--- title: "OpenSandbox 评测：自托管 AI 智能体沙箱" canonical: https://wavect.io/zh/blog/opensandbox-ai-agent-sandbox-review/ language: zh description: "OpenSandbox 自托管 AI 智能体沙箱评测：安全运行时、Credential Vault、Kubernetes、成本、限制与生产试点。" image: "https://wavect.io/img/blog/headers/header_opensandbox-ai-agent-sandbox-review.png" --- [**返回**](/zh/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/zh/team/kevin-riedl/) [Kevin Riedl](/zh/team/kevin-riedl/) https://linkedin.com/in/wsdt 9 分钟 阅读 · 2026年8月16日 最近审核 2026年8月16日 [**下一篇**](/zh/blog/transformers-js-browser-ai-guide/) # OpenSandbox 评测：你应该自托管 AI 智能体沙箱吗？ 要点速览 OpenSandbox 是一个可信的 Apache 2.0 自托管 AI 智能体沙箱控制平面，提供五种语言 SDK、CLI、MCP 工具、Docker 与 Kubernetes 后端、浏览器和桌面示例、出站策略、Credential Vault，以及可选的 gVisor、Kata 或 Firecracker 隔离。它不是开箱即用的安全边界：运营方仍需安装并测试安全运行时，执行默认拒绝网络策略，收紧凭据范围，固定并验证制品，使用 Kubernetes 实现基于 namespace 的多租户，采集外部日志并承担事件响应。只有当基础设施控制、数据位置与可移植 API 足以支撑平台团队成本时，才应把它列入候选。用 30 天试点与托管方案比较可接受任务完成率、延迟、审核时间、基础设施成本、运维投入与未解决的安全问题。 **对于希望在自有基础设施上让 AI 智能体运行代码、操作浏览器或控制远程桌面的团队，OpenSandbox 是目前功能较完整的开源控制平面之一。**它整合生命周期 API、五种语言 SDK、CLI、MCP 服务器、Docker 与 Kubernetes 后端、网络策略、凭据代理，以及可选的 gVisor、Kata 或 Firecracker 隔离。Apache 2.0 消除了软件许可费，但没有消除平台工程。 我们在 2026 年 8 月 16 日检查了代码仓库、当前文档、发布流程与路线图。结论是：**当自托管、运行时选择权和可移植 API 带来的价值足以支撑安全边界的运营成本时，OpenSandbox 值得进入候选名单。**如果上市速度和外部责任主体更重要，应优先考虑托管沙箱。本地 Docker quick start 不能证明多租户生产环境已经安全。 本文只回答具体产品的生产采购问题。事件驱动的隔离控制请使用我们的 [AI 智能体评测沙箱 12 项控制清单](/zh/blog/ai-agent-eval-sandbox-security-checklist/) 。控制平面下方的主机技术栈可参考 [AI 智能体 Linux 基础设施指南](/zh/blog/linux-for-ai-agents/) 。这样可避免平台评测与通用安全标准发生搜索意图重叠。 ## OpenSandbox 是什么？ **OpenSandbox 是面向 AI 应用的自托管沙箱生命周期与执行平台。**当前的 [OpenSandbox 代码仓库](https://github.com/opensandbox-group/OpenSandbox) 采用 Apache 2.0，提供 Python、JavaScript 或 TypeScript、Java 或 Kotlin、C# 或.NET 和 Go SDK。官方示例覆盖 Claude Code、Gemini CLI、Codex CLI、Qwen Code、Kimi CLI，以及 Chromium、Playwright、VNC 桌面和 VS Code Web。 旧的 `alibaba/OpenSandbox` GitHub 地址现在会跳转到 `opensandbox-group`。部分软件包名称仍保留 Alibaba。GitHub star 可以说明关注度，但不能代替安全、成熟度或支持承诺。 | 层级 | OpenSandbox 提供 | 团队仍需负责 | | --- | --- | --- | | 客户端 | 五种 SDK、`osb` CLI、MCP 工具与 OpenAPI 合约 | 智能体编排、重试、审批与业务逻辑 | | 控制平面 | 创建、查询、暂停、恢复、超时、snapshot 与 endpoint | 认证、高可用、升级、配额与租户策略 | | 运行时 | Docker 与 Kubernetes provider | 主机、集群、registry、安全运行时与容量 | | 工作负载 | 命令、文件、代码解释器服务和示例镜像 | 镜像加固、依赖策略、补丁与准入 | | 网络与密钥 | Ingress、出站策略与可选 Credential Vault | 默认拒绝、证书信任、密钥范围与监控 | 官方 [架构文档](https://open-sandbox.ai/architecture/) 明确划分了这些边界。这是项目最强的设计选择：应用依赖公开合约，Docker、Kubernetes、执行与出站细节隐藏在 provider 接口后方。 ## 社交媒体热帖说对了什么？ 