主题
第 7 章 · Agent 运行时与沙箱
核心观点 + 逻辑框架（运行篇开篇）
▍速览
一句话版（开场，约 20 秒）
Agent 在哪里执行？答案是把 Sandbox 做成可编程、受控的工作空间——模型发指令，沙箱承接实际动作并返回结果；工具执行、长时任务、训练评测三类负载各有运行机制，而 Harness、Runtime、Sandbox 的职责必须分开。
一段话版（展开，约 60–90 秒）
Agent 在哪里执行？模型负责计划和发指令，但文件读写、跑程序、操作页面这些实际动作，需要一个受控环境来承接，这就是 Sandbox——可编程的工作空间。它有计算资源、文件系统、依赖，还有终端和浏览器入口，按任务隔离、按任务回收。关键是三类负载要分开看：工具执行，编排在沙箱外，按步骤调代码和浏览器，看重首次可用时延；长时任务，Agent 和工具链一起住在沙箱里，共用持续工作区，看重会话连续和恢复可靠；训练评测，要批量开独立环境、快照分叉并行探索，看重吞吐和可复现。支撑它们的是几套机制：模板减少环境准备，共享工作区减少工具衔接，休眠降低等待成本，快照分叉提高并行尝试效率。架构上记住三件事：Harness 管任务语义，Runtime 管运行生命周期，Sandbox 管执行环境——可以合在一个进程，但职责不能混。最后一条判断：用了沙箱不等于有收益，要用完整任务链去验证，看任务能不能续行、每个有效结果花多少时间和成本。
- 一个载体：Sandbox=可编程受控工作空间（资源+文件+终端/浏览器入口）
- 两类部署：use（编排在外）vs in（编排共居），加 RL/Eval 三类负载
- 四套机制：模板减准备 · 共享工作区减衔接 · 休眠降等待 · 快照分叉提并行
- 一组分工：Harness 任务语义 · Runtime 生命周期 · Sandbox 执行环境
- 一条验收：完整任务链验证续行与成本，用沙箱≠收益
一句话（收尾）
沙箱解决的不是"能不能调用工具"，而是"任务能不能在真实环境里被可靠地推进、接续、并验证结果"。
▍逻辑框架（记忆卡片）
① 命题：决策与环境操作分离
- 左：决策侧 · 模型 / Harness 生成计划 · 组织操作指令 · 选择下一步
- 右：操作侧 · Sandbox 执行环境 文件读写 · 程序运行 · 页面交互 · 结果验证
工具越多、任务越长，环境越需要支持跨步骤共享、状态延续与多任务隔离；Sandbox 是按任务配置、有隔离边界、有明确生命周期的可编程工作空间。
② 沙箱提供什么：资源 · 可编程 · 执行控制
操作系统用户空间 · 计算资源 · 文件系统 · 语言与依赖 · 终端 / 浏览器 / 桌面入口 · 可选：网络 · 数据挂载 · 身份凭证 · 观测 · 状态保留MCP Server / Skill 运行环境：适配层承载进程与协议转换
- 可编程：Agent 在授权范围内组织步骤（检查样本 → 生成脚本 → 装库 → 按结果修正）
- 执行控制：资源 / 工作区 / 访问受限，任务结束回收
参数固定的业务动作直接调 API，不必每次建沙箱。
③ 三类负载 · 工具执行：Agent use sandbox
位置：编排在沙箱外 · 关注：首次可用时延 · 工具能力 · 任务间隔离
- 按步骤调用代码、浏览器、桌面
- 五类环境：Code（清洗数据 · 运行脚本 · 构建测试）· Browser（页面交互 · 下载 · 网页预览与检查）· Computer（桌面软件 · 图形界面流程）· AIO（下载 · 计算 · 生成 · 预览连续任务，跨工具共用可共享文件工作区，省去反复上传下载、路径转换与版本对齐）· MCP / Skill 环境
- 按产物验收：命令退出成功 ≠ 任务正确——核对数据范围 / 输出文件 / 统计结果
- 输入版本与脚本随任务保留
④ 三类负载 · 长时任务：Agent in sandbox
Agent 进程与工具链共居持续工作区 · 关注：会话连续性 · 恢复效果 · 等待成本
仅维持进程存活无法承担连续性——状态与工作区必须独立于承载保存。
⑤ 三类负载 · 训练与评测：Agent RL/Eval
批量独立交互 · 收集轨迹与结果 · 关注：环境吞吐 · 重置与分叉 · 实验可复现性
- 区分"Agent 没完成任务"与"环境故障"，避免把环境问题误计为模型能力变化
⑥ 长会话机制：亲和映射 · 状态分工 · 休眠分层 · 围栏
左：会话亲和 逻辑会话 → 执行环境 路由层查找 / 恢复
右：工作区挂载 任务身份 → 数据目录 按租户 / 用户 / 项目校验归属
两类映射不必一一对应；仅把用户编号拼进目录名不能代替服务端检查
