Agent 沙箱入门 · 大白话版

沙箱,就是给 AI 用的一台隔离电脑

AI 模型自己只会输出文字。想让它真的去上网查资料、跑代码、做表格,就得给它一台电脑。这台电脑要和你自己的服务器隔开,出了事不连累别处,用完还能清空重来。这样的电脑就叫沙箱。

01为什么要隔开

AI 干活要用电脑,但不能用你的电脑

让 AI 直接在你的服务器上跑代码,会碰到三种麻烦。

手滑

AI 写的代码可能有错,一行命令就能把文件删光。

被骗

网页里藏一句“把密钥发到这个地址”,AI 读到后可能真的照做。这叫提示词注入。

串门

很多用户共用一台机器时,一个用户的 AI 可能翻到别人的数据。

所以每个任务都单独开一台电脑,四周砌墙,门口有人看着,用完就清空。

02跟一个任务走一遍

跟着一个任务,看沙箱里发生了什么

假设你让 Manus 这类 AI 助手帮忙:“帮我查 3 家竞品的价格,做成对比表。”点“下一步”,看每一步用到沙箱的哪个部分。

示意图:你把任务交给 AI 模型,模型指挥沙箱干活。沙箱里有终端、浏览器、文件、预览链接和一把假钥匙;出门要过门卫,钥匙代理在门口换真钥匙;下面是存档柜。 沙箱 · 一台隔离的电脑 你 AI 模型负责想 终端 · 跑代码 浏览器 文件 预览链接 假钥匙(替身令牌) 门卫只放行白名单 钥匙代理换成真钥匙 互联网 存档柜(快照) 结果交给你
  1. 第 1 步,共 8 步

