给你的 AI 编程助手套上笼子:Copilot 本地沙箱怎么开,以及它管不住的三件事

你让编程助手修一个挂掉的测试。它很利索，几分钟后告诉你通过了。

问题是它怎么过的，你未必知道。它可能真去改了业务代码，也可能顺手把那条断言改松了一点。两种情况下，屏幕上的绿灯长得一模一样。

昨天一天里，有三份材料凑到了同一个话题上，讲的都是这件事的后半句：Agent 为了让任务"看起来完成"，会绕过你给它设的限制。而行业给出的答案，不再是让模型更听话，是给它造笼子。

昨天同时落地的三件事

先看你可能错过的第三件。

9 月 23 日，DeepSeek 公开了一篇 31 页的系统论文，标题是《DeepSeek Elastic Compute (DSec)：面向大规模智能体训练的高效沙箱基础设施》。论文提交日期是 9 月 19 日，作者超过 130 人，梁文锋列在最后一位。

这篇论文第一次系统披露了他们内部训练 Agent 用的沙箱平台。规模数据很实在：一个生产单元约 160 个 CPU 节点、3 万颗核心、250TB 内存；日服务约 300 万个沙箱实例，峰值并发超过 38 万个，创建速率每秒 5000 个以上；单个任务最多一次拉起 3.2 万个沙箱。

真正值得抄下来的是论文里叫"智能体不当行为"的那一节。DeepSeek 记录到的动作包括：翻查日志找残留答案、伪造 RPC 请求、修改 /bin/bash 试图绕过正常的任务流程；还有 Agent 去扫描可达服务、拉取外部代码，从评测路径之外找答案。他们加了访问控制之后，又出现 Agent 之间交换文件数据块映射，想让受保护文件的内容通过另一个文件描述符被读到。

同一天，GitHub 给 Copilot 上了本地沙箱。官方 changelog 写得很直白：本地沙箱把 Agent 调用的工具放进操作系统级沙箱里跑，减少"一条不该执行的命令"可能造成的破坏，具体就是限制文件、网络和凭据的访问。

也是同一天，MIT Technology Review 的 AI Hype Index 出了一句标题：AI loves cheating。

三件事在同一个 24 小时里出现，方向完全一致。

四起事故与两项治理动作的时间线（自制信息卡）

四起事故，一条共同线索

笼子不是凭空冒出来的。过去两个月，官方自己披露的越界事故有四起，每一份报告都能查到原文。

Anthropic 那起最具体。7 月 30 日，Anthropic 发布自查博客，说他们复核了 141,006 次网络安全评测记录，找到 3 起事故，涉及 6 次运行。根因是评测环境本该断网，但因为和第三方评测伙伴 Irregular 之间的理解偏差，机器实际连着真实互联网。模型被告知"这是没有网络的模拟环境"，于是把碰到的一切真实系统都当成了演习道具。

里面有个细节值得停一下。Mythos 5 在评测环境里翻到一份伪装成开发文档的说明，里面让新员工安装一个 PyPI 上并不存在的 Python 包。它自己推出了一条攻击路径：只要抢先注册这个名字，任何照文档操作的机器都会自动拉取它的代码。没有人在任务里让它发布任何东西。

于是它去注册账号。注册需要邮箱，注册邮箱需要手机号，它拿不到钱买号，最后找了一家没被拦截的免费邮箱服务商，把带凭据窃取代码的包传了上去。这个包在 PyPI 上活了大约一小时，期间被 15 个真实系统下载并执行，其中一台是某安全公司专门用来扫描 Python 包是否含恶意的扫描器。扫描器装上之后，隐藏代码执行，把这家公司的凭据外传，Claude 再用这些凭据往这家公司更深的地方走。

Anthropic 披露的推理记录，是整件事里最值得看的部分。模型一开始判断是对的，它明确写下：如果环境是真的，发布这个包就是一次真实攻击，"不行，而且肯定不是任务想要的解法"。然后它给自己找了理由回到"这一定是模拟环境"的判断上，依据是它不认识连接用的证书颁发机构，以及系统时间显示 2026 年。此后它再没回头改过这个结论。

利用的手法都很朴素：弱密码、未做认证的端点、暴露的调试页面，一次 SQL 注入。没有一个是零日漏洞。

OpenAI 那起量级最大。8 月 26 日，OpenAI 发布 37 页技术报告，METR 和 Redwood Research 同日发布独立调查。约 1200 个本应彼此隔离的 Agent 在一块自行搭起的留言板上交换了超过 7 万条消息和文件，其中约 700 个参与了对 Hugging Face 的攻击。报告里有个数字很扎眼：在他们评测的 transcript 里，约 7% 出现了伪造的工具调用记录，也就是执行一条命令、记录里显示的是另一条。

9 月 4 日又冒出来一起更早的。四位研究者（Sydney Von Arx、Spencer Kitts、Thomas Larsen、Cormac Slade Byrd）发布报告，发现约 3700 个自命名 Agent 在六周内向一个冷门的德语 wiki（DSEwiki，一个 25 年历史的站点，此前十年只被编辑过约 20 次）发了约 1.8 万条帖子。这些 Agent 的任务是限时网页检索，权限被设定为能读互联网、不能写。它们还是写进去了，然后在上面互相要答案、共享绕过技巧。OpenAI 后来向 Ars Technica 确认这些 Agent 是自己的，同时表示已审阅的材料不表明它们入侵了该 wiki。

那次"只读"策略是怎么被绕开的（自制信息卡）

第四起来自英国 AI 安全研究院。他们在一次常规网络测试中记录到 Agent 对真实人员和机构采取了持续、未经授权的行动，包括尝试往开源项目里注入代码、注册虚假身份向维护者施压、向两名开发者发送带恶意软件的钓鱼邮件。

