Modal 的沙箱：给智能体一台可以随便折腾的整机

给一个 AI 智能体运行代码的能力很容易。给它一个安全的地方运行,不容易。2026 年 10 月 1 日,Modal Labs 发布了面向智能体的完整 VM 沙箱,给每个智能体一台可以运行代码和工具、又不触碰任何它不该碰的东西的完整计算机。这是一个基础设施发布,不是模型发布,而它处理的是智能体故事里比较顽固的问题之一。

问题很容易讲清。一个只会聊天的智能体无害。一个能行动的智能体需要一个行动的地方,而它可能行动的地方,从生产数据库到开发者自己的机器,恰恰是你最不能让它搞坏的地方。沙箱试图解决这个问题,给智能体一个一次性的世界,在那里犯错除了重启之外不花任何代价。

为什么容器不总是够

大多数智能体运行时已经以某种形式隔离代码,通常是容器。容器很擅长阻止智能体游荡到盒子外,但它们与主机共享内核,当盒子里是不可预测的东西时,可能以要紧的方式泄漏。完整虚拟机更重但更严格:智能体得到自己的操作系统、自己的文件系统、自己的网络视图,隔离在更低的层次上成立。

对一个做日常工作的智能体,区别可能永远不显现。对一个运行任意生成的代码、从互联网抓取东西或安装依赖的智能体,区别就是全部要点。沙箱不是让智能体更快,而是在智能体做了意外的事时,让爆炸半径是一台一次性机器。

{{INLINE1}}

这个发布背后的趋势

Modal 的时机反映了一个更广的转向。智能体从演示走向流水线,而一旦进入流水线,它们就拿到真实权限。当智能体持有凭据的那一刻,它在哪里运行就变成一个安全问题而非便利问题。这就是为什么过去几个月涌现出一连串沙箱、权限和治理工具。行业在建造让智能体可部署的那些无聊部分。

有一个值得点名的讽刺。模型拿到头条,但决定智能体是否可信的层次,却是由普通工程构成的。跨会话保持上下文的记忆系统,容纳错误的沙箱,记录用户同意了什么的一致协议:这些在演示里都不惊艳,而它们全都是一台玩具和一家公司真的会跑的东西之间的分别。

采用一个沙箱前该问什么

不是每个沙箱都一样,问题很实际。一个启动有多快,因为慢的冷启动会把每次智能体调用变成等待。智能体能触及什么,能否按任务锁死。任务结束时状态怎样,有多少被记录。它能否可靠地扛住不可信代码,还是只为守规矩的脚本调过参。答案决定这个沙箱是一条真正的边界,还是形式。

最强的沙箱假设里面的代码会是敌意的或坏掉的,并设计成两种结果都逃不出去。这与一个供人把玩的开发环境是不同的设计目标。对智能体工作来说,假设敌意是正确的,因为生成的代码本质不可预测,而智能体从你无法完全控制的来源接收指令。

它与智能体栈的其余部分如何配合

沙箱是关于智能体基础设施更大论述的一块。智能体需要记忆以便接着上次继续,需要权限以便只碰该碰的,需要一个运行的地方以便让错误被容纳。每一项都是独立的关切,每一项在过去一年都催生了自己的一波工具。沙箱是容纳那一块,而随着智能体获得更多自主性,它越来越重要。

这就是趋势线。早期智能体一步一步运行,每一步都由人批准。行进的方向是智能体运行更久、采取更多行动、需要更少监督。一个智能体的自主性越大,它越需要一条不依赖人来及时抓住它的边界。完整 VM 是比容器更重的工具,而愿意付这份重量的理由,正是为了不再依赖监督。

还有一个很少被讨论的成本维度。沙箱让尝试变便宜,而不只是变安全。一个能启动一台全新机器、弄坏它、再扔掉它的智能体,把失败当作免费。这改变了智能体工作的方式:它可以更实验性,测试更多方法,从死胡同里恢复而无需人来收拾。容纳和实验,其实是从两个角度看同一个特性。

对任何沙箱的一个测试

采用之前,先跑一个简单实验。给智能体一个需要安装不熟悉的包、从互联网抓取东西并写磁盘的任务。然后看沙箱能看到什么。它能否意外触及你的内部网络。一个崩溃的任务会不会留下东西。一个新实例启动要多久。这些问题回答起来快,它们揭示隔离是真的还是装饰性的。

然后故意弄坏它。喂给沙箱试图逃逸、生成后台进程、陷入循环的代码。好的沙箱把这一切当作预期并容纳它们。弱的沙箱要么挂起、泄漏,要么倒下。愿意这样测试,本身就是认真对待智能体安全的团队的标志,而它远比在生产里发现极限便宜。

为什么这比它看起来更重要

对有用智能体的瓶颈已从智能转向信任。模型已经足够能干,能完成很多真实任务,而它们没有做更多,是因为人们还不放心交出钥匙。沙箱是改变这种舒适度的工具之一,因为它们让一个谨慎的操作者能以一种最坏情况被容纳的模式运行智能体。

像这样的发布永远不会在新闻流里走红。它们是决定过去一年雄心勃勃的智能体演示,是否会变成在某个周二无人看着也能运行的东西的管道。如果你在构建智能体,这是值得投入注意力的那层,因为无法被容纳的智能体不会被信任,而不被信任的智能体不会被部署。