文章摘要当Agent需要运行Python、Shell、数据处理脚本或第三方代码时很多团队第一反应是“用Docker包起来”。容器启动快、生态成熟但容器共享宿主机内核隔离强度取决于Rootless、Namespace、Cgroup、Seccomp、AppArmor、Capability、挂载和网络策略是否正确配置。对于公开用户提交的任意代码仅有一个普通容器通常不应被视为充分安全边界。MicroVM使用虚拟机边界隔离工作负载在安全性上更接近虚拟机同时保持较快启动与较低资源开销适合高风险、多租户和公开代码执行。远程执行服务则进一步把沙箱基础设施独立出来通过队列、Worker池、Artifact接口和策略控制运行任务适合规模化、异构运行时和多团队复用。本文从隔离边界、启动延迟、吞吐、镜像生态、网络、文件、GPU、冷启动、调试、成本、运维和合规等维度对进程隔离、容器、Rootless容器、gVisor类用户态内核、MicroVM、Kubernetes Job与独立远程执行平台进行系统比较并给出企业内部脚本、公开Code Interpreter、浏览器自动化、数据科学和GPU任务的选型建议。一、先明确威胁模型选沙箱前必须回答代码由谁提供 代码是否可信 是否跨租户 是否允许联网 是否需要访问企业数据 是否执行副作用 是否需要GPU 任务运行多久 失败后能否重试同一种运行时不适合所有场景。二、五档风险L1可信平台代码由团队开发、固定版本、经过审查。可以使用普通服务进程 或 标准容器L2租户自定义脚本企业客户上传来源受控但内容不完全可信。建议加固容器 独立Workspace 严格网络 资源限制L3公开用户任意代码互联网用户可提交任意Python、Shell或包。建议MicroVM 或 高强度远程沙箱L4恶意代码研究预期对抗、漏洞利用、逃逸尝试。需要专用隔离集群 强虚拟化 无企业网络 人工安全运营L5不可接受风险无法提供足够隔离时不执行三、方案一同进程执行示例exec(user_code)风险读取进程内存修改全局状态读取Secret终止进程无限循环导入危险模块文件与网络完全共享逃逸限制几乎不可控。生产中不应对不可信代码使用。四、方案二子进程主服务 →子进程可限制超时环境变量当前目录UID资源。但仍共享宿主机内核与文件系统视图隔离不足。适合可信工具 故障隔离不适合作为公开代码安全边界。五、方案三普通容器容器提供Mount NamespacePID NamespaceNetwork NamespaceUser Namespace可选Cgroup镜像生命周期。优势启动快工具成熟镜像丰富调试容易资源效率高。六、容器的核心局限容器共享宿主机内核。若出现内核漏洞Runtime漏洞错误挂载Docker Socket泄露--privilegedhostNetwork高风险CapabilitySeccomp关闭隔离可能被突破。七、Rootless容器Rootless模式让Docker守护进程和容器以非Root用户运行降低守护进程和运行时漏洞带来的宿主机权限风险。收益不需要Root守护进程容器Root映射到非特权宿主用户降低攻击面。但Rootless不是完整沙箱仍共享内核网络性能和功能可能不同错误挂载仍会泄露数据应用漏洞仍存在外部系统权限仍需治理。八、SeccompSeccomp限制可调用的系统调用。Docker默认Seccomp Profile会阻止一部分高风险系统调用但生产代码执行应评估自定义Profile。配置目标允许业务必需调用 拒绝不需要的高风险调用不要为了兼容直接seccompunconfined九、AppArmor与SELinux它们提供强制访问控制。可限制文件路径Capability网络挂载执行权限。沙箱应把Namespace Cgroup Seccomp LSM组合使用而不是只依赖其中一层。十、Capability默认drop ALL按需增加。危险CapabilitySYS_ADMINSYS_PTRACENET_ADMINSYS_MODULEDAC_READ_SEARCH绝大多数代码解释器不需要它们。十一、用户命名空间容器内UID 0映射到宿主非特权UID。可降低容器Root →宿主Root风险。但必须检查挂载目录的UID/GID和宿主权限避免映射错误。十二、只读根文件系统readOnlyRootFilesystem:true配合/tmp /work /output独立临时卷。防止修改镜像层和跨任务污染。十三、方案四用户态内核沙箱这类方案在容器与宿主内核之间增加用户态系统调用拦截或兼容层。优势减少直接暴露给宿主内核的系统调用比完整VM轻可继续使用容器镜像。代价系统调用兼容性能调试某些工作负载不支持运维复杂度。适合中高风险代码 容器生态 可接受兼容成本十四、方案五MicroVMMicroVM使用硬件虚拟化提供独立Guest内核。优势更强内核隔离每任务独立Guest适合多租户不可信代码可控制设备模型比传统通用VM更轻。代价启动和资源高于容器镜像构建更复杂Guest内核维护网络与存储编排调试更难GPU支持更复杂。十五、Firecracker的定位Firecracker面向安全、多租户和轻量虚拟化场景通过MicroVM提供比传统容器更强的工作负载隔离同时追求较快启动和较低开销。生产使用仍需Jailercgroupseccomp网络镜像Guest安全宿主补丁生命周期管理。MicroVM不是无需配置的安全按钮。十六、方案六传统虚拟机优势强隔离兼容完整OS可运行复杂软件安全团队熟悉。代价启动慢资源重镜像大密度低调度复杂。适合长任务特殊内核高合规低并发复杂桌面或企业软件。十七、方案七Kubernetes JobKubernetes Job提供一次性Pod重试调度资源配额节点池状态清理。它是调度方式不是自动安全边界。