Agent 工具沙箱：如何设计执行边界
Agent 可能需要读取文件、写入成果或运行工具。设计沙箱时，首先要确定 Agent 被授权处理哪项工作，再限制各类工具在执行时能接触的资源。
从工作范围确定边界
每次 AgentRun 都绑定租户、工作空间，以及适用时的工作项。平台在执行前，根据这个已授权的范围确定工作目录与工具策略。工具请求不能自行选择其他租户，也不能扩大自己的工作空间权限。
使用多层控制
应用层校验路径和工具权限。可执行命令的工具还可以置于系统级隔离边界之内，只看到当前任务需要的文件视图和有限的运行环境。这样，运行时配置与凭据就不会自然暴露在工具的工作视图中。
把网络访问作为独立能力
Agent 运行时需要连接模型和平台服务，但工具能否访问网络是另一项决策，需要遵循相应的执行策略。通用工具不应自动继承运行控制层可用的全部连接能力。
准确描述隔离范围
工具级隔离不等于整个 Agent 进程都在同一个沙箱里。不同工具有各自的执行路径与控制方式。权限校验、工具隔离、审计记录和技能合同共同构成安全边界，任何一项都不能单独代表完整的安全模型。