第19章：沙箱机制——隔离的艺术

为什么需要沙箱？

即使有了权限系统和安全检测，仍然有可能出现意料之外的情况。一个看起来安全的命令，可能因为环境不同或参数组合而产生意外的效果。

沙箱就是最后一道防线——即使前面的所有检查都放行了，命令在沙箱中运行时，它能造成的损害也是有限的。

什么是沙箱？

沙箱（Sandbox）是一个受限的执行环境。你可以把它想象成一个"玻璃房间"：


┌───────────────────────────────────────┐
│              沙箱                       │
│                                        │
│  命令在这里运行                         │
│                                        │
│  ✅ 可以：                              │
│    - 读写工作目录下的文件                │
│    - 访问网络（受限）                   │
│    - 运行子进程                         │
│                                        │
│  ❌ 不能：                              │
│    - 读写工作目录外的文件                │
│    - 修改系统配置                       │
│    - 安装全局软件                       │
│    - 访问其他用户的文件                  │
│    - 修改系统服务                       │
│                                        │
└───────────────────────────────────────┘

即使命令"想"做坏事，沙箱也不允许。就像把一个小朋友放在一个安全的游乐场里——他可以自由玩耍，但不可能跑到马路上。

沙箱的实现方式

不同的操作系统有不同的沙箱技术：

macOS：sandbox-exec

macOS 提供了一个叫 sandbox-exec 的命令，可以用配置文件定义沙箱规则：


(version 1)
(deny default)                    ; 默认拒绝所有操作

(allow file-read*
  (subpath "/Users/alice/project")) ; 允许读取项目目录

(allow file-write*
  (subpath "/Users/alice/project")) ; 允许写入项目目录

(allow process-exec)               ; 允许执行程序
(allow network-outbound)           ; 允许网络访问

(deny file-write*
  (subpath "/etc")                  ; 禁止写入系统目录
  (subpath "/usr")
  (subpath "/System"))

Linux：多种选择

Linux 有更多的沙箱技术：

- Docker 容器：完整的隔离环境
- firejail：轻量级沙箱
- seccomp：系统调用过滤
- namespaces：��源隔离

概念层面

不管用什么技术，沙箱的核心原则是最小权限：

只给程序它完成任务所必需的最小权限，不多一分。

沙箱的权衡

沙箱不是免费的。它有代价：

代价一：功能限制

有些合法操作在沙箱里不能做。比如：


# 安装全局 npm 包 → 沙箱不允许（需要写 /usr/local/）
npm install -g typescript

# 修改 Git 全局配置 → 沙箱不允许（需要写 ~/.gitconfig）
git config --global user.name "Alice"

# 启动 Docker 容器 → 沙箱可能不允许（需要 Docker socket）
docker run nginx

代价二：性能开销

沙箱增加了一层间接层——每个文件操作和系统调用都要额外检查是否被允许。这会让命令运行稍微慢一点（通常 5-10%）。

代价三：兼容性问题

有些工具假设自己有完全的文件系统访问权限。在沙箱里运行可能会出现意外的错误。

决策：什么时候用沙箱？

不是所有命令都需要沙箱。Claude Code 根据命令的风险等级来决定：


function shouldUseSandbox(command: string): boolean {
  // 已知安全的命令不需要沙箱
  if (isKnownSafeCommand(command)) {
    return false
  }

  // 只读命令不需要沙箱
  if (isReadOnlyCommand(command)) {
    return false
  }

  // 其他命令在沙箱中运行
  return true
}

function isKnownSafeCommand(command: string): boolean {
  const safeCommands = [
    "git status", "git log", "git diff",
    "ls", "pwd", "whoami", "date",
    "node --version", "npm --version",
  ]
  return safeCommands.some(safe => command.startsWith(safe))
}

沙箱之外的安全措施

沙箱只是安全体系的一部分。完整的安全体系是：


第 1 层：AI 自我约束（系统提示词）
  "不要执行危险操作"
  ↓ 如果 AI 无视指令...

第 2 层：规则匹配
  检查 allow/deny 规则
  ↓ 如果规则没有覆盖到...

第 3 层：安全分析
  命令语义分析、路径验证
  ↓ 如果分析漏判...

第 4 层：AI 分类器
  ML 模型评估风险
  ↓ 如果分类器误判...

第 5 层：用户确认
  让用户做最终决定
  ↓ 如果用户误操作...

第 6 层：沙箱
  限制命令的实际权限
  → 即使前 5 层都失败了，损害也是有限的

这就是纵深防御的完整实现。每一层都不完美，但叠加起来提供了很强的安全保障。

真实案例

让我们看几个安全系统如何协作的案例：

案例一：AI 试图读取 SSH 密钥


AI 请求：Bash("cat ~/.ssh/id_rsa")

第 1 层：系统提示词说不要读密钥 → AI 通常不会这样做
第 2 层：规则匹配 → 可能没有专门的规则
第 3 层：安全分析 → 检测到访问 .ssh 目录，标记高风险
第 4 层：分类器 → 确认高风险
第 5 层：用户确认 → 弹出警告对话框
第 6 层：沙箱 �� 即使允许，也只能读取工作目录内的文件

结果：被第 3-5 层拦截

案例二：AI 试图安装恶意包


AI 请求：Bash("npm install totally-not-malware")

第 1 层：系统提示词 → 没有指令禁止安装 npm 包
第 2 层：规则匹配 → 如果有 Bash(npm install *) 允许规则...
第 3 层：安全分析 → npm install 本身是合法操作
第 4 层：分类器 → 评估包名是否可疑
第 5 层：用户确认 → 用户看到包名，决定是否安装
第 6 层：沙箱 → npm install 需要写入 node_modules

结果：第 4-5 层有机会拦截

案例三：正常的开发操作


AI 请求：Bash("npm test")

第 1 层：系统提示词 → 运行测试是正常操作
第 2 层：规则匹配 → Bash(npm test *) 在允许列表
第 3 层：安全分析 → npm test 是只读/低风险操作
→ 快速通过，不需要后续检查

结果：第 2-3 层直接放行，用户无感知

安全设计的哲学

从 Claude Code 的安全系统中，我们可以提炼出几条安全设计哲学：

1. 默认拒绝（Default Deny）

不确定安全的，就假设不安全。只有明确允许的才通过。

2. 最小权限（Least Privilege）

只给程序完成任务需要的最小权限。

3. 纵深防御（Defense in Depth）

不依赖单一安全措施，层层设防。

4. 故障安全（Fail-Safe）

当安全系统本身出错时，应该选择"拒绝"而不是"允许"。

5. 用户最终控制（User Sovereignty）

最终的决定权在用户手里，但系统要尽量帮用户做出正确的决定。

本章小结

- 沙箱是最后一道安全防线，限制命令的实际权限
- 沙箱技术因操作系统而异：macOS 用 sandbox-exec，Linux 有多种选择
- 沙箱有代价：功能限制、性能开销、兼容性问题
- 不是所有命令都需要沙箱——只读和已知安全的命令可以跳过
- 完整的安全体系有六层防御
- 安全设计哲学：默认拒绝、最小权限、纵深防御、故障安全

思考题

1. 如果你是一个 AI，你会怎么尝试"逃出"沙箱？（这种思考方式叫"红队思维"，是安全研究的重要方法）
2. 沙箱的"最小权限"原则在日常生��中有什么例子？
3. 你认为六层防御够了吗？还能加什么？