它正确指出了 OpenSandbox 的能力面很广。这不是简单包装 `docker run` 的 Python 工具。 - **代码、文件与进程：** 执行 daemon 支持流式命令、后台任务、文件操作与资源指标。 - **浏览器与桌面：** 官方示例包括 Playwright、带 VNC 的 Chromium、完整桌面与 VS Code Web。 - **编码智能体：** Codex CLI、Claude Code、Gemini CLI 等可以在沙箱中运行。 - **可移植客户端：** 五种基础 SDK 与 OpenAPI 可降低对单一应用语言的依赖。 - **从本地到集群：** 同一生命周期接口可以连接 Docker 主机或 Kubernetes。 - **MCP：** 服务器暴露生命周期、命令与文本文件工具。 热帖压缩掉的关键事实是，gVisor、Kata 和 Firecracker 并不会自动全部启用。运营方必须选择、安装并测试实际运行时，每种方案都有不同前提与故障模式。 ## OpenSandbox 真的隔离吗？ **可以，但隔离强度由部署决定。**OpenSandbox 可以使用普通 `runc`、gVisor、Kata Containers 或 Kata 加 Firecracker。官方 [安全运行时指南](https://open-sandbox.ai/guides/secure-container) 要求管理员先安装并配置运行时，再在服务器层统一选择。服务器启动时验证可用性，并将选择应用到沙箱。 | 部署 | 适合场景 | 主要注意点 | | --- | --- | --- | | 本地 Docker 与 `runc` | 可信开发实验 | 共享主机 kernel，不适合作为敌对多租户代码的最强边界 | | Docker 与 gVisor | 需要更强隔离的单机试点 | 仍需安装运行时、测试 syscall 兼容性并加固主机 | | Kubernetes 与 gVisor | 兼容且需要扩展的工作负载 | 集群、RuntimeClass、策略、升级和可观测性仍由团队负责 | | Kubernetes 与 Kata | 需要独立 guest kernel 的工作负载 | 基础设施、镜像和容量管理更复杂 | | Kubernetes、Kata 与 Firecracker | 值得承担 microVM 成本的高风险代码 | 不是 Docker quick start，也不能代替出站、身份与控制平面隔离 | 任何运行时都无法让过度授权的 API key、可被工作负载写入的控制平面或开放网络变安全。隔离取决于整个边界，而不是 hypervisor 的名称。 ## Credential Vault 能让真实 API key 留在沙箱之外吗？ **对受支持的 HTTPS 流量可以，但必须正确配置。**主机侧 SDK 把真实凭据写入出站 sidecar，工作负载只获得空值或假值。当请求精确匹配 binding 时，sidecar 注入真实认证 header，并在 Vault 响应中隐藏秘密。 官方 [Credential Vault 指南](https://open-sandbox.ai/guides/credential-vault) 也列出严格前提：`dns+nft`、Credential Proxy、网络策略与 default deny。DNS-only 模式会被拒绝，因为直接 IP 连接可能绕过策略。同一 network namespace 内的透明 service mesh sidecar 目前不受支持。Binding 应按 scheme、host、method 与 path 收紧。 这比把可重复使用的 provider key 放进智能体环境更安全，但凭据代理仍由你的团队部署和保护。上线前应测试直接 IP、替代 DNS 路径、redirect、编码路径、证书、日志与重叠 binding。 ## 团队仍需运营什么？ 1. **控制平面：** API 认证、可用性、版本、状态备份与紧急终止。 2. **运行时集群：** Docker 主机或 Kubernetes 节点、安全运行时、kernel 补丁、镜像与容量。 3. **网络边界：** Ingress 认证、default-deny 出站、DNS、metadata endpoint、私网与例外。 4. **供应链：** 准入镜像、digest 固定、SBOM、漏洞策略、package mirror 与重建。 5. **可观测性：** 沙箱外部的生命周期、命令、文件、网络、身份、成本与操作日志。 6. **数据生命周期：** workspace 持久化、snapshot 保留、删除、数据位置与取证。 7. **事件响应：** 配额、进程上限、停止权限、凭据撤销与隔离演练。 OpenSandbox 目前记录了基于 [Kubernetes namespace 的多租户](https://open-sandbox.ai/guides/multi-tenancy) 与租户 API key。Docker 不支持该功能。生产评审仍应覆盖集群级 controller、共享 registry、节点运行时、遥测以及跨 namespace 路径。 ## OpenSandbox 达到生产可用了吗？ **它适合严肃的生产试点，但不适合未经评审直接上线。**仓库活跃，架构清晰，也有官方软件包和镜像。同时，各组件独立演进。项目 [路线图](https://github.com/opensandbox-group/OpenSandbox/blob/main/ROADMAP.md) 明确表示，在生命周期语义、运行时行为与 SDK 兼容性成熟前，暂不计划稳定 v1 API。 | 上线问题 | 需要的验收证据 | | --- | --- | | 智能体能否逃逸？ | 针对真实运行时、kernel、镜像与节点的版本化 breakout 测试 | | 能否访问未批准目标？ | DNS、直接 IP、IPv4、IPv6、redirect、metadata 与私网测试 | | 能否获取真实密钥？ | 针对环境、文件、日志、进程与代理错误的 canary 与外泄测试 | | 一个租户能否影响另一个？ | 跨 namespace、registry、共享节点、配额与控制平面测试 | | 事故能否重建？ | 包含身份、命令、网络、文件和生命周期的不可变外部 trace | | 升级是否安全？ | 针对固定版本 server、SDK、execd、egress、ingress 与 runtime 的兼容套件 | 项目提供详细的 [发布验证流程](https://open-sandbox.ai/community/release-verification) ，覆盖源码、镜像与语言包。生产镜像应固定 digest，并验证真正部署的制品。签名 provenance 能改善供应链证据，但不能证明你的配置安全。 ## 选择 OpenSandbox 还是托管沙箱？ | 适合 OpenSandbox | 适合托管服务 | | --- | --- | | 工作负载必须位于自有 cloud、cluster 或 on-prem | 本周就需要可用的 sandbox API | | 必须自行选择 gVisor、Kata 或 Firecracker | 希望供应商运营主机、隔离与容量 | | 五种 SDK 或 OpenAPI 能降低集成风险 | 单一成熟 SDK 已覆盖产品栈 | | 数据位置与网络集成足以证明平台所有权合理 | 标准区域与供应商控制满足风险模型 | | 规模可以支撑专门平台团队 | 使用量不确定，更适合可变成本 | | 能够持续测试和修补安全边界 | 需要合同支持与明确事故责任人 | Apache 2.0 表示没有 OpenSandbox 许可费，不代表零成本。比较工程时间、集群余量、运行时开销、registry、日志、补丁、值班与合规证据。统一指标应采用 [AI 智能体每次可接受行动成本](/zh/blog/ai-agent-cost-per-action-2026/) ，而不是只看沙箱分钟价格。 ## 30 天 OpenSandbox 试点计划 1. **第 1 至 3 天：** 定义一个可逆场景，列出数据、工具、目标、凭据与不可接受后果。 2. **第 4 至 7 天：** 用 Docker 验证 SDK、命令、文件、浏览器或桌面需求，不把它称为生产架构。 3. **第 8 至 12 天：** 在 gVisor 或 Kata 上测试真实工作负载，记录兼容性、启动、资源和运营前提。 4. **第 13 至 17 天：** 从 default-deny 出站开始，只添加最小 host 与 path，启用 Credential Vault 并测试外泄。 5. **第 18 至 22 天：** 在沙箱外采集不可变的生命周期、命令、文件、网络、身份、策略和成本事件。 6. **第 23 至 26 天：** 测试 timeout、无限进程、磁盘压力、依赖失败、直接 IP、租户跨越、密钥过期和紧急停止。 7. **第 27 至 30 天：** 与托管方案比较可接受任务、p95 延迟、审核时间、基础设施成本、运维投入和开放风险。 只有自托管优势通过完整成本比较后才扩展。Wavect 的 [AI 产品工程团队](/zh/services/artificial-intelligence/) 可以设计智能体边界、集成工作负载并构建验证 harness。 [Twinsoft AI 案例](/zh/case-studies/twinsoft-ai/) 展示了真实 AI 产品所需的生产纪律。如果需要先明确决策，可 [预约 AI 架构评审](/zh/contact/) 。 ## 常见问题 ### OpenSandbox 免费且开源吗？ 是。仓库采用 Apache 2.0。计算、存储、网络、可观测性、安全运行时，以及运营和测试平台的团队仍会产生费用。 ### OpenSandbox 是 Alibaba 项目吗？ 旧的 alibaba/OpenSandbox 地址现在跳转到 opensandbox-group/OpenSandbox，多个软件包名称仍保留 Alibaba。应评估当前组织、治理、发布与支持路径。 ### OpenSandbox 支持 Codex、Claude Code 和 Gemini CLI 吗？ 支持，官方提供相应示例。生产环境仍需最小权限凭据、出站规则、运行时隔离与外部日志。 ### OpenSandbox 使用 Firecracker 吗？ 可以在 Kubernetes 上通过 Kata 与 Firecracker RuntimeClass 使用。Docker quick start 不会启用它，安全运行时需要运营方安装和配置。 ### OpenSandbox 能替代 Kubernetes 吗？ 不能。它提供控制平面和 provider。团队仍需运营集群、节点、RuntimeClass、controller、registry、网络、容量与可观测性。 ### OpenSandbox 可用于企业生产吗？ 它适合受控生产试点。客户工作负载上线前，应固定版本、测试运行时、执行 default-deny 出站、使用凭据代理、测试租户隔离、保存不可变日志并准备事件 runbook。 ## 一手来源与研究边界 本文使用 2026 年 8 月 16 日检查的公开项目资料。我们没有测量 cold start，没有独立运行 escape 测试，也没有验证商业支持合同。采购前应重新确认具体版本行为。 