Pi 与沙箱

Wed, 15 Jul 2026 12:00:00 +0800

为什么只靠正则拦截命令不够

在之前介绍 pi 的扩展系统时，我展示了一个 permission-gate.ts 的例子，用正则表达式拦截危险命令：

// permission-gate 的思路：正则匹配，匹配到就弹窗确认
const rules = [
  { pattern: /\bfind\s+\/(?![a-zA-Z0-9_./])/i, label: "find-root" },
];

这种基于模式匹配的"权限门"看似有用，但在现代大模型面前形同虚设。一个足够聪明的 LLM 可以轻松绕过

# 绕过正则的方式：
find . -path '*'              # 等价 find /
x="f"; y="ind"; $x$y /        # 变量拼接绕过
exec 3<>/dev/tcp; ...          # 使用完全不同的原语
python -c "import os; ..."     # 用解释器写文件

Claude Code 和 Codex 等主流 agent 的做法是：在权限规则之外，再加一层操作系统层面的沙箱隔离。权限规则控制"能不能执行"，沙箱控制"执行后能碰什么"两者互补。一旦沙箱生效，不管 LLM 想出多诡异的命令，它也破坏不了沙箱允许范围之外的东西。

沙箱做什么

讲沙箱之前，先从最熟悉的 Docker 开始。

从 Docker 到沙箱

Docker 大家应该都用过docker run 起一个容器，里面有独立的文件系统，端口要显式映射才能访问。这其实就是一个比较重的沙箱实现。

但当前主流的 agent 的沙箱一般不用 Docker。原因是 agent 要把你的项目目录挂进去让 LLM 改代码，还要实时拿到 stdout/stderr 反馈给 LLM，每次跑一条命令就起一个容器实在太慢了。

Sandbox on yzchen.space

Pi 与沙箱

为什么只靠正则拦截命令不够

沙箱做什么

从 Docker 到沙箱