AgentNest：开源AI智能体安全沙箱运行时工具库

一、AgentNest 是什么

AgentNest是一款基于Python开发的AI智能体安全沙箱运行时工具库，项目核心定位是为各类大模型AI Agent提供可自主管控、高度隔离、自带安全策略的代码执行环境，不依赖第三方托管云服务，完全复用用户自有Docker、K8s、gVisor、Firecracker等基础设施，解决AI智能体运行代码、脚本、文件操作时存在的权限泄露、网络越权、资源溢出、恶意代码逃逸、操作无审计等安全痛点。

它区别于单纯代码解释器，核心设计围绕Agent工作流打造，内置会话持久化、沙箱克隆、执行审批、全链路日志审计等专属能力，可无缝对接LangChain、smolagents、MCP协议等主流AI开发工具，支持私有化本地部署与企业集群部署，是面向开发者与企业AI业务的自托管智能体执行安全层。

二、功能特色

（一）底层安全防护（默认启用）

1. 容器最小权限运行：默认非Root账户、主机根目录只读、裁剪Linux系统权限集，大幅降低容器逃逸风险；

2. 精细化网络管控：出口域名白名单机制，仅允许配置内域名访问，所有网络请求留存审计日志，未授权流量直接拦截；

3. 资源熔断管控：自定义CPU、内存、单次输出字节上限，沙箱自带过期销毁机制，agentnest prune 一键清理残留隔离环境；

4. 密钥自动脱敏：沙箱输出内容自动屏蔽密钥、Token、数据库密码等敏感环境变量；

5. 安全自动化校验：CI流水线内置逃逸攻击测试套件，每次代码提交自动验证隔离有效性。

（二）AI Agent专属核心能力

1. 持久化Python会话：单个沙箱内解释器状态长期保留，变量、导入包、文件上下文跨多轮Agent调用不丢失，适配代码循环调试场景；

2. 沙箱分叉复制（Fork）：一键复制完整沙箱环境生成独立副本，支持多分支并行测试、智能体搜索树推演，副本之间数据完全隔离互不干扰；

3. 流式异步输出：实时返回代码执行日志，适配对话式大模型实时回复体验；

4. 人工审批流程：高危操作（外网访问、文件删除、系统修改）可配置人工审核节点，确认后才执行；

5. 快照与产物导出：沙箱运行状态可保存快照，运行生成的文件、报表、模型文件支持导出至本地主机。

（三）多环境兼容扩展能力

1. 多隔离底层适配：抽象Runtime后端层，支持Docker、gVisor、Kata Containers、K8s、Firecracker微虚拟机自由切换；

2. AI框架原生集成：开箱即用工具包适配LangChain、smolagents；完整兼容MCP协议，对接Claude Code、Cursor、Claude Desktop；

3. 模块化可选组件：K8s集群部署模块、远程API服务、浏览器/预设GPU运行环境、Git工作空间工具、命令行CLI工具；

4. 统一配置管理：支持YAML文件全局配置安全策略、资源限制、网络白名单、审批规则。

（四）配套运维工具

内置完整CLI命令：agentnest demo 快速运行演示案例、agentnest doctor 自动检测宿主机依赖环境、agentnest prune 清理闲置沙箱、审计日志查询命令。

三、技术细节

1. 技术栈基础

• 开发语言：纯Python实现，无强制Go/Rust依赖，降低二次开发门槛；

• 开源协议：Apache 2.0，商用无版权限制，允许企业修改后内部私有化部署；

• 依赖底层：容器技术Docker为默认后端，微虚拟机作为高安全场景替代方案；

• 代码规范：Ruff代码格式化、Mypy静态类型检查、Pytest单元测试，配套覆盖率检测工具。

2. 分层架构

整体采用分层解耦架构，业务层无需感知底层隔离技术，架构流转链路：
AI应用/大模型客户端 → 统一Sandbox标准API → 安全策略校验层（网络/权限/资源/审批） → 抽象Runtime适配层 → 底层隔离环境(Docker/gVisor/Firecracker/K8s)