1. [OpenSandbox 仓库](https://github.com/opensandbox-group/OpenSandbox) ：许可、SDK、集成与项目范围。 2. [架构文档](https://open-sandbox.ai/architecture/) ：系统边界。 3. [安全运行时指南](https://open-sandbox.ai/guides/secure-container) ：gVisor、Kata 与 Firecracker。 4. [Credential Vault 指南](https://open-sandbox.ai/guides/credential-vault) ：密钥注入与前提。 5. [多租户指南](https://open-sandbox.ai/guides/multi-tenancy) ：namespace、API key 与 Docker 限制。 6. [路线图](https://github.com/opensandbox-group/OpenSandbox/blob/main/ROADMAP.md) ：当前重点与 API 成熟度。 7. [发布验证指南](https://open-sandbox.ai/community/release-verification) ：签名、attestation 与 digest。 ## 最终思考 OpenSandbox 是真正的智能体基础设施，但它提供的是控制权，不是责任消失。 只有运行时选择、自托管和可移植 API 带来可衡量优势时才应选择它。随后必须用运行时、出站、凭据、租户与事件测试证明完整边界，再让自主智能体接近有价值的系统。 ## 你可能也喜欢.. [**AI 智能体评测沙箱：12 项控制** 验证隔离、出站、凭据、外部日志与停止权限。](/zh/blog/ai-agent-eval-sandbox-security-checklist/) [**外部 AI enablement 还是内部平台团队？** 选择基础设施前比较速度、所有权与运营能力。](/zh/compare/ai-enablement-vs-in-house-ai-hire/) 智能体工程 ## 继续浏览此集群 编程智能体、MCP、上下文系统、评估与可靠自动化控制。 [从核心文章开始**AI 智能体的图工程：知识图谱什么时候值得做？**](/zh/blog/graph-engineering-ai-agents/) - [DeepSeek Harness 评测：插件化 Agent 技术栈能否用于生产？](/zh/blog/deepseek-harness-enterprise-review/) - [Cloudflare Kitesurf 评测：成本、限制与生产适用性](/zh/blog/cloudflare-kitesurf-browser-ai-agents/) - [GitHub Spec Kit 评测：这套流程值得吗？](/zh/blog/github-spec-kit-production-guide/) - [企业内部 AI 智能体市场：2026 架构与落地指南](/zh/blog/internal-ai-agent-marketplace/) - [Linux 是 AI 智能体的最佳操作系统吗？2026 基础设施指南](/zh/blog/linux-for-ai-agents/) 只收重要内容 ## 关注与你相关的内容 每当我们发布新文章，你会收到一封简短邮件。你可以关注整个博客，也可以只选感兴趣的主题。 [**返回**](/zh/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/zh/team/kevin-riedl/) [Kevin Riedl](/zh/team/kevin-riedl/) https://linkedin.com/in/wsdt 9 分钟 阅读 · 2026年8月16日 最近审核 2026年8月16日 [**下一篇**](/zh/blog/transformers-js-browser-ai-guide/) 邮件订阅新文章 × × 通过邮件获取新文章 我们发布时给你一封简短邮件。免费，不做跟踪。 ## Structured Data ```json { "@context": "https://schema.org", "@graph": [ { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ], "employee": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "founder": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "legalRepresentative": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "name": "Wavect GmbH", "subjectOf": { "@id": "https://wavect.io/verified-claims.json#dataset", "@type": "Dataset", "creator": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "description": "A machine-readable registry of quantitative and qualitative claims published by Wavect, with review dates, localized page appearances and public third-party citations where