必须配置Restricted Pod SecuritySecurityContextRuntimeClassNetworkPolicyResourceQuota独立节点池非RootSeccomp只读Root禁止HostPath。十八、RuntimeClass可以将不同风险任务路由到runc 用户态内核 MicroVM RuntimeSupervisor依据风险选择Runtime Profile。十九、方案八远程执行服务架构Agent应用 →Execution Gateway →任务队列 →Sandbox Worker池 →Artifact Store优势安全边界与业务服务分离多语言运行时统一配额独立扩缩容统一审计多团队复用可使用不同沙箱技术。二十、远程执行服务的代价网络延迟基础设施复杂Artifact传输队列版本多租户治理运行时镜像供应链成本归因。但生产规模扩大后通常比每个业务团队自行启动容器更可控。二十一、执行网关职责身份认证 策略决策 风险分级 运行时选择 预算 Artifact签发 网络策略 任务排队 状态查询 取消 审计Worker只负责执行不直接相信Agent传来的权限参数。二十二、运行时ProfilepublicrecordSandboxProfile(StringprofileId,IsolationTechnologyisolation,StringimageDigest,booleannetworkEnabled,SetStringallowedDomains,ResourceLimitslimits,DurationmaximumRuntime,booleangpuEnabled,RiskLevelmaximumRisk){}二十三、选型维度一隔离强度从低到高大致同进程 子进程 加固容器 用户态内核 MicroVM/VM具体安全性仍取决于配置和运维。二十四、选型维度二启动延迟通常进程最快 容器较快 MicroVM中等 完整VM较慢可以通过Warm Pool镜像预拉取Snapshot预创建网络分层缓存降低冷启动。二十五、Warm Pool风险预热运行时可能残留文件进程网络Secret内存内核状态。高风险任务不应跨租户复用同一个运行实例。可以预热干净模板而不是复用执行过用户代码的实例。二十六、选型维度三吞吐与密度容器密度高适合大量短任务。MicroVM密度低一些但隔离更强。需要基于P50/P95启动内存CPU任务长度峰值成本压测而不是凭概念选型。二十七、选型维度四镜像生态容器镜像可直接使用PythonNodeJava数据科学库。MicroVM需要RootfsGuest KernelAgent启动配置。远程执行平台可在内部把复杂性封装掉。二十八、选型维度五网络代码执行默认无网络必须联网时使用Egress ProxyAllowlistDNS策略私网阻断Metadata阻断带宽限制请求审计。MicroVM和容器都需要网络治理。二十九、选型维度六文件所有方案都要处理输入只读Workspace输出配额对象存储清理下载授权。更强运行时隔离不能替代Artifact权限。三十、选型维度七GPUGPU任务带来驱动设备直通显存隔离多租户高成本较长启动。公开不可信GPU代码风险更高。建议独立GPU节点池 专用Runtime 严格配额 无企业网络三十一、选型维度八可观察性需要采集状态stdout/stderr资源文件网络系统调用告警OOM超时退出码Artifact清理。但日志不能包含Secret和其他租户内容。三十二、选型维度九调试容器调试方便MicroVM故障定位更复杂。生产安全不能因为调试困难就永久开放SSHPrivilegedHostPathDocker Socket全网。使用受控调试Profile和审批。三十三、选型维度十合规关注数据区域租户隔离日志密钥保留删除审计镜像来源漏洞响应供应链。三十四、场景一企业内部数据分析代码由内部员工生成数据敏感。推荐加固容器 独立Workspace 无公网 企业数据代理 严格权限高敏数据可升级MicroVM。三十五、场景二公开Code Interpreter用户可提交任意代码和附件。推荐远程执行平台 MicroVM或高强度沙箱 默认无网络 短生命周期不建议业务Web服务直接操作Docker Socket创建容器。三十六、场景三浏览器Agent需要Chromium和较大共享内存。可使用加固容器或MicroVM 独立Browser Context 网络策略 下载隔离浏览器自身沙箱不能替代外层运行时隔离。三十七、场景四批量文档处理任务来源可信、文件不完全可信。推荐Kubernetes Job 加固容器 文件扫描 无公网三十八、场景五恶意样本分析推荐专用MicroVM/VM集群 隔离网络 一次性环境 安全运营不与普通业务节点混部。三十九、风险路由publicSandboxProfileselect(ExecutionRequestrequest){if(request.publicUntrustedCode()||request.risk()RiskLevel.CRITICAL){returnprofiles.require(microvm-isolated);}if(request.requiresBrowser()){returnprofiles.require(browser-hardened);}returnprofiles.require(container-restricted);}模型不能自己选择更宽松Profile。四十、策略决策输入用户租户代码来源语言文件网络Tool数据敏感度副作用运行时风险历史滥用。