沙盒（Sandbox）：讓 AI 執行工具時有明確邊界

沙盒，英文 Sandbox，在 AI 工具執行情境通常指一個受限制的執行環境：程式可以完成某些工作，但只能接觸指定的檔案、網路與系統資源。它不是模型的一種思考能力，而是模型之外的系統限制。即使模型輸出不合理指令，環境也應依既定政策允許或拒絕，而不是只靠模型自律。

沙盒的具體邊界各不相同，可能使用作業系統隔離、容器、虛擬機器或其他機制。本篇依 gVisor 與 Docker 官方安全文件說明概念，用虛構報名資料整理流程示範；不把某個產品名稱等同於絕對安全，也不提供繞過隔離的操作。理解它的第一步，是看實際允許哪些資源，而不是只看介面寫著沙盒。

限制要由環境執行

提示詞可以告訴代理「只處理這個資料夾」，但它是給模型的行為指引；沙盒則由系統控制可存取範圍。兩者可以配合，但作用不同。若模型嘗試讀取未授權目錄，合理的環境應拒絕該操作，並留下可辨認的錯誤。它不需要先判斷模型是惡意、誤解或單純輸出錯誤，便能執行同一限制。

限制可以包含檔案讀寫、網路連線、程式能力與資源配額。例如允許讀取一份輸入檔，只能寫到指定輸出目錄，不提供正式服務憑證，並限制執行時間。這些條件需要明確配置和驗證。若把整個個人資料夾都掛入環境，沙盒內的程式仍可能讀到其中資料；隔離不是把已授予的存取權自動縮回去。

容器、虛擬機器與沙盒不是同義詞

容器常用名稱空間、能力限制及其他作業系統機制分隔工作負載，但其安全性仍受配置、核心與執行環境影響。Docker 官方文件討論這些邊界，以及高權限配置和主機資源存取的風險。只說「在容器裡執行」，不足以知道代理能否碰到主機檔案、控制其他服務或向外送資料。

虛擬機器通常建立獨立的客體執行環境，gVisor 則使用應用核心的方式隔離工作負載與主機核心介面。這些是不同實作路徑，效能、相容性和威脅模型也不同。本篇不做產品安全排名，重點是「沙盒」描述隔離目的與邊界，底下用什麼技術，仍要看文件和實際配置，不能用一個名詞代替檢查。

示範：整理一份報名名單

假設任務是把活動報名資料去除重複列，產出待人工檢查的清單。較清楚的範圍是提供必要的輸入副本，允許寫入專用輸出位置，並且不需要網路連線或正式會員系統憑證。代理可以產生並執行資料處理程式，但不能因此取得修改正式帳號、寄出通知或刪除來源資料的權限。這是教學設計，沒有執行真實名單。

預期輸出應保留原始輸入、處理規則及結果摘要，方便核對哪些列被視為重複。如果同名不同人被誤合併，沙盒本身不會替你發現語意錯誤；它只能限制程式影響範圍。因此結果仍需要資料品質檢查。隔離成功與任務結果正確，是兩個不同的驗收項目，都不能因另一項通過就省略。

還可以在受控測試環境加入邊界檢查：允許範圍內的輸入應能讀取，範圍外的測試檔應被拒絕，不需要的對外連線也應受限制。檢查使用的是無敏感內容的測試資料，目的是驗證政策是否真的生效。若只確認程式可以跑，卻沒測不該成功的操作，仍無法知道沙盒是否按設計隔離。

它保護不了哪些事情

gVisor 文件明確說明，沙盒內的應用若出問題，仍可接觸環境原本配置給它的資源。這個原則很重要：你主動提供的機密、可寫目錄或網路權限，不會因有沙盒就變成無害。若代理可以呼叫有權限的外部服務，該服務造成的真實世界變更，還需由工具權限與批准機制控制。

沙盒也不負責判斷輸出是否造假、是否有偏誤或是否適合公開。它產生的檔案或程式離開隔離環境後，仍可能包含錯誤或不安全行為。下載、解壓縮、開啟與部署都是新的使用階段，應按產物本身檢查。不能因為「在沙盒裡生成」就把結果當成已經安全驗證的成品。

如何看懂工具宣稱的安全性

先確認檔案可讀寫的範圍、網路政策、是否提供憑證、工作負載是否互相隔離，以及環境結束後資料如何處理。這些問題比問「有沒有沙盒」更能說明風險。對程式開發工具，也要看環境能否存取主機控制介面或高權限資源；少數便利配置可能改變原本期待的隔離邊界。

相容性與資源限制同樣會影響任務。工具因缺少系統功能而失敗，不代表模型需要更高權限才能完成；可以先判斷是否有受限範圍內的替代方法。記憶體、磁碟與執行時間用完時，應交付清楚失敗狀態和已產生的可檢查結果，避免把中途停止誤寫成處理完成。

完整的設計會把沙盒與最小權限、工具授權、輸出驗證及紀錄配合。沙盒控制程式在某個環境內能做什麼，人工介入可處理需要判斷的行動，評估則檢查成果是否滿足需求。每一層承擔不同責任；把它們分清楚，才能理解系統究竟已防住哪類問題，還有哪些條件需要另外確認。一般使用者不需要讀懂所有核心技術，但可以要求一份可理解的存取摘要。當工具說需要擴大權限時，應能指出缺少哪個具體資源、為什麼現有範圍不足，以及新增權限會允許什麼。這讓隔離邊界成為可討論的事實，而不是抽象的安全標籤。

安全防護機制（Guardrails）是什麼

人工介入（Human-in-the-loop）：讓人有資訊也有決定權

AI 代理（AI Agent）是什麼：從回答問題到完成任務

AI 名詞總索引：從 Loop Engineering 到生成式 AI

• AI 工具
• 教學
• AI 名詞解釋