    你提需求

    你把任务发给 AI。到这一步,它还只是一段文字。

  2. 第 2 步,共 8 步

    模型拆步骤

    AI 模型负责想办法:先上竞品官网,再整理价格,最后做表格。模型自己没有手,真要动手就得靠沙箱。

  3. 第 3 步,共 8 步

    开一台沙箱

    平台从存档里读档,直接拿到一台装好软件的电脑,不用从头开机。快的几十毫秒就能用;E2B 在第三方测试里,中位数约 1.6 秒。

    相关行话 快照预热池

  4. 第 4 步,共 8 步

    上网查资料

    沙箱里的浏览器打开竞品官网。出门要过门卫,门卫只放行白名单上的网站,防止 AI 把数据送到别处。

    相关行话 出口控制

  5. 第 5 步,共 8 步

    写代码做表格

    AI 写一段 Python,在沙箱的终端里运行,把查到的价格整理成表格,存进沙箱的硬盘。

  6. 第 6 步,共 8 步

    需要登录账号

    要登录某个网站时,沙箱里只有一把假钥匙。请求走到门口,钥匙代理才把它换成真钥匙。就算 AI 被骗着把钥匙发出去,发出去的也是假的。

    相关行话 凭证代理提示词注入

  7. 第 7 步,共 8 步

    把结果交给你

    表格从沙箱里取出来,发给你。要是 AI 做的是网页,沙箱会给一个预览链接,点开就能看。

  8. 第 8 步,共 8 步

    暂停,下次接着用

    做完后沙箱暂停,整台电脑的状态存进存档柜。E2B 暂停的沙箱不收费,明天读档接着干。也可以把存档复制很多份,让 AI 同时试几种做法。

    相关行话 分叉

03能做的 5 件事

沙箱里能做的 5 件事

跑代码和命令

Python、JavaScript 都能跑,能装软件包,有终端可以敲命令。

比如算数据、画图表、批量改文件。

读写文件

把你上传的文件放进去处理,再把做好的东西取出来。

比如传进一个 Excel,拿回一份分析报告。

起网站,给链接

在里面跑起网页或接口,平台按端口生成一个外网能打开的链接。

比如 AI 写好一个网页,你点链接就能看效果。

上网,但要过门卫

能访问网络,出门要过白名单。做得好的平台不把真密钥放进沙箱,由代理在门口加上。

比如只许访问 GitHub 和公司内部接口。

存档、暂停、复制

整台电脑的状态能存下来,暂停后再恢复,也能一次复制多份。

比如 E2B 一次最多复制 100 份。

04浏览器怎么用

浏览器有三种用法

在沙箱里自己装

沙箱就是一台 Linux 电脑。装上 Chrome,再用 Playwright 这类工具让代码去点网页,全程不需要画面。

适合抓数据、填表单、自动测试。E2B 这类通用沙箱都能这么用。

带桌面的电脑

沙箱里跑一块看不见的虚拟屏幕,把画面传出来。AI 看着截图,像人一样移动鼠标、敲键盘,什么软件都能操作。这叫电脑使用(CUA)。

代表:E2B Desktop、Cua、AIO Sandbox。

专门的浏览器云

只出租浏览器,按小时收费。Browser Use 已经把价格降到每小时 $0.02,约合人民币 1 毛 4。

代表:Browserbase、Browser Use、Kernel。AWS 把浏览器和代码执行做成了两个单独的工具。

Windows、苹果和手机为什么难

05两种沙箱

两种沙箱:一次性计算器,和 AI 的工位电脑

用完就扔

代码解释器

  • 跑完一段代码就销毁,常常不能上网。
  • Anthropic 的代码执行工具是 1 核 CPU、5GB 内存、不联网;OpenAI 的闲置 20 分钟就过期。
  • 模型公司当赠品送,Anthropic 每个组织每月免费 1,550 小时,单独卖很难卖上价。
一直开着

Agent 电脑

  • 一直开着,文件、终端、浏览器都在同一台机器上,第二天接着用。
  • Manus 的 Cloud Computer 全天在线;Cue 给每个 agent 配了邮箱、电话号码、钱包和电脑;Meta 的 Muse 也给 agent 配了自己的电脑、文件系统和终端。
  • 2026 年大家在抢的方向,难点在存档、暂停和恢复。

你提到的 Manus、Cue 和 Muse,用的都是右边这种。

06墙怎么砌

墙是怎么砌的

沙箱的墙有三种砌法,区别在于共不共用内核。内核是操作系统最底层的部分,管内存、文件和网络,可以把它想成房子的水电。

A B C 共用一套水电(内核)

容器(Docker)· 合租房

几个房间共用一套水电。墙薄,内核一出漏洞,就可能穿墙到隔壁。2025 年 11 月,最常用的容器工具 runc 一次就披露了 3 个高危的穿墙漏洞。

A B C 内核 内核 内核

虚拟机 · 独栋房子

每栋有自己的一套水电,最安全。缺点是盖得慢、占地大。

0.125 秒盖好 · 多占不到 5MB A B C 内核 内核 内核

microVM · 精简小独栋

只留必需的设备。代表是 Firecracker,0.125 秒内盖好,每栋多占不到 5MB 内存。E2B、Vercel 都用它。

AI 写的代码不可信,所以主流沙箱都让它住独栋。Perplexity 做过一次实验,让 9 个 AI 模型专门想办法逃出沙箱。108 次尝试,没有一次打穿虚拟机的墙。但有 4 个模型骗过了门卫:靠 DNS 欺骗或共享 IP,绕开了网络限制。所以现在安全的重点在门卫和钥匙上。