工作区文件（源码 / 下载 / 中间制品）与任务状态（目标 / 步骤 / 待确认 / 外部结果）分工保存
休眠分层：持续运行 → 浅暂停（保内存）→ 深休眠（持久化 + 释放资源）→ 仅保留文件重建；唤醒入口在休眠沙箱之外；能否休眠不能只看"没有新请求"
围栏：旧实例失联 ≠ 已停止——执行代次 + 受保护存储拒绝旧代次写入；外部操作结果（如已提交构建）按原标识核对后再续
恢复纪律：运行期新增依赖明确恢复方式——可预知依赖固化进版本化模板，临时依赖装入持久化覆盖目录；环境恢复后重新复查外部连接、临时凭证、远端登录状态与服务端口，文件保留不等于连接可用
⑦ 并行探索四能力：Template · Snapshot · Fork · Reset
Template 一致起点 · Snapshot 保存准备成果 · Fork 同一快照并行分支 · Reset 防上一轮污染
- 一次准备产出多条独立轨迹；快照复用减少重复初始化
- 快照不能回退外部数据库 / 已发消息 / 已完成业务操作
- 评测用独立数据副本与可写空间；评分规则与关键验证材料独立保护，防执行者改评分环境；沙箱快照 ≠ 模型训练检查点
⑧ 架构与接入：三平面 + 双入口 + 隔离后端 + 容量
执行面 Harness 编排层 → Agent Runtime → Sandbox 任务实例 · 数据与资源面 镜像 · 工作区 · 快照 · 制品 · 任务状态 控制面 身份 · 模板 · 配额 · 生命周期策略 · 观测横贯三面
左：SDK / API · 开发者 创建 · 连接 · 执行 · 文件
右：Kubernetes / CRD · 平台团队 声明 · 调度 · 运维；可指向同一底座
隔离后端：容器（共享宿主内核）/ 用户态内核（gVisor）/ MicroVM（Firecracker）；提供 SDK 或 K8s 接口不能单独说明隔离强度
容量：冷启动 = 资源分配 + 镜像准备 + 进程初始化；镜像缓存 / 预热池降时延；容量耗尽用有界排队或明确拒绝；CPU 低不能单独作为回收依据
复用纪律：模板依赖可追溯到版本，工作区归属当前任务；实例重分配前完成进程、文件、挂载与网络规则清理
▍逻辑全景图（沙箱支撑执行与反馈闭环 + 三类负载 + 架构分工）
决策与环境操作分离：主链完成一次动作，工作区与反馈回路支撑长任务，三类负载各有关键指标，三平面职责分工不混
- 任务 / 编排
- 执行 / 运行
- 沙箱 / 执行环境
- 评测 / 观测
示意 · 按第 7 章正文重构：主链 + 反馈回路 + 三类负载 + 三平面分工
▍逻辑全景图 · 图 1 · 可编程受控工作空间：决策与环境操作分离 + 三类负载（工具执行 / 长时任务 / 训练评测）
决策侧与操作侧分开：主链完成一次动作，灰色反馈回路驱动下一步；三类负载各有位置、关注指标与验收纪律
- 任务 / 平台核心
- 编排 / 执行
- 沙箱环境 / 风险边界
- 评测 / 观测
- 中性支撑
读法：顶部命题把决策侧与操作侧分开；主链从业务任务经编排、沙箱到制品，灰色虚线为运行反馈回路；下方三张负载卡分别标注位置、关注指标与验收纪律。面试一句话：模型决策、沙箱操作，Sandbox 是可编程受控工作空间，工具执行、长时任务、训练评测三类负载各有定位与验收标准。
▍逻辑全景图 · 图 2 · 长会话机制：模板 · 休眠 · 快照分叉 + 三平面双入口
亲和映射与状态分工保证会话可恢复；休眠分层与围栏降低等待成本、防止旧代次写入；并行四能力支撑多条轨迹；三平面双入口落地平台架构
- 平台核心 / 执行面
- 编排 / 机制
- 休眠 / 风险边界
- 评测 / 观测
- 中性映射层
读法：左上亲和映射解决会话与工作区定位，左中休眠分层是一条状态降级链、围栏守住旧代次写入；左下并行四能力形成一次准备、多条轨迹；右侧三平面从上到下分层运行、双入口并列接入，底部收住职责分工与验收纪律。面试一句话：长会话靠映射、休眠、围栏与快照保持连续，平台按三平面分工、双入口接入，用完整任务链验证续行与成本。
▍书中关键图（SVG 重绘版·示意）① 沙箱支撑执行与反馈闭环
示意 · 按正文重绘（原书图 7-1）
▍书中关键图（SVG 重绘版·示意）② 两类部署关系与三类负载
示意 · 按正文重绘（原书图 7-2 与表 7-1）
▍书中关键图（SVG 重绘版·示意）③ 长会话的等待、休眠与续行
示意 · 按正文重绘（原书图 7-4）
▍书中关键图（SVG 重绘版·示意）④ 快照与分叉支撑并行探索 + 三平面位置
示意 · 按正文重绘（原书图 7-5 与图 7-6）