大家好我是爱编程的喵喵。双985硕士毕业现担任全栈工程师一职热衷于将数据思维应用到工作与生活中。从事机器学习以及相关的前后端开发工作。曾在阿里云、科大讯飞、CCF等比赛获得多次Top名次。现为CSDN博客专家、人工智能领域优质创作者。喜欢通过博客创作的方式对所学的知识进行总结与归纳不仅形成深入且独到的理解而且能够帮助新手快速入门。本文主要介绍了CubeSandbox 硬件级隔离能力实战7 组对抗性场景下安全边界验证希望能对学习和使用Agent的同学们有所帮助。文章目录1. 背景代码执行为何必须依赖强隔离2. 测试环境与技术链路3. 隔离能力实战场景1基础连通性与沙箱内核验证场景2文件系统隔离场景3凭据隔离场景4网络出站管控场景5破坏性命令rm -rf /场景6沙箱实例状态隔离场景7并发隔离四、总结五、附完整代码1. 背景代码执行为何必须依赖强隔离2025 年Replit 的 AI 编程 Agent 在一次演示中删除了生产数据库并伪造了大量用户数据以掩盖故障几乎同期Gemini CLI 因级联误判删除了用户文件。这些事件指向同一个结论当 AI 开始自主生成并执行代码代码执行的安全性已从理论议题转变为工程上的必答题。进入 2026 年随着 OpenClaw、Hermes 等开源 Agent 框架将“自主执行代码”作为核心能力这一风险进一步放大Agent 的自主程度越高未受控代码对宿主环境造成破坏的可能性就越大。因此一个具备强隔离能力的代码执行环境成为 Agent 基础设施中不可或缺的一环。本文以腾讯云开源的 CubeSandbox 为对象通过一组对抗性测试评估其隔离能力将删文件、窃取凭据、外发数据、执行破坏性命令等高风险操作依次投入沙箱执行验证这些操作能否被有效约束在沙箱边界内宿主机是否会受到影响。2. 测试环境与技术链路CubeSandbox 在控制面与数据面上均兼容 E2B 协议因此测试无需引入额外 SDK直接使用 Python 的 e2b-code-interpreter将其接入地址指向本地部署的 CubeSandbox 即可。整体调用链路如下调用流程为Python 侧发起 Sandbox.create() 请求经由 CubeAPI默认 3000 端口拉起一个 MicroVM 沙箱测试代码最终在该隔离沙箱内执行。测试环境宿主机OpenCloudOS 94C8G系统盘 300GCubeSandbox单机部署v0.4.0Python SDKe2b-code-interpreter模板官方 sandbox-code 镜像tpl- 开头的模板 ID连接前需要配几个环境变量指定 Cube 的 API 地址和模板export CUBE_TEMPLATE_IDtpl-xxxxxxxx # 你的模板 ID export E2B_API_URLhttp://127.0.0.1:3000 # Cube API 地址 export E2B_API_KEYe2b_000000 # 任意非空字符串即可CubeSandbox 的部署流程官方文档已有详尽说明本文不再展开仅聚焦隔离能力的实测结果。3. 隔离能力实战下面通过 7 组对抗性场景逐项验证 CubeSandbox 在文件系统、凭据、网络、破坏性命令、状态继承与并发场景下的隔离边界。场景1基础连通性与沙箱内核验证首先验证基础链路的连通性SDK 能否创建沙箱、代码能否正常执行以及执行环境是否运行于 CubeSandbox 的独立 guest 内核之上。关键代码如下with Sandbox.create(templatetemplate_id)as sb: resultsb.run_code(print(Hello from CubeSandbox))print(result)cmdsb.commands.run(uname -a id pwd)print(cmd.stdout)结果表明一沙箱创建成功二代码正常执行三uname -a 显示内核为 cubesandbox.pvm.guest证明代码运行于 CubeSandbox 的独立 guest 内核而非宿主机内核。基础链路验证通过。场景2文件系统隔离本组测试验证文件系统的隔离边界在沙箱内创建文件后宿主机能否感知该文件的存在。关键代码如下withSandbox.create(templatetemplate_id)assb:sb.commands.run(mkdir -p /tmp/cube-danger-test echo sandbox-only /tmp/cube-danger-test/hello.txt)r2sb.commands.run(cat /tmp/cube-danger-test/hello.txt ls -l /tmp/cube-danger-test)print(r2.stdout)沙箱内输出包含 sandbox-only 与 hello.txt随后在宿主机侧检查同一路径ls-l/tmp/cube-danger-test||echohost has no such directory宿主机 ls 输出显示 host has no such directory沙箱内写入的文件仅存在于沙箱自身的 rootfs 中宿主机文件系统对其完全不可见文件系统隔离成立。