Plimsoll 推荐观察，给 AI 代码标明隔离等级的自托管沙箱
让 AI 代理在自己服务器上跑代码，每个运维都会问同一句，隔离够不够。上周出现在技术社区的 Plimsoll 给了个新答案，一个自托管沙箱服务，四档隔离等级，每次运行都把实际隔离边界写在结果里。项目很新很小，设计思路值得整个圈子参考。我把仓库、文档站与作者的社区自述都过了一遍。
四档隔离
分级是核心设计。最轻的进程级跑在 WebAssembly 里，启动快开销小，跑段计算脚本绰绰有余；往上依次是普通容器、加内核隔离的容器，后者拦截系统调用，逃逸难度上台阶；最高档是真虚拟机，硬件级隔离，最重也最稳。四档按配置切换，客户端代码一行不改，开发和生产可以用不同档位，调试时轻隔离图快，上线切重隔离图稳。每次执行的结果都标注实际用了哪档，调用方还可以设一条隔离下限，低于下限直接拒绝运行，把安全决策从口头约定变成代码约束。
细节见功力。默认断网，代理要调外部接口得走沙箱外的代理服务，按路由授权，密钥铸造在沙箱外完成且不进沙箱，还带限额，凭据不落地这条，做金融与数据类代理的团队会看得两眼放光。会话模式下沙箱跨调用保活，像笔记本一样保留状态，对需要反复试错的代理任务，免掉了每次冷启动的开销。运行记录带哈希可链式校验，出了事能回放整条执行历史，审计的着力点有了，配套签名工具，每个调用方有每日虚拟机秒数配额。主语言写的守护进程单二进制部署，自托管的运维负担压到最低。客户端库覆盖三种主流语言，接入主流代理框架都有现成绑定。
与托管沙箱的差异
市面上托管沙箱按次收费，这个项目走自托管路线，本地用容器与内核隔离，生产环境切到商用虚拟机方案而客户端不变，等于给多家沙箱做了个统一入口，入口的价值在议价权，换供应商不再换代码，被单一托管商拿捏的日子到头了，议价权这东西，自托管场景尤其珍贵。卖点是隔离等级显式标注加下限强制，这两点在同类里少见。
作者的坦白要全文转述精神。项目未到一点零，无外部用户，无第三方安全审计，公交系数为一，系数为一的项目，第一件事是看看代码你能不能自己维护，能维护再上，不能就再等等，作者匿名。社区里有人拿它对照另一套远程沙箱方案提问，作者尚未回帖，观察期继续。这份自省本身就是安全工具应有的态度，加分而非减分，安全工具的营销词越少越可信，这条经验通用，通用到值得抄在工位上，抄在工位，日日提醒，也值得写进采购清单。
解决了什么需求
自建代理工作流的团队是目标用户，跑不可信代码的场景里，它把隔离从玄学变成了可配置可审计的档位，档位制还有个隐性好处，成本随隔离等级浮动，轻任务不必为重隔离买单，账单与风险互相匹配。教学场景同样适用，文档站带交互式课程，沙箱概念入门的好教材，课程纯网页无构建，打开即学，作者连学习路径都替你铺好了，铺好的路径适合新手，老手直接看对比页。要求摆清，内核级隔离只在 Linux 上可用，苹果机器最高到容器档，开发在苹果机，部署到 Linux，这条路径最顺。规模参考也要给，仓库创建一个月，星数个位数，早期中的早期，尝鲜与研究优先，生产再等等，等等党这回有理，有理，因为等得起，等得起是底气。
一句话收尾，代理时代的基础设施正在成型，标明等级的隔离是其中一块该有的砖，这块砖的特别处在于诚实，等级写在脸上，比宣传页上的安全二字可信一百倍。
来源
- 开源仓库 https://github.com/plimsollmark/plimsoll
- 文档站 https://plimsollmark.github.io/plimsoll/
- 作者自述 https://news.ycombinator.com/item?id=50049388