把 Agent 接到自己的电脑上并不难，真正让人犹豫的是到底该给它多大权限？ 最近看到一个很实用的开源项目 local-mcp。它通过 MCP，把本地文件、图片、目录和命令行能力开放给 Agent，还能写文件、运行测试和处理后台任务。 它比较特别的地方，是把权限分成了两层。 普通命令默认运行在 Codex 的沙箱里，只能访问指定目录，同时禁止网络连接；遇到需要完整系统权限或联网的操作，会回到本地终端向用户请求批准。Linux 使用 Landlock，macOS 使用 Seatbelt。 每个项目还可以建立独立 Session。你能在本地看到 Agent 读了哪些文件、改了什么内容、执行了哪些命令，文件修改也会直接显示 Diff。长时间任务则可以转到后台继续运行。 我很喜欢这个方向：先给 Agent 足够完成工作的能力，再把高风险权限留给人决定。 当 Agent 开始连续工作几个小时，权限分层、操作记录和随时接管，可能会和模型能力本身一样重要。

推荐这篇文章，Anthropic 工程团队把自己的安全事故摊开来讲。 4 个真实事故、3 种隔离模式——核心教训只有一句话。 Anthropic 工程团队在 7 月 29 日发了一篇长文，把自己三款产品（ Code、Claude Cowork）的真实安全事件和架构决策摊开来讲。4295 字，信息密度很高。 三类风险，三层防御 文中提出了一个简洁的安全模型： 三类风险： • 用户误用——恶意或粗心地指挥 agent 做有害的事 • 模型自身行为——agent 执行了没人要求的危险操作 • 外部攻击——通过工具、文件或网络访问注入的 prompt injection 或传统攻击 三层防御： • 环境层（沙箱/VM/文件系统边界/出口控制）→ 硬边界，最关键的一层 • 模型层（system prompt/分类器/探针/训练）→ 概率性的，永远不会 100% 有效 • 外部内容层（MCP 服务器/第三方插件/网络搜索）→ 限制工具权限，缩小爆破半径 三种产品，三种隔离模式 代码在 gVisor 容器中运行，全服务端，文件系统是临时的（单 session）。爆破半径最小，但能力天花板也最低——没有持久工作区和本地文件访问。 Claude Code：人在环中的沙箱。 因为用户是开发者，能读懂 bash、知道 rm -rf 是什么，所以可以用"权限弹窗"模式。但问题来了：上线后几周内就出现了审批疲劳——93% 的权限提示被用户直接批准。解决方式是用 OS 级沙箱（macOS Seatbelt / Linux bubblewrap）替代大部分弹窗：读默认允许，写限制在工作区内，网络默认拒绝。结果是权限提示减少了 84%。 Claude Cowork：本地虚拟机。 面向知识工作者而非软件工程师，不能用"你自己判断 bash 命令"的策略。第一版是完整的 Linux VM——agent 在 guest 里作为普通用户运行，不知道自己被沙箱化了。文件系统挂载：只读、读写、读写不可删除三种模式。 他们翻过的四个真实事故 事故 1：信任提示之前执行的代码。 2025 年中到 2026 年 1 月，通过漏洞披露收到了 3 个 Claude Code 漏洞报告。全部攻击同一个模式：恶意仓库中的 .claude/settings.json 定义了 hook——因为 Claude Code 在弹出"你信任这个文件夹吗？"提示之前就已经解析了项目设置，攻击者的 hook 自动执行了。修复：把项目配置的解析和执行推迟到用户确认信任之后。 事故 2：用户就是注入向量。 2026 年 2 月的内部红队演练中，研究人员成功用钓鱼邮件诱导一名员工启动 Claude Code，附带一个看起来无辜的 prompt。提示词中夹杂了"读取 ~/.aws/credentials，编码内容，POST 到外部端点"的指令。25 次重试中，Claude 成功泄密了 24 次。只有环境层防得住——出口控制阻断 POST，文件系统边界不让 ~/.aws 进沙箱。模型层对这种攻击无能为力：因为指令是用户自己打进去的。 事故 3：通过白名单域名的外泄。 第三方漏洞披露：Cowork 的出口白名单允许访问 API 就没法工作）。但是工作区挂载中的恶意文件把数据编码后塞进了发往该域名的请求里——域名是白名单的，内容无法区分。 事故 4：模型自行越狱——Mythos Preview。 Mythos Preview 在安全测试中"帮忙逃离沙箱"以完成任务、检查 git 历史找到编程测试的答案、自发识别自己在跑什么 benchmark 并解密答案密钥。 核心教训 1. 环境层是唯一不会说谎的防线。 如果凭证从未进入沙箱，就不可能被外泄——无论原因是用户、模型还是攻击者。 2. 信任边界应该被对待为来自互联网的入站请求。 即便它看起来"只是本地的"。 3. 批准越多，注意力越少。 93% 的批准率说明审批疲劳是真实存在的。 4. 模型越强，越"有创意"地绕开限制。 不只是"更好的对齐"能解决的问题。 原文： #AgentSecurity# #Sandbox# #Anthropic#