available.", "inLanguage": "en", "isAccessibleForFree": true, "license": "https://creativecommons.org/licenses/by/4.0/", "name": "Wavect verified publication claims", "url": "https://wavect.io/verified-claims.json" }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "sameAs": [ "https://www.wikidata.org/wiki/Q139796367", "https://www.linkedin.com/in/jocr77/", "https://github.com/jo-chris" ], "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/#website", "@type": "WebSite", "inLanguage": [ "en", "de", "es", "zh" ], "name": "Wavect", "potentialAction": { "@type": "SearchAction", "query-input": "required name=search_term_string", "target": { "@type": "EntryPoint", "urlTemplate": "https://wavect.io/search/?q={search_term_string}" } }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/zh/blog/opensandbox-ai-agent-sandbox-review/#webpage", "@type": "WebPage", "dateModified": "2026-08-16", "inLanguage": "zh", "isPartOf": { "@id": "https://wavect.io/#website", "@type": "WebSite" }, "lastReviewed": "2026-08-16", "url": "https://wavect.io/zh/blog/opensandbox-ai-agent-sandbox-review/" } ] } ``` ```json { "@context": "https://schema.org", "@type": "BlogPosting", "abstract": "OpenSandbox 是一个可信的 Apache 2.0 自托管 AI 智能体沙箱控制平面，提供五种语言 SDK、CLI、MCP 工具、Docker 与 Kubernetes 后端、浏览器和桌面示例、出站策略、Credential Vault，以及可选的 gVisor、Kata 或 Firecracker 隔离。它不是开箱即用的安全边界：运营方仍需安装并测试安全运行时，执行默认拒绝网络策略，收紧凭据范围，固定并验证制品，使用 Kubernetes 实现基于 namespace 的多租户，采集外部日志并承担事件响应。只有当基础设施控制、数据位置与可移植 API 足以支撑平台团队成本时，才应把它列入候选。用 30 天试点与托管方案比较可接受任务完成率、延迟、审核时间、基础设施成本、运维投入与未解决的安全问题。", "articleBody": " 博客概览/AI 与智能体/智能体工程 OpenSandbox 评测：你应该自托管 AI 智能体沙箱吗？ 要点速览 OpenSandbox 是一个可信的 Apache 2.0 自托管 AI 智能体沙箱控制平面，提供五种语言 SDK、CLI、MCP 工具、Docker 与 Kubernetes 后端、浏览器和桌面示例、出站策略、Credential Vault，以及可选的 gVisor、Kata 或 Firecracker 隔离。它不是开箱即用的安全边界：运营方仍需安装并测试安全运行时，执行默认拒绝网络策略，收紧凭据范围，固定并验证制品，使用 Kubernetes 实现基于 namespace 的多租户，采集外部日志并承担事件响应。只有当基础设施控制、数据位置与可移植 API 足以支撑平台团队成本时，才应把它列入候选。用 30 天试点与托管方案比较可接受任务完成率、延迟、审核时间、基础设施成本、运维投入与未解决的安全问题。 对于希望在自有基础设施上让 AI 智能体运行代码、操作浏览器或控制远程桌面的团队，OpenSandbox 是目前功能较完整的开源控制平面之一。它整合生命周期 API、五种语言 SDK、CLI、MCP 服务器、Docker 与 Kubernetes 后端、网络策略、凭据代理，以及可选的 gVisor、Kata 或 Firecracker 隔离。Apache 2.0 消除了软件许可费，但没有消除平台工程。 我们在 2026 年 8 月 16 日检查了代码仓库、当前文档、发布流程与路线图。结论是：当自托管、运行时选择权和可移植 API 带来的价值足以支撑安全边界的运营成本时，OpenSandbox 值得进入候选名单。如果上市速度和外部责任主体更重要，应优先考虑托管沙箱。本地 Docker quick start 不能证明多租户生产环境已经安全。 本文只回答具体产品的生产采购问题。事件驱动的隔离控制请使用我们的 AI 智能体评测沙箱 12 项控制清单。控制平面下方的主机技术栈可参考 AI 智能体 Linux 基础设施指南。这样可避免平台评测与通用安全标准发生搜索意图重叠。 OpenSandbox 是什么？ OpenSandbox 是面向 AI 应用的自托管沙箱生命周期与执行平台。当前的 OpenSandbox 代码仓库采用 Apache 2.0，提供 Python、JavaScript 或 TypeScript、Java 或 Kotlin、C# 或 .NET 和 Go SDK。官方示例覆盖 Claude Code、Gemini CLI、Codex CLI、Qwen Code、Kimi CLI，以及 Chromium、Playwright、VNC 桌面和 VS Code Web。 旧的 alibaba/OpenSandbox GitHub 地址现在会跳转到 opensandbox-group。部分软件包名称仍保留 Alibaba。GitHub star 可以说明关注度，但不能代替安全、成熟度或支持承诺。 层级OpenSandbox 提供团队仍需负责 客户端五种 SDK、osb CLI、MCP 工具与 OpenAPI 合约智能体编排、重试、审批与业务逻辑 控制平面创建、查询、暂停、恢复、超时、snapshot 与 endpoint认证、高可用、升级、配额与租户策略 运行时Docker 与 Kubernetes provider主机、集群、registry、安全运行时与容量 工作负载命令、文件、代码解释器服务和示例镜像镜像加固、依赖策略、补丁与准入 网络与密钥Ingress、出站策略与可选 Credential Vault默认拒绝、证书信任、密钥范围与监控 官方 架构文档明确划分了这些边界。这是项目最强的设计选择：应用依赖公开合约，Docker、Kubernetes、执行与出站细节隐藏在 provider 接口后方。 社交媒体热帖说对了什么？ 它正确指出了 OpenSandbox 的能力面很广。这不是简单包装 docker run 的 Python 工具。 代码、文件与进程：执行 daemon 支持流式命令、后台任务、文件操作与资源指标。 浏览器与桌面：官方示例包括 Playwright、带 VNC 的 Chromium、完整桌面与 VS Code Web。 编码智能体：Codex CLI、Claude Code、Gemini CLI 等可以在沙箱中运行。 可移植客户端：五种基础 SDK 与 OpenAPI 可降低对单一应用语言的依赖。 从本地到集群：同一生命周期接口可以连接 Docker 主机或 Kubernetes。 MCP：服务器暴露生命周期、命令与文本文件工具。 热帖压缩掉的关键事实是，gVisor、Kata 和 Firecracker 并不会自动全部启用。运营方必须选择、安装并测试实际运行时，每种方案都有不同前提与故障模式。 OpenSandbox 真的隔离吗？ 可以，但隔离强度由部署决定。OpenSandbox 可以使用普通 runc、gVisor、Kata Containers 或 Kata 加 Firecracker。官方 安全运行时指南要求管理员先安装并配置运行时，再在服务器层统一选择。服务器启动时验证可用性，并将选择应用到沙箱。 部署适合场景主要注意点 本地 Docker 与 runc可信开发实验共享主机 kernel，不适合作为敌对多租户代码的最强边界 Docker 与 gVisor需要更强隔离的单机试点仍需安装运行时、测试 syscall 兼容性并加固主机 Kubernetes 与 gVisor兼容且需要扩展的工作负载集群、RuntimeClass、策略、升级和可观测性仍由团队负责 Kubernetes 与 Kata需要独立 guest kernel 的工作负载基础设施、镜像和容量管理更复杂 Kubernetes、Kata 与 Firecracker值得承担 microVM 成本的高风险代码不是 Docker quick start，也不能代替出站、身份与控制平面隔离 任何运行时都无法让过度授权的 API key、可被工作负载写入的控制平面或开放网络变安全。隔离取决于整个边界，而不是 hypervisor 的名称。 Credential Vault 能让真实 API key 留在沙箱之外吗？ 对受支持的 HTTPS 流量可以，但必须正确配置。主机侧 SDK 把真实凭据写入出站 sidecar，工作负载只获得空值或假值。当请求精确匹配 binding 时，sidecar 注入真实认证 header，并在 Vault 响应中隐藏秘密。 官方 Credential Vault 指南也列出严格前提：dns+nft、Credential Proxy、网络策略与 default deny。DNS-only 模式会被拒绝，因为直接 IP 连接可能绕过策略。同一 network namespace 内的透明 service mesh sidecar 目前不受支持。Binding 应按 scheme、host、method 与 path 收紧。 这比把可重复使用的 provider key 放进智能体环境更安全，但凭据代理仍由你的团队部署和保护。上线前应测试直接 IP、替代 DNS 路径、redirect、编码路径、证书、日志与重叠 binding。 团队仍需运营什么？ 控制平面：API 认证、可用性、版本、状态备份与紧急终止。 运行时集群：Docker 主机或 Kubernetes 节点、安全运行时、kernel 补丁、镜像与容量。 网络边界：Ingress 认证、default-deny 出站、DNS、metadata endpoint、私网与例外。 供应链：准入镜像、digest 固定、SBOM、漏洞策略、package mirror 与重建。 可观测性：沙箱外部的生命周期、命令、文件、网络、身份、成本与操作日志。 数据生命周期：workspace 持久化、snapshot 保留、删除、数据位置与取证。 事件响应：配额、进程上限、停止权限、凭据撤销与隔离演练。 