已验证65% 置信权衡取舍精确时间

沙箱技术通过操作系统级别隔离机制（如Linux的seccomp、namespace、cgroups或专用虚拟机）限制进程系统调用权限，但其粒度是二元的，难以表达业务级策略

3

来源数

65%

置信度

长期有效

时效性

2026/7/16

首次发现

来源

智能代理：让AI编程助手安全自主运行的关键架构

相关事实

待验证可借助容器沙箱（如Docker的seccomp profile）在操作系统层面限制代理进程的系统调用范围84% 相似待验证沙盒通过操作系统级别的进程隔离、文件系统命名空间和控制组等机制将代码运行的副作用限制在独立容器内83% 相似待验证沙箱技术在实现层面通常依赖操作系统的命名空间隔离、控制组（cgroups）和能力（Capabilities）权限管控机制，Docker容器是其典型工程化体现78% 相似待验证Linux容器本质上是一组被隔离和限制的普通进程，而非虚拟机74% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/532922

API

curl https://kongchang.com/api/v1/knowledge/claims/532922

MCP

get_claim(id=532922)