四十一、执行请求publicrecordExecutionRequest(StringrequestId,StringtenantId,StringsubjectId,StringrunId,Stringlanguage,StringcodeArtifactId,ListArtifactRefinputs,booleannetworkRequested,SetStringrequestedDomains,ResourceLimitsrequestedLimits,RiskLevelrisk,Stringpurpose){}四十二、策略结果publicrecordExecutionPolicyDecision(booleanallowed,StringsandboxProfileId,ResourceLimitslimits,NetworkPolicynetworkPolicy,SetStringdeniedCapabilities,booleanhumanApprovalRequired,ListStringreasons){}四十三、资源限制publicrecordResourceLimits(doublecpuCores,longmemoryBytes,longdiskBytes,intmaximumPids,intmaximumFiles,DurationwallTime,longnetworkBytes){}四十四、超时与取消超时发送优雅终止 →短暂等待 →强制销毁 →收集有限日志 →清理取消不能只停止API轮询必须实际终止运行时和后代进程。四十五、镜像治理固定Digest签名SBOM漏洞扫描最小依赖定期重建禁止Latest镜像仓库访问控制供应链审计。四十六、运行时更新容器Runtime、Guest Kernel、Host Kernel和浏览器都需要补丁。安全平台要有版本清单 漏洞影响 灰度 回滚 强制淘汰四十七、节点池隔离高风险沙箱节点不运行核心业务不挂载企业Secret不访问生产数据库独立网络独立IAM自动替换更严格监控。四十八、Docker Socket向业务容器挂载/var/run/docker.sock相当于授予强大的宿主控制能力。更安全业务服务 →远程Execution Gateway网关本身也需严格隔离。四十九、Kubernetes HostPath沙箱Pod禁止HostPath尤其//var/run/etc/proc容器运行时目录Kubelet目录。五十、Pod Security使用Restricted基线非Root禁止提权Seccomp RuntimeDefaultCapability Drop合法Volume无Host Namespace。五十一、逃逸检测监控禁止系统调用异常进程尝试访问敏感路径网络扫描Metadata访问Fork Bomb加密货币挖矿特征大量下载Runtime异常。检测不是隔离的替代品。五十二、成本模型运行时启动成本 空闲Warm Pool CPU/内存 网络 存储 镜像 安全运营容器便宜但事故成本可能更高。选型要纳入风险成本。五十三、指标sandbox_execution_total{ profile, status } sandbox_startup_seconds{ profile } sandbox_runtime_seconds{ profile } sandbox_resource_usage{ profile, type } sandbox_policy_denied_total{ reason } sandbox_escape_signal_total{ type } sandbox_warm_pool_hit_total{ profile } sandbox_cleanup_total{ profile, result } sandbox_cost_total{ profile }五十四、压测矩阵短Python大依赖浏览器大文件多子进程内存峰值网络高并发冷启动Warm Pool失败清理节点故障。五十五、安全测试路径逃逸容器逃逸模拟Capability/procMetadataDNS RebindingFork Bomb磁盘耗尽Socket符号链接恶意包侧信道评估。五十六、选择决策树代码是否完全可信 ├─是标准容器或进程隔离 └─否继续 是否公开用户任意代码 ├─是MicroVM/高强度远程沙箱 └─否继续 是否跨租户且数据敏感 ├─是加固容器以上按风险升级MicroVM └─否加固容器 是否大量长Timer与异构运行时 →远程执行平台 是否需要GPU →专用节点池与专用Profile 是否预期主动恶意 →专用VM/MicroVM安全集群五十七、最终选型清单□ 先定义威胁模型而非先选Docker □ 不可信代码不在主服务进程执行 □ 普通容器不被错误宣称为绝对安全边界 □ Rootless、Seccomp、LSM、Capability和只读Root组合使用 □ 高风险公开代码升级MicroVM或专用远程沙箱 □ 业务服务不直接持有Docker Socket □ 沙箱使用独立节点池和IAM □ 默认无网络 □ 文件与Artifact权限独立治理 □ Warm Pool不复用执行过高风险代码的实例 □ 运行时Profile由策略服务选择 □ 镜像固定Digest并有SBOM □ 取消能终止全部后代进程 □ 清理失败不会复用环境 □ 对Runtime、内核和浏览器持续补丁 □ 压测同时比较隔离、延迟、密度和成本总结容器、MicroVM和远程执行服务并不是“快、稳、安全”三个简单标签而是不同层次的架构选择容器 提供高密度与成熟生态 MicroVM 提供更强内核边界 远程执行服务 提供统一策略、调度和运营对于企业生产Agent常见最佳组合是Execution Gateway 按风险选择容器或MicroVM 独立Artifact与网络控制 统一预算、审计和清理真正的安全来自多层防御与清晰威胁模型而不是运行命令中出现了docker run或microvm这个名称。