OpenSandbox 目前记录了基于 Kubernetes namespace 的多租户与租户 API key。Docker 不支持该功能。生产评审仍应覆盖集群级 controller、共享 registry、节点运行时、遥测以及跨 namespace 路径。 OpenSandbox 达到生产可用了吗？ 它适合严肃的生产试点，但不适合未经评审直接上线。仓库活跃，架构清晰，也有官方软件包和镜像。同时，各组件独立演进。项目 路线图明确表示，在生命周期语义、运行时行为与 SDK 兼容性成熟前，暂不计划稳定 v1 API。 上线问题需要的验收证据 智能体能否逃逸？针对真实运行时、kernel、镜像与节点的版本化 breakout 测试 能否访问未批准目标？DNS、直接 IP、IPv4、IPv6、redirect、metadata 与私网测试 能否获取真实密钥？针对环境、文件、日志、进程与代理错误的 canary 与外泄测试 一个租户能否影响另一个？跨 namespace、registry、共享节点、配额与控制平面测试 事故能否重建？包含身份、命令、网络、文件和生命周期的不可变外部 trace 升级是否安全？针对固定版本 server、SDK、execd、egress、ingress 与 runtime 的兼容套件 项目提供详细的 发布验证流程，覆盖源码、镜像与语言包。生产镜像应固定 digest，并验证真正部署的制品。签名 provenance 能改善供应链证据，但不能证明你的配置安全。 选择 OpenSandbox 还是托管沙箱？ 适合 OpenSandbox适合托管服务 工作负载必须位于自有 cloud、cluster 或 on-prem本周就需要可用的 sandbox API 必须自行选择 gVisor、Kata 或 Firecracker希望供应商运营主机、隔离与容量 五种 SDK 或 OpenAPI 能降低集成风险单一成熟 SDK 已覆盖产品栈 数据位置与网络集成足以证明平台所有权合理标准区域与供应商控制满足风险模型 规模可以支撑专门平台团队使用量不确定，更适合可变成本 能够持续测试和修补安全边界需要合同支持与明确事故责任人 Apache 2.0 表示没有 OpenSandbox 许可费，不代表零成本。比较工程时间、集群余量、运行时开销、registry、日志、补丁、值班与合规证据。统一指标应采用 AI 智能体每次可接受行动成本，而不是只看沙箱分钟价格。 30 天 OpenSandbox 试点计划 第 1 至 3 天：定义一个可逆场景，列出数据、工具、目标、凭据与不可接受后果。 第 4 至 7 天：用 Docker 验证 SDK、命令、文件、浏览器或桌面需求，不把它称为生产架构。 第 8 至 12 天：在 gVisor 或 Kata 上测试真实工作负载，记录兼容性、启动、资源和运营前提。 第 13 至 17 天：从 default-deny 出站开始，只添加最小 host 与 path，启用 Credential Vault 并测试外泄。 第 18 至 22 天：在沙箱外采集不可变的生命周期、命令、文件、网络、身份、策略和成本事件。 第 23 至 26 天：测试 timeout、无限进程、磁盘压力、依赖失败、直接 IP、租户跨越、密钥过期和紧急停止。 第 27 至 30 天：与托管方案比较可接受任务、p95 延迟、审核时间、基础设施成本、运维投入和开放风险。 只有自托管优势通过完整成本比较后才扩展。Wavect 的 AI 产品工程团队可以设计智能体边界、集成工作负载并构建验证 harness。Twinsoft AI 案例展示了真实 AI 产品所需的生产纪律。如果需要先明确决策，可预约 AI 架构评审。 常见问题", "articleSection": "Engineering", "author": { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/" }, "citation": [ { "@type": "WebPage", "name": "OpenSandbox 代码仓库", "url": "https://github.com/opensandbox-group/OpenSandbox" }, { "@type": "WebPage", "name": "架构文档", "url": "https://open-sandbox.ai/architecture/" }, { "@type": "WebPage", "name": "安全运行时指南", "url": "https://open-sandbox.ai/guides/secure-container" }, { "@type": "WebPage", "name": "Credential Vault 指南", "url": "https://open-sandbox.ai/guides/credential-vault" }, { "@type": "WebPage", "name": "Kubernetes namespace 的多租户", "url": "https://open-sandbox.ai/guides/multi-tenancy" }, { "@type": "WebPage", "name": "路线图", "url": "https://github.com/opensandbox-group/OpenSandbox/blob/main/ROADMAP.md" }, { "@type": "WebPage", "name": "发布验证流程", "url": "https://open-sandbox.ai/community/release-verification" } ], "dateModified": "2026-08-16", "datePublished": "2026-08-16", "description": "OpenSandbox 是一个可信的 Apache 2.0 自托管 AI 智能体沙箱控制平面，提供五种语言 SDK、CLI、MCP 工具、Docker 与 Kubernetes 后端、浏览器和桌面示例、出站策略、Credential Vault，以及可选的 gVisor、Kata 或 Firecracker 隔离。