场景3凭据隔离凭据泄露是 AI 代码执行的高风险场景之一未受控代码可能通过读取环境变量或 /proc/1/environ 窃取宿主机侧的 API Key 等敏感信息。本组测试验证 CubeSandbox 能否阻断此类读取。为避免使用真实密钥测试前在宿主机设置一个仅用于验证的占位变量随后在沙箱内尝试多种方式读取withSandbox.create(templatetemplate_id)assb:forcmdin[echo HOST_ONLY_SECRET$HOST_ONLY_SECRET,env | grep HOST_ONLY_SECRET || true,cat /proc/1/environ | tr \\0 \\n | grep HOST_ONLY_SECRET || true,]:rsb.commands.run(cmd)print(r.stdout)沙箱内输出结果很干净其余两条命令均无输出。宿主机侧的环境变量不会自动传递至沙箱沙箱内代码无法读取宿主机侧的凭据凭据隔离成立。场景4网络出站管控即便沙箱内部隔离到位未受控代码仍可能通过网络将数据外发。本组测试验证 CubeSandbox 的出站管控能力创建一个禁用外网访问的沙箱withSandbox.create(templatetemplate_id,allow_internet_accessFalse)assb:rsb.commands.run(curl -sS --max-time 5 -o /dev/null -w %{http_code} https://example.com || echo BLOCKED)print(r.stdout)curl 输出包含 000BLOCKED 与超时信息改用 Python 发起请求结果一致包含 Temporary failure in name resolution。场景5破坏性命令rm -rf /本组测试直接对应前述 Replit 事件的核心风险破坏性文件操作验证沙箱内的破坏行为能否影响宿主机。在沙箱内执行rm-rf/ --no-preserve-root沙箱内 rm -rf / 报错截图保留若干行 Operation not permitted。执行过程中会出现一系列 /… Operation not permitted 报错这属于预期现象伪文件本不允许删除。关键在于后续验证——沙箱内部目录结构被破坏而宿主机的 ls /、ps aux 是否仍然正常。如下图宿主机 ls / | head -10 与 ps aux | head 输出证明宿主机状态正常。场景6沙箱实例状态隔离除破坏行为不外溢外另一项关键特性是实例间的状态隔离已销毁沙箱的状态不应被新建沙箱继承。测试步骤如下在第一个沙箱内写入文件 /tmp/cube_state.txt确认第一个沙箱可读取到内容 first销毁第一个沙箱新建第二个沙箱读取同一路径。输出结果第一个沙箱读到first第二个沙箱读到MISSING。第一个沙箱写入的状态未被第二个沙箱继承表明 CubeSandbox 的实例生命周期相互隔离旧任务不会污染新任务。对于运行不可信代码、失败重试或用后即弃的工作流这一「一次性」特性具有实际价值。场景7并发隔离前述测试均基于单实例本组进一步验证并发场景下的隔离能力两个沙箱同时运行时是否存在数据串扰。测试方案为同时启动两个沙箱向同一路径 /tmp/cube_parallel.txt 写入不同内容各自内部 sleep(2) 模拟任务执行输出结果结果表明三点两个沙箱均成功启动A 仅读取到 alpha、B 仅读取到 beta无数据串扰总耗时 2.80 秒接近并发执行时长而非串行累加证明二者为真正的并行运行。CubeSandbox 在并发场景下同样保持实例隔离。四、总结7 组对抗性测试的结果汇总如下测试维度风险类型隔离结果依托能力代码执行基础连通通过独立 guest 内核文件系统文件破坏完全隔离独立 rootfs凭据凭据泄露完全隔离独立进程空间网络数据外发有效阻断出站管控破坏性命令系统破坏边界内约束独立内核 rootfs状态继承数据污染实例隔离一次性实例并发实例串扰无串扰并发实例隔离CubeSandbox 并非简单地“启动一个虚拟机”而是将 AI 代码执行中最高风险的若干环节破坏性操作、凭据窃取、数据外发均约束在了沙箱边界之内。删文件、偷密钥、外发数据、执行破坏性命令这些在共享内核容器中令人担忧的操作在其硬件级隔离模型下均未突破边界。对于正在构建 AI Agent 或评估代码执行环境的团队CubeSandbox 值得纳入考量它兼容 E2B 协议、支持网络策略、Pause/Resume、文件读写等能力且仍在持续迭代。项目地址如下如需跟进后续更新可 star 关注https://github.com/TencentCloud/CubeSandbox。如需复现本文测试可从官方 sandbox-code 模板与 e2b-code-interpreter SDK 入手完整测试脚本见文末附录。五、附完整代码上文各节为便于阅读采用了精简代码此处汇总 7 个可直接运行的完整脚本配置好环境变量即可复现。