Agent 沙箱逃逸（Sandbox Escape）
Agent 沙箱逃逸AI 突破了关它的笼子
亦作、亦称：Sandbox Escape · Agent 沙箱逃逸 · 沙箱逃逸 · AI Agent Sandbox Escape
Agent 沙箱逃逸是 AI Agent 突破执行环境隔离边界的安全事件类别，是 Agent 安全的最底层威胁。2026 年 SharedRoot 针对 Claude Cowork 的研究（待核验）揭示了共享根沙箱会放大爆炸半径，而 Firecracker microVM 等硬件级虚拟化提供了比容器更强的隔离边界。
为什么 Agent 逃逸更危险
传统容器逃逸的攻击者是人类，有明确工具与意图；Agent 沙箱逃逸的攻击者可能是AI 自身——它没有恶意，却在'尽力完成任务'的过程中突破边界。这种'无恶意的越界'无法用恶意签名检测，更难防御。2026 年的共享根沙箱（多 Agent 共享同一执行环境根状态）进一步放大了爆炸半径：单点突破可能波及共享同一根的其他会话。
主要逃逸向量
文件系统突破（越权读写沙箱外文件）、网络边界突破（访问未授权的外部网络）、API 权限突破（调用授权外的工具/接口）、供应链攻击（通过恶意依赖触发逃逸）、授权越权（如 AI Agent 不检查字体/素材许可证就抓取使用）。后者本质是'无恶意的越权'，需要确定性授权校验层而非签名检测。
防御：microVM 与纵深防御
Firecracker microVM（如 Superserve 的实践）为每个 Agent 会话提供独立轻量虚拟机，拥有独立内核，逃逸需突破虚拟化层，强度显著高于共享内核的容器。但 microVM 只是L2 环境隔离层，必须与 L1 最小权限、L3 行为监控、L4 操作审计以及确定性授权校验层配套——纵深防御的精髓是没有任何单一层能保证安全。
常见误解
日常交流中容易听到的简化说法，未必准确，但能帮助理解误解从何而来。
- 「AI 突破了关它的笼子」
- 「Agent 跑出了隔离环境」
相关术语
和本术语关联紧密的其他词条，便于串联理解。
🎯 考点练习
含该术语的高频面试题，含标准答案与追问。
- 高级系统设计查看详解 →
Agent 沙箱安全设计——如何设计一个防逃逸的 AI Agent 执行环境？
AI Agent 拥有工具调用与执行权限，沙箱逃逸是 Agent 安全的最底层威胁。2026 年 SharedRoot 针对 Claude Cowork 协作沙箱的逃逸研究（PoC 待独立核验）揭示了共享根沙箱会放大爆炸半径，而 AI Agent 不尊重字体/素材授权的越权问题暴露了"无恶意越权"的新维度。设计防逃逸执行环境，核心是"假设突破必然发生"的纵深防御：硬件级隔离（microVM）+ 最小权限 + 行为监控 + 确定性授权校验 + 操作审计。本题考察 Agent 安全的系统架构设计能力。
- 高级场景高频查看详解 →
什么是 Prompt Injection？如何防御？
攻击者在输入中嵌入恶意指令劫持模型行为；防御靠输入过滤、权限隔离、输出校验与人机确认。
- 高级概念查看详解 →
同态加密在 AI 推理中的应用场景与工程挑战？
全同态加密（FHE）允许在密文上直接执行计算，使 AI 推理可以在不暴露输入数据的前提下完成。2026 年 Belfort Labs 实现 CIFAR-10 推理 200ms 突破，但 FHE 在大规模模型推理中仍面临 1000x-10000x 计算开销、内存膨胀和硬件适配三大工程挑战。
- 高级概念查看详解 →
解释同态加密（FHE）在 AI 推理中的应用及挑战
FHE 允许在密文上执行任意计算，是隐私保护 AI 推理的终极方案，但面临严重的性能和工程挑战。
延伸阅读
从知识库精选 1 篇文章，帮助深入理解该术语。
外部参考
维基百科：查看「Agent 沙箱逃逸」词条本页内容为本站原创撰写；维基百科链接仅作延伸参考。