Plimsoll 发布自托管沙箱，为 AI 智能体生成的代码提供四级隔离

plimsoll 在沙箱内运行不受信任的代码，例如 AI 智能体编写的代码，并且每个结果都会说明该沙箱的强度。请求可以要求最低强度；如果沙箱较弱，则不会运行任何内容。

这个名字来自 Plimsoll 线，即画在船体外侧、任何人都能查看的载重限制线。plimsoll 对隔离层级做了同样的事：一次运行周围墙壁的强度，以四个级别之一表示，从最弱开始：process、container、kernel、vm。该层级是每个结果上的一个值，而不是数据表中的一句话。请求可以设置一个下限，即它愿意接受的最弱层级，而官方 Go 客户端在结果返回时会再次检查该层级。

同一套机制让 plimsoll 不仅能隔离 AI 智能体编写的代码，还能对其运行考试。内置于模拟镜像中的试验运行器会针对该程序无法读取的场景运行智能体的程序：每个场景都通过一个在程序启动前就被删除的文件送达运行器。每次运行都会返回所发送请求和所返回结果的 SHA-256 哈希，官方客户端会重新计算（如何计算）。守护进程之外的一个独立程序 plimsoll-attest 会对已检查的结果进行签名，拒绝缺少一环的调用链，并重放一次运行。考试本身（模拟系统、场景、及格分数）仍由你决定：plimsoll 提供边界和证据。

查看一次真实运行

一个 AI 智能体编写了一个控制器：一个在每个tick（此处为模拟的一个 10 毫秒步长）读取系统状态并决定如何推动它的程序。plimsoll 让它针对一个模拟的倒立摆运行，即一个在轨道上的小车，顶部铰接一根杆，控制器通过左右推动小车使杆保持直立。模拟器被编译为 WebAssembly，一种在宿主程序内运行的可移植字节码，并内置到沙箱镜像中。控制器是调用方通过普通项目 API 发送的唯一文件，它以 container 层级运行。

倒立摆是控制工程中的标准教学问题。运行器是镜像中内置的一个程序，它让控制器针对模拟器运行，记录运行的轨迹，即每个 tick 的每个状态，并将其哈希为一个指纹：一个 SHA-256 哈希，因此相等的指纹意味着相同的数字。将通过的控制器运行两次，两个指纹匹配。智能体的初稿有两个增益（其公式中的乘数）符号错误：它在 5.96 秒时使杆倒下，其指纹也不同。

打开实时运行报告 ↗，在浏览器中重放两次运行，阅读智能体编写的控制器，并查看该页面刻意不声称的内容。该示例的一次执行会进行三次沙箱运行：通过的控制器两次，初稿一次。用 make docker-images && go run ./examples/oracle 复现它们。

它做的两件事

它报告墙壁。每个结果都会说明该运行实际获得的隔离层级。每个请求都可以设置一个下限，而守护进程无法满足其下限的请求会在任何代码运行之前被拒绝：ErrInsufficientIsolation 意味着没有运行任何内容。

res, err := provider.Sandbox.RunJavaScript(ctx, sandbox.Request{
    Code:             "console.log(6 * 7)",
    MinimumIsolation: sandbox.IsolationVM, // ErrInsufficientIsolation means nothing ran
})
// res.Isolation reports the boundary that actually ran.

每一次什么都没运行的拒绝都会被标记为一次拒绝，并附上原因（request、permission、protocol、unsupported、isolation、environment、capacity）。sandbox.NotDispatchedReason(err) 会读取该标记，无论 provider（运行代码的后端）是在你自己的进程中，还是在守护进程之后。没有该标记的错误可能是在代码启动之后才出现的，因此自动重试永远不安全。标记只在一个把客户端请求 ID 带回来的应答上才算数，所以一个把某个请求的应答提供给另一个请求的代理，无法让一个实际运行过的调用被读成“什么都没运行”（返回的内容，以及它的含义）。

该层级是守护进程收集到的证据：它的配置以及它自身的启动检查。它不是 attestation，即来自硬件、证明正在运行什么软件的密码学证明，这里没有任何 provider 提供这种证明。docs/isolation-tiers.md 列出了每个层级所依据的内容。