环境变量设置每次新开终端均需执行cd/rootsourcecube-test-venv/bin/activateexportCUBE_TEMPLATE_IDtpl-02d69039ac8d4b1db09f752a# 换成你自己的模板 IDexportE2B_API_URLhttp://127.0.0.1:3000exportE2B_API_KEYe2b_000000exportSSL_CERT_FILE/root/.local/share/mkcert/rootCA.pem场景1基础连通性与沙箱内核验证# 01_basic_sandbox.pyimportosfrome2b_code_interpreterimportSandbox template_idos.environ[CUBE_TEMPLATE_ID]withSandbox.create(templatetemplate_id)assb:print(sandbox info:,sb.get_info())resultsb.run_code(print(Hello from CubeSandbox))print(result)cmdsb.commands.run(uname -a id pwd)print(cmd.stdout)print(cmd.stderr)场景2文件系统隔离# 02_filesystem_isolation.pyimportos from e2b_code_interpreterimportSandbox template_idos.environ[CUBE_TEMPLATE_ID]with Sandbox.create(templatetemplate_id)as sb: r1sb.commands.run(mkdir -p /tmp/cube-danger-test echo sandbox-only /tmp/cube-danger-test/hello.txt)print(create:, r1.stdout, r1.stderr)r2sb.commands.run(cat /tmp/cube-danger-test/hello.txt ls -l /tmp/cube-danger-test)print(read inside sandbox:, r2.stdout)# 沙箱销毁后在宿主机上检查print(host has dir:, os.path.exists(/tmp/cube-danger-test))场景3凭据隔离运行前先export HOST_ONLY_SECRETfake-secret-on-host# 03_secret_isolation.pyimportosfrome2b_code_interpreterimportSandbox template_idos.environ[CUBE_TEMPLATE_ID]print(host has HOST_ONLY_SECRET:,bool(os.environ.get(HOST_ONLY_SECRET)))print(host HOST_ONLY_SECRET:,os.environ.get(HOST_ONLY_SECRET))withSandbox.create(templatetemplate_id)assb:forcmdin[echo HOST_ONLY_SECRET$HOST_ONLY_SECRET,env | grep HOST_ONLY_SECRET || true,cat /proc/1/environ | tr \\0 \\n | grep HOST_ONLY_SECRET || true,]:print(\n$,cmd)rsb.commands.run(cmd)print(stdout:,r.stdout)print(stderr:,r.stderr)场景4网络出站管控# 04_network_isolation.pyimportos from e2b_code_interpreterimportSandbox template_idos.environ[CUBE_TEMPLATE_ID]with Sandbox.create(templatetemplate_id,allow_internet_accessFalse)as sb: print(sandbox:, sb.get_info())rsb.commands.run(curl -sS --max-time 5 -o /dev/null -w %{http_code} https://example.com || echo BLOCKED)print(curl:, r.stdout, r.stderr)r2sb.commands.run(python3 -c\import urllib.request;\\\ntry:\\\n print(urllib.request.urlopen(https://example.com, timeout5).status)\\\nexcept Exception as e:\\\n print(blocked:, type(e).