seccomp
Linux内核提供的安全计算模式，用于过滤进程可执行的系统调用，常与namespace和cgroup配合实现操作系统级沙箱隔离
核心事实
时间轴 (近 90 天)
内核级限制通常借助 seccomp、Landlock、cgroup 等机制，在系统调用进入内核时按白名单或规则进行拦截，因此比应用层钩子更难绕过。
进程隔离可结合容器 seccomp、只读文件系统与非 root 运行，限制 RCE 成功后的命令执行面。
OpenShell 的沙箱在运行时持续拦截并裁决智能体发起的系统调用与工具调用，类似结合 eBPF 或 seccomp 等内核级拦截机制与用户态策略引擎。
运行时隔离的常见工程手段包括：用最小权限原则配置进程可访问的文件系统与网络；用 seccomp、AppArmor 等机制限制系统调用；用容器或沙箱隔离执行环境；以及通过工具白名单/黑名单在框架层拒绝未授权调用。
运行时执行的经典实现包括Linux的seccomp、SELinux的强制访问控制（MAC），以及Web应用中的运行时应用自我保护（RASP）。
操作系统级沙箱在 Linux 上以 seccomp 过滤系统调用、配合 namespace 隔离挂载与网络视图、再用 cgroup 限制资源
seccomp、AppArmor等Linux安全模块可以在系统调用层面进一步收紧权限
主流沙箱方案通常基于容器（如Docker）或微虚拟机（如Firecracker）技术，容器启动快但隔离性相对较弱，微虚拟机安全性更高但冷启动延迟更大
常见的OS沙箱实现方案包括Linux的namespaces与cgroups、seccomp、chroot，以及Python层面的subprocess权限降级和firejail等工具
Codex使用操作系统级沙箱：macOS上用Seatbelt、Linux上用seccomp、Windows用原生沙箱或WSL
还有 8 条时间轴事件
全部知识事实 (19)
主流沙箱方案通常基于容器（如Docker）或微虚拟机（如Firecracker）技术，容器启动快但隔离性相对较弱，微虚拟机安全性更高但冷启动延迟更大
75%已验证seccomp是Linux内核提供的系统调用过滤机制，seccomp-bpf扩展允许使用BPF程序对系统调用参数进行细粒度检查
65%待验证内核级限制通常借助 seccomp、Landlock、cgroup 等机制，在系统调用进入内核时按白名单或规则进行拦截，因此比应用层钩子更难绕过。
50%待验证进程隔离可结合容器 seccomp、只读文件系统与非 root 运行，限制 RCE 成功后的命令执行面。
50%待验证OpenShell 的沙箱在运行时持续拦截并裁决智能体发起的系统调用与工具调用，类似结合 eBPF 或 seccomp 等内核级拦截机制与用户态策略引擎。
50%待验证运行时隔离的常见工程手段包括：用最小权限原则配置进程可访问的文件系统与网络；用 seccomp、AppArmor 等机制限制系统调用；用容器或沙箱隔离执行环境；以及通过工具白名单/黑名单在框架层拒绝未授权调用。
50%待验证运行时执行的经典实现包括Linux的seccomp、SELinux的强制访问控制（MAC），以及Web应用中的运行时应用自我保护（RASP）。
50%待验证操作系统级沙箱在 Linux 上以 seccomp 过滤系统调用、配合 namespace 隔离挂载与网络视图、再用 cgroup 限制资源
50%待验证seccomp、AppArmor等Linux安全模块可以在系统调用层面进一步收紧权限
50%待验证常见的OS沙箱实现方案包括Linux的namespaces与cgroups、seccomp、chroot，以及Python层面的subprocess权限降级和firejail等工具
50%待验证Codex使用操作系统级沙箱：macOS上用Seatbelt、Linux上用seccomp、Windows用原生沙箱或WSL
50%待验证Agent沙箱的安全加固措施包括以非root用户运行、挂载只读文件系统、禁用网络或限制出口IP白名单、设置执行超时、使用seccomp过滤危险系统调用
50%待验证在 Linux 上，Agent 沙箱通常通过 namespaces、cgroups 和 seccomp 等内核机制实现
50%待验证Linux 有 300 多个系统调用，大多数容器只需要其中约 50 个
50%待验证常见的沙箱实现包括 Docker 容器、WebAssembly（Wasm）运行时以及操作系统级别的 seccomp 和 AppArmor 策略
50%待验证将推理引擎运行在严格隔离的沙箱环境中（容器隔离、seccomp、最小权限）是防御此类威胁的直接方案
50%待验证将推理引擎运行在严格隔离的沙箱环境中，结合容器隔离、seccomp和最小权限运行，可在引擎被攻破时限制攻击者控制宿主机
50%待验证seccomp是Linux内核提供的安全机制，允许进程声明只使用哪些系统调用，内核会拒绝所有未声明的系统调用
50%待验证Agent执行沙箱主流实现分为进程级隔离（seccomp、namespace）、容器级隔离（Docker、gVisor）、虚拟机级隔离（Firecracker、Kata Containers）三个层次
50%