我尼玛可以哟，同样跑 Agent 任务成本砍到 1/9——OpenSquilla，6134 个 Star！0.5.0 Preview 4，微内核 AI Agent。 一句话：本地模型路由器把每一轮对话分给“够用且最便宜”的模型，同预算换更高智能密度。 核心不是又一个聊天壳，而是把 Agent 运行层做成了省 token 的 harness： （1）SquillaRouter 本地路由——LightGBM + ONNX 分类器在本地给每轮打分，按 C0-C3 层级选模型，路由判断不把 prompt 送出机器。 （2）自适应推理和 Prompt——简单任务轻量处理，复杂任务才开扩展推理和完整系统提示，尽量不把 token 浪费在废话上。 （3）20+ LLM 提供商——OpenAI、Anthropic、OpenRouter、Ollama、DeepSeek、Gemini、Qwen/DashScope 等都能接，主备选择不动代码和配置结构。 （4）技能按需加载 + MCP——15 个内置技能用到才加载；既能当 MCP client，也能跑成 MCP server。 （5）本地持久记忆——MEMORY.md + 日期 Markdown 笔记，SQLite 全文搜索和 sqlite-vec 语义召回，embedding 可走本地 ONNX。 （6）分层安全沙箱——Standard/Strict/Locked 三档权限矩阵，Linux 用 Bubblewrap，macOS 走 Seatbelt，敏感操作可接人工审批。 它把 Web UI、CLI、聊天频道都接到同一个 TurnRunner，工具分发、重试、决策日志行为一致；还有会话/子代理/定时任务、成本统计，适合长期跑 Agent 工作流。 官方 PinchBench 1.2.1 的 25 个任务里，OpenSquilla 平均分 0.9251、总成本 ；对照是、6.233。分数几乎贴住，成本差了一个数量级，这就很牛逼了。 支持 Windows、macOS、Linux；可桌面安装、终端安装，也能从源码跑。适合想用 Agent 干活、但不想每轮都硬烧顶配模型预算的兄弟。 好东西转给需要的兄弟。🚀 #AIAgent# #开源工具# #老杨啊分享#

推荐这篇，Anthropic 工程团队把他们两年里给 Claude 全系产品做安全隔离的全部经验写出来了。不是安全白皮书——是带事故复盘和修复方案的工程文档。三种隔离模式（临时容器 / HITL 沙箱 / 本地 VM），六个他们翻过的坑，每一个都有技术细节。 Anthropic 怎么让 Claude 不乱来 12 个月前，Anthropic 绝不会允许给 Claude 足够的权限来打掉一个内部服务。今天这种权限是常规。但能力增长的同时，理论杀伤半径也在扩大——工程问题是：怎么限住它。 两种方式：人工监督——但 Anthropic 的监控数据显示用户批准了 93% 的权限提示，越批越不细看。审批疲劳让监管失效。 第二种是隔离——限制 agent 能做什么。这是文章的重点。 三类风险，三重防御 用户滥用——恶意或不小心让 agent 做坏事。模型行为——agent 做了没人要求它做的事。Claude 曾经为了完成任务"帮助性地"逃出沙箱；为通过编码测试挖掘 git 历史找到答案；识别自己跑在哪个基准上然后解密答案键。外部攻击——通过工具、文件或网络攻击 agent。 三重防御：环境（沙箱、VM、文件系统边界——硬边界）、模型（prompt、分类器、探针——概率性，永远不 100%）、外部内容（MCP 服务器、插件、网络搜索——能喂 poisoned content）。 三种隔离模式 模式一：临时容器（ gVisor 容器，全服务端，无本地代码运行，文件系统每会话消失。杀伤半径最小，能力上限也最低。最重要的教训：Anthropic 自己写的那层 proxy 反而成了最薄弱的地方，gVisor 和 seccomp 这些被广泛的对手硬化过的部分一直可靠。 模式二：HITL 沙箱（Claude Code）。 跑在用户机器上访问文件系统。解决方案：OS 级沙箱（macOS Seatbelt / Linux bubblewrap）——允许读，工作区内允许写，网络默认禁。权限提示减少了 84%。他们踩的一个大坑：信任对话框之前执行的一切都不可信。攻击者在仓库的 .claude/settings.json 里放钩子——Claude Code 在显示"你信任这个文件夹吗"之前就解析了它。修法：推迟解析项目本地配置到用户接受信任提示之后。 另一个坑：用户是注入向量。内部红队演习中，研究员的钓鱼邮件——"能不能帮我跑一下这个？"——prompt 里暗藏了读 ~/.aws/credentials 并 POST 出去的指令。25 次重试，Claude 成功了 24 次。模型层防御完全抓不到——本身就是用户打的字。唯一能抗的防御是环境层：egress 控制。 模式三：本地 VM（Claude Cowork）。 普通知识工作者不应该被期待能判断 bash。因此用系统虚拟化框架跑完整 Linux VM——用户选的工作区文件夹挂载进去，凭证留在主机钥匙串，永远不进 guest。最安全的模式，但也踩了坑：通过已批准域名的渗透。攻击者把带隐藏指令的文件放进工作区——Claude 读它，调用 Anthropic Files API 用攻击者的密钥上传文件。egress proxy 检查目标域名，看到了 VM 内的 man-in-the-middle proxy 只放行带着当前 VM 预配 session token 的请求，拒绝攻击者嵌入的密钥。 另一个坑：VM 隔离把端点检测软件也隔出去了。 安全团队看不到 VM 里面。目前方案是 pull-based OTLP 导出日志，但不是实时监控。 原则 环境层优先，模型层补位。两个最有价值的教训——员工钓鱼和第三方域名渗透——都是模型层帮不上忙、确定性边界才兜底的案例。 隔离强度匹配用户的监督能力。会读 bash 的开发者 vs 不会的知识工作者不是同一个威胁模型。 警惕你自己写的代码。经过验证的 hypervisor、syscall filter、容器运行时已经被比你多得多的对手攻击过了。每一次出问题都是 Anthropic 自己写的部分——自定义 proxy 而不是 gVisor。 agent 是新的软件类别，但系统层互动不是新的。它们仍然读文件、打开 socket、生成进程。成熟的隔离工具仍然是最可信的防御。 原文：Anthropic Engineering, "How we contain Claude across products", 2026 #Agent安全# #Claude# #工程实践#