它让 agent 编写的代码能够调用你的 API，而无需持有你的凭据、你的 API 地址，也无需开放网络访问。一个 grant 授予一次运行调用某个 API 所列路由的权限。代码通过 plimsoll 放入沙箱的一个小型客户端进行调用，而 broker——plimsoll 位于沙箱之外、发起真实调用的部分——会检查调用方和确切的路由，然后自行附加凭据。凭据是按每次运行 minted 的：plimsoll 每次运行只请求一次，因此它可以是一个全新的短期令牌，并且它永远不会进入沙箱。绕过客户端手动向外调用的代码无法更进一步，因为执行规则的是 broker，而不是客户端。参见 docs/capability-grants.md。

从 agent 框架中使用它

这些 agent 框架可以通过它们自己的工具或代码执行器，把其模型的代码交给 plimsoll（Trigger.dev 就是其中之一，它是一个托管的 TypeScript 作业运行器）。每一行都列出了要安装什么、指南，以及一个页面，该页面回放从该框架的工具到沙箱再返回的已记录调用，包括拒绝。

给 Trigger.dev agent 一个代码工具

TypeScript 插件为 Trigger.dev 上的聊天代理提供了一个 executeCode 工具。在带有 session 的守护进程上，一个沙箱会为多次调用保留， 每次调用是一个 cell，代码在解释器内运行，并为该对话保留： 变量和文件可以存活到下一次调用。每个工具结果都会说明它们 能否存活、本次调用是否全新开始、它运行在哪个隔离层级之后， 以及 run record 的 SHA-256，这是一份关于发送和返回内容的回执， 客户端在返回前已核对过。调用方设置最低层级，因此较弱的提供方会在运行代码前拒绝。

查看功能与部署指南了解确切的 保证和生产环境底线。 可部署的 Trigger.dev 起始项目 包含一个聊天代理和一个任务，该任务通过真实守护进程证明两个 cell 共享同一个解释器， 且不进行 AI 模型调用。

一分钟内运行点东西

该示例不需要守护进程、不需要 docker、不需要凭据，也不需要网络：它使用 wasm 提供方，该提供方在你自己的进程内，在 QuickJS（一个编译为 WebAssembly 的小型 JavaScript 引擎）上运行 JavaScript。克隆和获取 Go 模块确实会使用 网络。

git clone https://github.com/plimsollmark/plimsoll && cd plimsoll
go run ./examples/minimal

provider   wasm
isolation  process
exit code  0
timed out  false
truncated  stdout=false stderr=false
duration   304ms
stdout     {"Engineering":59000000,"Sales":20300000,"Operations":9800000}

isolation 这一行来自运行结果，而不是示例自身的文本。 process 意味着完全没有操作系统隔离墙：不要将其用于恶意 代码。 安装 gVisor 后，同一段代码会在 kernel 层级运行。 gVisor 是容器与你机器内核之间的一层，它处理 容器对操作系统本身的请求，因此代码永远不会直接与你的 内核通信。sudo ./docker/install-gvisor.sh 会安装一个 固定版本的 gVisor 发布版（一个确切版本，只能通过编辑此仓库来更改），并将其 运行时 runsc 注册到 docker。程序的其他部分没有任何变化：

make docker-images   # builds the project image (plimsoll/sandbox) the docker provider checks for
SANDBOX_PROVIDER=docker SANDBOX_DOCKER_RUNTIME=runsc go run ./examples/minimal

在未设置 SANDBOX_PROVIDER 的情况下，plimsoll 使用 Disabled 提供方，它不运行任何内容，因此 代码执行绝不会意外开启。

下一步： docs/getting-started.md 会在同一台机器上 走一遍相同的部分：启动守护进程、创建调用方凭据、编写你自己的客户端、观察 某个层级拒绝一次运行，然后将守护进程从 process 移到 kernel，而无需更改 客户端。它还涵盖了嵌入 Go 包而不是运行守护进程。

