microsandbox

收录理由

如果需要在本地运行不完全可信的代码，比如 AI 代理生成的脚本或用户的 Notebook，microsandbox 会把每个任务放进独立的微虚拟机里，配上专用的 Linux 内核，即使负载本身出了问题，宿主系统也始终不会被波及。它启动时间不到 100 毫秒，而且可以作为嵌入式库直接调用，用 Rust、Python、TypeScript 或 Go 就能在代码里拉起沙箱，不需要额外启动守护进程或单独的服务。操作方式接近 Docker，直接指向标准 OCI 镜像，复用已有的命令、Shell 和卷挂载，不用重写现有流程。因为密钥永远不会进入虚拟机，网络控制也留在宿主机侧，这套方案在代理工具调用、临时 CI 任务和爬虫自动化等对隔离要求较高的场景里都站得住脚。