须拥有独立的 tmp 目录，严禁共享系统 /tmp，以防止通过临时文件进行的跨沙箱数据窃取或竞争条件攻击。

2. 环境的纯净：环境变量隔离（Environment Variable Isolation）

环境变量是隐形的攻击载体。Agent启动时，必须对环境进行“大扫除”。

• 白名单透传：仅允许明确声明的变量进入沙箱。
• 清理注入向量：重点清理 LD_PRELOAD、LD_LIBRARY_PATH 和 PYTHONPATH。这些变量常被用于动态链接库注入，是绕过代码执行限制的常用手段。
• 锁定网络配置：禁止通过篡改 HTTP_PROXY 等代理变量来绕过网络隔离策略。

3. 工具的枷锁：工具管控与权限分级 (Tool Governance)

Agent执行的每一个工具（二进制文件）都必须经过严格的身份验证和权限审查。

• 身份三重奏：通过路径校验、哈希校验（Hash）及平台签名校验，确保执行的不是被篡改过的木马程序。
• 三级权限模型：
  • 低危：自动放行（如 ls, cat）。
  • 中危：策略管控（如网络请求）。
  • 高危：必须人工确认（如 rm -rf, 系统配置修改）。
• 参数级约束：这是防御的关键。必须禁用解释器的交互模式，严格限制 -c、-e 等允许执行任意代码的参数。
• 禁止交互式Shell：严禁启动 bash、sh 等交互式Shell，同时禁止通过管道（|）、重定向（>）串联未授权命令，防止Shell从标准输入读取执行代码。

4. 人的决策：人工确认机制（Human-in-the-Loop）

无论自动化规则多么完善，对于高危操作，人必须是回路的一部分。

• 底层拦截：确认逻辑必须在沙箱底层实现，防止Agent通过逻辑漏洞绕过前端UI的确认弹窗。
• 透明化：向用户展示完整的命令、预期的影响范围及潜在风险。
• 灵活性：支持配置可信规则模板（如“允许读写 ~/Documents”），匹配后自动放行；支持超时默认拒绝和会话级临时信任，平衡安全与效率。
• 持久化防御：特别拦截 crontab、计划任务、开机自启项和系统服务注册，防止Agent植入后门实现持久化控制。

5. 身份的降维：OS进程权限降权（Process Privilege Drop）

遵循“最小权限原则”，Agent进程绝不能拥有比它需要的更多的权力。

• 专用账号：使用专用的低权限账号（如 agent-runner）运行，绝对禁止使用 root 或 Administrator。
• 裁剪Capabilities：在Linux下，剥离所有非必要的内核Capabilities；在Windows下，设置低完整性级别（Low Integrity Level）。
• 阻断提权：禁止执行 setuid/setgid 程序，屏蔽 su/runas 等提权命令。
• 实例隔离：多Agent实例使用独立身份运行，防止横向渗透。同时，禁用核心转储（Core Dump），避免内存中的敏感数据（如密码、Token）被写入磁盘文件。

6. 物理世界的屏障：硬件访问管控（Hardware Access Control）

Agent无需访问物理硬件，因此默认全部封锁。

• 节点重定向：默认禁用或重定向所有物理设备节点。
• 隐私保护：特别屏蔽块设备（如U盘）、字符设备（如摄像头、麦克风）、串口及蓝牙设备节点，防止成为间谍软件。

7. 内核之门：Syscall 过滤器 (Seccomp-BPF)

如果说防火墙控制网络流量，Seccomp则控制着进程对Linux内核的访问。

• 白名单模式：仅放行业务必需的Syscall（如 read, write），其余一律拦截。
• 高危拦截：坚决拦截 ptrace（调试）、mount（挂载）、内核模块加载等调用。
• 参数校验：对文件和网络类调用补充路径与地址参数校验。
• W^X原则：强制内存“写异或执行”规则，禁止内存页同时具有可写和可执行属性，这是防御Shellcode注入的有效手段。

8. 生命的周期：进程树与生命周期管控（Process Hierarchy and Lifecycle Control）

Agent可能会尝试启动子进程来逃逸监控，我们必须对其进行全生命周期管理。

• 策略继承：确保子进程自动继承父沙箱的所有规则（Cgroups, Namespaces, Seccomp）。
• 连带销毁：主进程退出时，必须自动销毁完整的进程树（PID Namespace），杜绝孤儿进程残留。
• 防御Fork炸弹：限制最大进程数。
• 禁止跨进程干扰：禁止进程间访问、代码注入、调试及动态库注入。

9. 资源的天花板：资源限制 (Resource Limits/Cgroups)

防止Agent由于Bug或恶意代码耗尽宿主资源。

• 硬性配额：对CPU、内存、磁盘IO设置硬上限。
• 存储限制：限制磁盘写入总量、单文件大小、文件/目录总数量及文件句柄数。
• 超时熔断：单次任务执行超时强制终止。
• 防御DoS：有效防御死循环、大文件生成导致的宿主资源耗尽攻击。

10. 网络的孤岛：网络隔离 (Network Isolation)

网络是Agent连接外部世界的通道，也是最大的风险源。

• 三级模式：默认采用“完全断网”；必要时开启“域名白名单”；仅在极度信任下“全量放行”。
• 内网防护：严禁访问内网IP段（如 192.168.0.0/16, 10.0.0.0/8）及本地回环上的敏感端口（如Redis 6379, MySQL 3306）。
• 流量整形：限制出站协议、请求频率与单包大小。
• 入站封锁：默认禁止所有入站连接，仅允许已建立的连接回传数据。

11. 进程间的柏林墙：IPC与信号屏蔽(Inter-Process Communication)

防止通过进程间通信（IPC）机制逃逸沙箱。

• 信号隔离：限制跨进程信号发送，屏蔽调试类信号（如 SIGTRAP）。
• 通信隔离：隔离共享内存、消息队列、信号量等跨沙箱通信机制。
• PID Namespace：沙箱内不可见外部进程，也无法向外部进程发送信号。

12. 黑匣子：审计日志与行为溯源（Audit Logs and Behavior Tracing）

最后，我们需要一个无法篡改的“黑匣子”来记录一切。

• 全量记录：记录每一次文件操作、命令执行、网络请求及拦截事件。
• 防篡改：日志输出到沙箱外的专属目录，沙箱内进程仅拥有追加权限，无权删除或修改。
• 结构化存储：支持按类型、时间、风险等级进行高效检索。
• 实时告警：对高危操作和逃逸尝试进行实时告警，以便安全人员及时介入。

结语

构建一个安全的进程级Agent沙箱，本质上是在构建一个零信任的执行环境。它不相信任何输入，不授予任何多余权限，并对一切行为进行审计。

上述12个维度的技术点并非孤立存在，而是相互交织，构成了一个深度的防御纵深。当前只是一个很粗略的版本，欢迎留言，一起讨论和改进