各部分的位置

flowchart LR
  A["Agent or MCP gateway (MCP: how an AI app offers tools to a model)"] -->|"Run: one payload, a protocol number, minimum_isolation"| AU

  subgraph D["plimsolld"]
    AU["authenticate the caller"] --> FL["compare the floor with current provider evidence"]
    FL --> DI["dispatch"]
    BR["broker: holds the minted credential, matches the exact route, counts every call"]
  end

  DI --> W["wasm: QuickJS on wazero (process tier)"]
  DI --> K["docker with runsc (kernel tier)"]
  DI --> V["e2b Firecracker (VM tier)"]

  W -. "host.get / host.post" .-> BR
  K -. "per-run Unix socket" .-> BR
  V -. "authenticated guard" .-> BR
  BR ==> |"your credential, attached host-side"| API["Your API"]

加载中

沙箱内的代码，即 guest，从不持有凭据，也从不 直接访问网络。没有授权的运行完全没有网络。

隔离层级

plimsolld 是 plimsoll 服务器。每个服务器只运行一个提供方，由 SANDBOX_PROVIDER 选择：

每个层级都依赖于守护进程的配置、提供商所报告的内容以及启动时的一次真实测试运行；这些都不是证明。docs/isolation-tiers.md 列出了每个层级的证据，并展示了请求如何设置其下限。会话用每次调用的全新沙箱换取速度和保留状态：较早调用运行的代码可以改变后续调用所见的内容，而具有 API 访问权限的调用需要允许会话的授权（docs/sessions.md）。一个会话就是一个信任域，plimsoll 将其绑定到经过身份验证的调用者，而不是该调用者的客户：一个通过单一凭证运行许多客户代码的服务必须将每个客户保留在各自的会话中（谁可以共享会话）。docker 提供商还可以应用随附的 seccomp 配置文件，这是一个列表，列出了其容器可以进行的唯一 系统调用（对内核的请求，例如打开文件）（docs/seccomp.md）。

更多真实运行

状态，直说

• Pre-1.0，单一作者，尚无外部用户。破坏性变更在没有弃用路径的情况下落地，这是有意为之。
• 从未进行过第三方安全审计，作者自己的自审账本也未发布。SECURITY.md 说明了存在什么、它值多少，以及你可以自己检查什么。
• CI 在公开环境中运行门禁，每项检查都名副其实。 audit workflow 包含三个 job。audit 在每次推送到 main 以及每个 pull request 时运行普通的 make audit：build、vet、race tests、lint、buf lint、生成代码漂移检查，以及 govulncheck。在 audit 之后，clients 运行 make clients-suite：在 clients/typescript 和 examples/trigger-chat 中运行 npm ci，然后以 required 模式运行 Python 和 TypeScript Go 测试包。缺少运行时、依赖或被跳过的 Go 测试都会使该 job 失败。audit-docker 也会跟随 audit，并在镜像已准备好的情况下以 required 模式运行 make docker-suite：缺少守护进程、缺少镜像或被跳过的测试都会使该 job 失败。因此，绿色的 audit-docker 意味着 docker 套件在 runc 下使用随附的 seccomp 配置文件运行，并证明了只读根目录、大小合适的 noexec 可写挂载，以及 broker 的拒绝行为。gvisor workflow 在 runsc（内核层级）下运行同一套件，使用固定版本的安装器。race detector 在普通 audit job 和两个 docker-suite job 中运行；client job 不运行它。没有任何检查会触发 E2B 或 Docker Cloud Sandboxes：这些套件驱动的是实时付费服务，因此被刻意从不接入 runner。参见 CONTRIBUTING.md。

了解其工作原理

如果你更愿意阅读而不是克隆代码，交互式课程是最快的入门方式。先看 Plain English 了解 API 背后的理念，或者看 Quick start 来实际运行一些东西。这些文档使用的每个术语都在 glossary 中有一句话定义。课程位于 docs/trainers/，可离线使用：在浏览器中打开克隆仓库里的任意文件即可。GitHub 会将 .html 文件显示为源代码而不是渲染它们，这就是上面的链接指向已发布副本的原因。

文档

以下每一项都端到端地回答一个问题。

License

Apache-2.0。