它不是开箱即用的安全边界：运营方仍需安装并测试安全运行时，执行默认拒绝网络策略，收紧凭据范围，固定并验证制品，使用 Kubernetes 实现基于 namespace 的多租户，采集外部日志并承担事件响应。只有当基础设施控制、数据位置与可移植 API 足以支撑平台团队成本时，才应把它列入候选。用 30 天试点与托管方案比较可接受任务完成率、延迟、审核时间、基础设施成本、运维投入与未解决的安全问题。", "headline": "OpenSandbox 评测：自托管是否值得？", "image": "https://wavect.io/img/blog/headers/header_opensandbox-ai-agent-sandbox-review.svg", "inLanguage": "zh", "keywords": "AI 智能体, 基础设施", "mainEntityOfPage": { "@id": "https://wavect.io/zh/blog/opensandbox-ai-agent-sandbox-review/", "@type": "WebPage" }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/zh/blog/opensandbox-ai-agent-sandbox-review/", "wordCount": 599 } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "item": "https://wavect.io/zh/", "name": "首页", "position": 1 }, { "@type": "ListItem", "item": "https://wavect.io/zh/blog/overview/", "name": "博客概览", "position": 2 }, { "@type": "ListItem", "item": "https://wavect.io/zh/blog/topics/ai-agents/", "name": "AI 与智能体", "position": 3 }, { "@type": "ListItem", "item": "https://wavect.io/zh/blog/clusters/agent-engineering/", "name": "智能体工程", "position": 4 }, { "@type": "ListItem", "item": "https://wavect.io/zh/blog/opensandbox-ai-agent-sandbox-review/", "name": "OpenSandbox 评测：自托管 AI 智能体沙箱 | ", "position": 5 } ] } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "是。仓库采用 Apache 2.0。计算、存储、网络、可观测性、安全运行时，以及运营和测试平台的团队仍会产生费用。" }, "name": "OpenSandbox 免费且开源吗？" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "旧的 alibaba/OpenSandbox 地址现在跳转到 opensandbox-group/OpenSandbox，多个软件包名称仍保留 Alibaba。应评估当前组织、治理、发布与支持路径。" }, "name": "OpenSandbox 是 Alibaba 项目吗？" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "支持，官方提供相应示例。生产环境仍需最小权限凭据、出站规则、运行时隔离与外部日志。" }, "name": "OpenSandbox 支持 Codex、Claude Code 和 Gemini CLI 吗？" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "可以在 Kubernetes 上通过 Kata 与 Firecracker RuntimeClass 使用。Docker quick start 不会启用它，安全运行时需要运营方安装和配置。" }, "name": "OpenSandbox 使用 Firecracker 吗？" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "不能。它提供控制平面和 provider。团队仍需运营集群、节点、RuntimeClass、controller、registry、网络、容量与可观测性。" }, "name": "OpenSandbox 能替代 Kubernetes 吗？" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "它适合受控生产试点。客户工作负载上线前，应固定版本、测试运行时、执行 default-deny 出站、使用凭据代理、测试租户隔离、保存不可变日志并准备事件 runbook。" }, "name": "OpenSandbox 可用于企业生产吗？" } ] } ```