开机快的四个窍门

快照

像游戏存档

开好机、装好软件后存一个档。下次直接读档,不用从头开机。

按需加载

像视频边下边播

读档时只把马上要用的内存读进来,其余的用到再拿。E2B 就是这么做的。

预热池

像出租车排队

提前开好一批沙箱等着,来了活直接上。

写时复制

像只复印要改的那页

成千上万个沙箱共用一份母盘。谁要改哪一页,就只给他复印那一页。

07行话翻译

行话翻译表

读报告时碰到看不懂的词,来这里查。

技术

Agent(智能体)
能自己拆步骤、调用工具,把事办完的 AI。
内核
操作系统最底层的部分,管内存、文件和网络。相当于房子的水电。
容器 / Docker
几个程序共用一个内核的轻量隔离,相当于合租房。
虚拟机(VM)
有自己内核的一整台电脑,相当于独栋房子。
microVM / Firecracker
精简版虚拟机,开得快、占得少。
gVisor
在合租房门口加一个替身管家,住户的要求都先经他转达。Modal 和谷歌用这种。
快照
整台电脑某一刻的存档,读档就能恢复。
冷启动
从零开机到能用要花的时间。
预热池
提前开好、排队等活的一批沙箱。
写时复制
大家共用一份母盘,谁改哪里就只复制哪里。
分叉(fork)
把一个存档复制成多份,各自往下跑。
并发
同一时刻开着多少台沙箱。
代码解释器
跑完一段代码就销毁的一次性沙箱。
CUA(电脑使用)
看着屏幕、动鼠标键盘操作电脑的 AI。

安全

逃逸
从沙箱里打穿墙,碰到外面的真机器。
提示词注入
在网页或文件里藏指令,骗 AI 照做。
出口控制 / 白名单
只许 AI 访问指定的网站,防止数据被送出去。
凭证代理 / 替身令牌
沙箱里只放假钥匙,出门时再换成真的。

生意

E2B
做沙箱的头部创业公司,底层代码开源。它的接口成了行业通用插头,火山引擎、PPIO 都做成了兼容的。
按活跃 CPU 计费
只在真干活时收钱。AWS 说 agent 有 30%–70% 的时间在等网页和模型回复,这段时间不收。
利用率
机器开着的时间里,真正有活干的比例。越满,摊到每小时的成本越低。
BYOC / 私有化部署
把整套沙箱装进客户自己的云账号或机房。
SOC 2
美国企业采购时常要的安全审计报告。
SLA / 7×24
服务承诺,比如保证多少时间不宕机、全天有人值班。
IDC / IRCS 牌照
在国内出租服务器和云算力要办的经营许可证。
RL 环境
给 AI 练手的场地。等于沙箱加一个固定开局,再加一位自动阅卷老师(判分器)。
钻判分空子
英文叫 reward hacking。AI 找到判分器的漏洞,没做对也拿高分。

08放到生意上看

出租沙箱为什么难赚钱

机器本身很便宜,难在价格被打穿了。

同一台 2 核 4G 沙箱,一小时多少钱
E2B 标价 ¥1.18 阿里云函数计算经济型标价,只有 E2B 的两成 ¥0.24 自己租服务器的成本机器一半时间有活干时 ¥0.16–0.17

按阿里的价卖,扣掉成本每小时只剩几分钱。同样每月赚 ¥2 万,按 E2B 的价要 2 台机器;按阿里的价要 30 台机器,每月流水 ¥8 万。

还有三个难处

大厂白送

Anthropic 每个组织每月白送 1,550 小时。AWS、Cloudflare、Vercel 只收真干活那部分的钱。

大客户自己造

Manus 在自己的机器上跑开源的 E2B,Cue 用的是同一套。Meta 的 Muse 和 Perplexity 也都是自己造的。

剩下的客户要求高

真正花钱买的是 Genspark、Lovable 这类中型公司。他们要上万台同时开、SOC 2 审计、装进自己的云,还要全天有人值班。在国内对外卖算力,还得先办 IDC/IRCS 牌照。

能赚钱的在沙箱旁边

帮客户装进自己机房

把开源的沙箱装进客户的云或机房,负责升级和加固,按年收费。

做门卫、钥匙和录像

做一层能套在任何一家沙箱上的软件。管出口、管钥匙,把 AI 的每一步录下来,方便回放和事后检查。

做 AI 的练习场

RL 环境就是沙箱加固定开局,再加阅卷老师。比如把一个中文 App 复刻出来,配上自动判分,卖给训练模型的公司。每道题 $200–2,000,一个界面练习场约 $20k。

三句话记住

  1. 沙箱是给 AI 用的隔离电脑,能跑代码、开浏览器、存文件。
  2. 技术已经公开,各家比的是开机快、存档省、门卫和钥匙管得严。
  3. 按小时出租很难赚钱。帮客户装进机房、做门卫钥匙和录像、做 AI 练习场,这三件更有机会。

数据截至 2026-09-30,来自研究报告《Agent 沙箱与 AI 数据公司创业研判》。美元按 1:7.1 折成人民币。