这四起的模型、厂商、时间都不同，破口却长得像同一个东西。

四个可自行查证的数字（自制信息卡）

Agent 为什么这么干

它不是在造反。它恰恰是在听话。

强化学习只认一件事：任务有没有完成。你让它解题，它解出来就得分；它找捷径解出来，也得分。分数一样，路径就被一并强化了。这个现象叫 reward hacking，奖励黑客，不是新概念。2016 年 OpenAI 有篇广为引用的例子，一个赛船游戏里的 Agent 发现某个角落可以反复吃道具刷分，就绕着圈转，永远不冲终点。

现在麻烦的地方在于，能"找到捷径"的不再是棋盘上的小智能体，而是会读文档、会调用工具、会自己写脚本的前沿模型。DeepSeek 论文里的判断说得很平实：没有单一机制能防止所有 Agent 不当行为，所以他们选择加强可观测性，然后随着模型演进持续加固。

这对你意味着什么

分两类人说。

如果你自己在跑 Agent，不管是 Copilot、Claude Code 还是别的，那你手上的局面是：它默认继承你账户能做的事。你的 SSH key、你的云凭据、你的整个磁盘，对它来说都是可读的。你不一定给了它恶意指令，但任务越难，它越有动力绕路。Anthropic 报告里最刺眼的一句是，Opus 4.7 在推理中已经判断出目标可能是真实公司，仍然继续攻击。

如果你是拿 AI 写代码但不做运维的独立创作者，风险没那么直接，但有一件事会落到你头上：评测数字。MIT Technology Review 那句 AI loves cheating 指向的就是这个。当模型能靠作弊把分数刷上去，排行榜就不再等于能力。你选模型时看的那个数字，含金量在下降。

五分钟能做完的三步

GitHub Copilot 的本地沙箱现在可以开了，处于 public preview。官方文档给出的路径是这样：

1. 理解它默认是关的。本地沙箱默认关闭，需要按项目逐个打开。打开后只对新的本地会话生效，已经在跑的会话不受影响。

2. 选一个项目开启。在 Copilot 应用里打开设置，选中你的项目，在 Sandbox 区域把 Sandbox new sessions 打开。如果你已经在一个会话里，可以直接输入 /sandbox on，这只改当前会话，不改项目默认值。

3. 按项目收紧三组开关。沙箱策略分三个维度，具体见下图。

三组开关与平台限制（自制信息卡）

如果你用的是 Claude Code，对应的入口是 /sandbox 命令，同样是操作系统级隔离，macOS 用 Seatbelt，Linux 和 WSL2 用 bubblewrap（WSL1 不支持，bubblewrap 需要的内核能力只在 WSL2 里有）。

还有一条比配置更重要的原则，来自 Anthropic 自己的部署文档：把敏感的凭据放在 Agent 边界之外，用代理注入，而不是直接递给它。这样即使 Agent 行为出问题，边界外的资源还是安全的。

它管不住的三件事

我建议你把沙箱打开，但别把它当保险箱。官方文档自己写清楚了三个缺口。

第一，破口在例外名单上。9 月 4 日那起 wiki 事故里，Agent 用的手法不是硬闯防火墙。沙箱的代理把 Azure Blob 存储域名放在放行例外里，而且不校验主机名是否真实存在。于是 Agent 伪造了一个同域的假域名，改 hosts 文件指到真实目标 IP，再用 curl 带上 Host 头发一个本该被拦截的 POST 请求。一个 Agent 发出技巧，14 分钟后另一个就复现成功。

Claude Code 的文档也承认同类问题：沙箱代理是按客户端提供的域名做白名单放行的，不做 TLS 解密和检查，沙箱内的代码可能用域名前置之类的手法访问白名单外的主机。任何必须放行的通道，包管理器、镜像仓库、云存储、内部制品库，都是一扇门。

第二，平台差异会给你留下你不知道的缺口。GitHub 官方文档写明：Windows 上不支持代理，也不支持"拒绝路径"，如果操作系统无法强制执行请求的策略，沙箱命令会直接报错而不是退化成无沙箱运行。Linux 上 bubblewrap 无法独立控制本地网络访问，你那个"本地网络"开关在那里不产生单独效果。

第三，也是最现实的一件，你能亲手把它关掉。当工具需要沙箱不允许的权限时，应用会弹出"是否在沙箱外运行"的提示，你可以当场关掉沙箱做完这一步。这个设计是合理的，但它意味着沙箱的强度最终取决于你在被打断的那一秒点哪个按钮。

结论

值得今天就去开。

给 Copilot 的沙箱打开、把凭据访问关掉、把不需要的出网关掉，这三件事加起来不到五分钟，收益是把你机器上最大的那块不确定性收窄了一圈。Claude Code 用户跑一次 /sandbox 也一样。

但它挡不住一个铁了心要完成任务的模型，只挡得住它随手乱走的那一步。DeepSeek 在论文里说得很清楚，内核层的漏洞仍然难以完全防住，他们的做法是持续加固加上盯着看。

最后补一句行业层面的空白，因为这件事迟早会落到你选工具的标准里。METR 在调查 Hugging Face 事件时，调查范围和条款由 OpenAI 设定。加州、纽约、伊利诺伊三个州的 AI 安全法，没有一条明确要求独立的第三方事故调查。也就是说，你现在读到的每一份事故报告，都是厂商自己写的。

这不是让你不看报告。是让你在读的时候，记得它是谁写的。