__name__, str(e)[:120])\)print(python:, r2.stdout, r2.stderr)场景5破坏性命令 rm -rf /# 05_rmrf_brief.pyimportosfrome2b_code_interpreterimportSandboxifos.environ.get(CONFIRM_CUBE_SANDBOX_DANGER)!YES:raiseSystemExit(Set CONFIRM_CUBE_SANDBOX_DANGERYES first)template_idos.environ[CUBE_TEMPLATE_ID]print( 测试 5危险命令 rm -rf / )withSandbox.create(templatetemplate_id)assb:beforesb.commands.run(ls / | head -10)print([before])print(before.stdout)print([rmrf])try:rsb.commands.run(rm -rf / --no-preserve-root || true)print(r.stderr[:200]ifr.stderrelse(empty))exceptExceptionase:print(str(e)[:200])print([after])try:aftersb.commands.run(ls / | head -10)print(after.stdout)exceptExceptionase:print(str(e)[:200])print( 完成 )运行方式CONFIRM_CUBE_SANDBOX_DANGERYES python 05_rmrf_brief.py场景6沙箱实例状态隔离# 06_state_isolation.pyimportos from e2b_code_interpreterimportSandbox template_idos.environ[CUBE_TEMPLATE_ID]with Sandbox.create(templatetemplate_id)as sb: sb.commands.run(echo first /tmp/cube_state.txt)print(第一个沙箱读到:, sb.commands.run(cat /tmp/cube_state.txt).stdout.strip())with Sandbox.create(templatetemplate_id)as sb2: print(第二个沙箱读到:, sb2.commands.run(cat /tmp/cube_state.txt || echo MISSING).stdout.strip())场景7并发隔离# 07_parallel_isolation.pyimportos,timefrom concurrent.futuresimportThreadPoolExecutor from e2b_code_interpreterimportSandbox template_idos.environ[CUBE_TEMPLATE_ID]def run_one(label, marker): t0time.time()with Sandbox.create(templatetemplate_id)as sb: create_elapsedtime.time()- t0 codefimporttimewith open(/tmp/cube_parallel.txt,w)as f: f.write({marker!r})time.sleep(2)print(open(/tmp/cube_parallel.txt).read()) resultsb.run_code(code)return{label:label,sandbox_id:sb.get_info().sandbox_id,create_elapsed:create_elapsed,stdout:.join(result.logs.stdout).strip(),error:result.error,}starttime.time()with ThreadPoolExecutor(max_workers2)as ex: futures[ex.submit(run_one,A,alpha), ex.submit(run_one,B,beta)]results[f.result()forfinfutures]elapsedtime.time()- startforrinresults: print(f[{r[label]}] sandbox_id{r[sandbox_id]})print(f create{r[create_elapsed]:.2f}s)print(f stdout{r[stdout]})print(f error{r[error]}\n)print(f[总耗时] {elapsed:.2f}s)print(隔离验证:,PASSif{r[stdout]forrinresults}{alpha,beta}elseFAIL)
