gVisor
Google于2018年开源的用户空间内核沙箱技术，通过Sentry组件在用户空间实现内核系统调用，将攻击面从数百万行内核代码压缩到可控代码库，Google Cloud Run等服务采用其作为安全隔离方案
核心事实
时间轴 (近 90 天)
谷歌ACE的公开技术细节有限，microVM具体实现（是否基于Firecracker、gVisor等）、凭证注入机制、网络策略默认配置和定价模型均未完整披露。
gVisor 等方案通过拦截系统调用，在容器与内核之间增加一层用户态内核以提升安全性。
gVisor 使用用户态应用内核处理系统调用，减少对宿主内核的直接暴露，但存在系统调用兼容性和工作负载性能的取舍。
验证流水线包含三个关键步骤：依赖锁定、沙箱执行（微VM如Firecracker或gVisor）、语义差分。
成熟的沙箱实现通常采用多层防御——容器化运行、只读文件系统、丢弃不必要的Linux capabilities、限制出站网络——并结合gVisor、Firecracker等轻量虚拟化技术增强隔离强度。
RayTrace 将 AI 编程代理放入 gVisor 支持的沙箱中运行，并从内核层面采集执行证据。
内核层证据来自代理进程之外、之下的一层，agent 无法直接篡改，因此比应用层日志更可信。
gVisor 相比普通容器（共享宿主内核）具有更小的隔离面和更高的逃逸难度，但部分依赖特殊 syscall 的程序（如某些 GPU、嵌套虚拟化场景）可能无法运行，I/O 密集负载也有可观开销。
主流 AI Agent 工具采用最小权限原则，让用户划定特定文件夹作为工作区，Agent 只能在沙盒内活动。
运行时沙箱通过gVisor、Kata Containers、Firecracker microVM等技术，将Agent执行的代码限制在隔离环境中，即使被提示注入攻击利用，也难以横向移动或窃取宿主机数据。
还有 24 条时间轴事件
全部知识事实 (20)
gVisor是Google开发的应用内核，拦截所有系统调用并在用户态模拟执行
80%已验证gVisor 是 Google 开源的用户空间内核，通过在容器与宿主机内核之间插入沙箱层，提供比标准 Docker 容器更强的安全隔离
80%已验证沙盒环境通常基于容器技术（如Docker）或操作系统级隔离（如Linux namespaces、seccomp过滤器）实现
75%已验证gVisor 是 Google 开源的应用内核级隔离技术
65%待验证云计算沙箱实现技术构成从轻量到重量的谱系：容器提供进程级隔离，微虚拟机（AWS Firecracker、Google gVisor）提供接近虚拟机的安全性，WebAssembly 运行时在语言级别实现内存安全
70%待验证智能体工作负载隔离的技术路径包括容器化（如 Docker）、轻量级虚拟机（如 Firecracker microVM、gVisor）和沙箱技术（如 seccomp、AppArmor）
70%待验证允许智能体自主执行任意代码必须配合严格的沙箱隔离机制，通常采用Docker或gVisor等容器化技术隔离执行环境
70%待验证gVisor在用户空间实现了一个完整的Linux内核接口（称为Sentry），使容器内的系统调用不会直接触达宿主内核
60%待验证谷歌ACE的公开技术细节有限，microVM具体实现（是否基于Firecracker、gVisor等）、凭证注入机制、网络策略默认配置和定价模型均未完整披露。
50%待验证gVisor 等方案通过拦截系统调用，在容器与内核之间增加一层用户态内核以提升安全性。
50%待验证gVisor 使用用户态应用内核处理系统调用，减少对宿主内核的直接暴露，但存在系统调用兼容性和工作负载性能的取舍。
50%待验证验证流水线包含三个关键步骤：依赖锁定、沙箱执行（微VM如Firecracker或gVisor）、语义差分。
50%待验证成熟的沙箱实现通常采用多层防御——容器化运行、只读文件系统、丢弃不必要的Linux capabilities、限制出站网络——并结合gVisor、Firecracker等轻量虚拟化技术增强隔离强度。
50%待验证RayTrace 将 AI 编程代理放入 gVisor 支持的沙箱中运行，并从内核层面采集执行证据。
50%待验证内核层证据来自代理进程之外、之下的一层，agent 无法直接篡改，因此比应用层日志更可信。
50%待验证gVisor 相比普通容器（共享宿主内核）具有更小的隔离面和更高的逃逸难度，但部分依赖特殊 syscall 的程序（如某些 GPU、嵌套虚拟化场景）可能无法运行，I/O 密集负载也有可观开销。
50%待验证主流 AI Agent 工具采用最小权限原则，让用户划定特定文件夹作为工作区，Agent 只能在沙盒内活动。
50%待验证运行时沙箱通过gVisor、Kata Containers、Firecracker microVM等技术，将Agent执行的代码限制在隔离环境中，即使被提示注入攻击利用，也难以横向移动或窃取宿主机数据。
50%待验证在 Linux 及其他平台上，Gemini CLI 沙箱依次尝试 Docker、Podman；runsc（gVisor）、lxc、windows-native 仅能显式指定。
50%待验证gVisor 是 Google 开源的用户态内核沙箱，通过拦截系统调用实现隔离，以安全性见长但存在一定性能损耗
50%