1. 上层API层：统一标准化沙箱调用接口，适配所有AI框架；

2. 策略校验层：执行安全规则拦截、敏感信息脱敏、资源超限判断、人工审批拦截；

3. Runtime抽象层：统一接口封装不同隔离技术，切换底层仅修改配置，无需改动业务代码；

4. 底层隔离层：提供硬件/系统级代码隔离执行环境。

3. 核心机制技术实现

1. 沙箱分叉Fork：基于容器镜像快照技术，复制当前运行中沙箱文件系统与进程上下文，毫秒级生成独立副本；

2. 持久Python会话：容器内常驻Python解释器进程，通过IPC通信持续接收Agent下发代码，避免重复启动解释器损耗；

3. 审计日志：全事件结构化日志存储，记录沙箱创建、销毁、网络请求、代码执行、文件读写、人工审批记录，支持对接日志采集系统；

4. 资源限制：基于Linux cgroup实现CPU、内存硬性限额，超时进程单独终止，不销毁整个沙箱环境。

4. 部署架构区分

• 单机轻量部署：仅依赖Docker，本地Python库直接调用，适合个人开发者、小型AI应用；

• 企业集群部署：对接K8s，支持沙箱资源池、独立命名空间、多租户配额管控。

四、应用场景

1. 企业私有AI智能体平台
   内部业务大模型、数据分析Agent，限制代码越权访问内网数据库、服务器，统一管控数据流出，留存完整操作审计日志，满足等保合规要求。

2. 本地代码解释器开发工具
   Cursor、Claude Desktop等本地AI编码工具，通过MCP协议对接AgentNest，在隔离环境运行AI生成代码，避免恶意脚本读写本地隐私文件。

3. AI科研与算法实验
   多分支并行算法推演、多版本代码对比测试，利用沙箱Fork分叉能力快速复制实验环境，隔离不同实验组数据。

4. 教育类AI编程教学平台
   学生编写Python代码在隔离沙箱运行，防止恶意脚本破坏服务器、批量爬取外网资源，限制资源占用，降低运维风险。

5. 自动化运维智能体
   运维AI执行Shell脚本、服务器巡检、文件批量处理，配置网络白名单仅允许访问指定业务服务器，拦截外网非法请求。

五、使用方法

1. 快速安装

# 基础安装
pip install agentnest

# 开发完整依赖（文档、测试、扩展组件）
pip install -e '.[dev,docs]'

2. 快速体验演示

# 运行官方Demo，自动创建测试沙箱执行代码
agentnest demo

# 环境自检，校验Docker、系统权限依赖
agentnest doctor

3. 基础代码调用示例

from agentnest import Sandbox

# 创建默认Docker沙箱
sandbox = Sandbox()
# 持久会话执行Python代码
res = sandbox.run_code("a = 10; print(a * 2)")
print(res.output)
# 分叉复制沙箱
fork_sandbox = sandbox.fork()
# 销毁沙箱释放资源
sandbox.destroy()

4. 清理闲置沙箱

agentnest prune

5. 自定义安全配置

编写yaml配置文件，指定网络白名单、内存限制、审批规则，初始化沙箱时加载配置文件生效。

六、竞品对比

选取2款主流AI代码沙箱产品，从部署模式、隔离底层、开源属性、核心优势、适用场景进行横向对比：

七、常见问题解答

Q：AgentNest默认Docker容器隔离安全性足够吗？

A：Docker容器共享主机内核，隔离强度弱于Firecracker、Kata微虚拟机。如果业务场景运行不可信第三方代码、多租户共用沙箱，建议在配置中切换gVisor或Firecracker作为Runtime后端，提升隔离安全等级。

Q：AgentNest是否需要付费才能商用？

A：项目采用Apache 2.0开源协议，个人、企业均可免费商用，无授权费用，仅底层Docker、K8s等基础设施资源需自行承担成本。

Q：AgentNest可以对接本地Cursor、Claude桌面端吗？

A：原生兼容MCP协议，简单配置后即可对接Claude Code、Cursor、Claude Desktop，本地AI生成代码会自动在隔离沙箱执行，保护本地文件安全。

Q：沙箱fork分叉复制会大量占用服务器存储吗？

A：沙箱基于容器快照分层存储，增量复制仅记录变更文件，不会完整复制全部镜像，闲置沙箱可通过agentnest prune一键批量回收，释放磁盘与内存资源。

Q：没有K8s集群，单机服务器可以正常使用AgentNest吗？

A：完全可以，单机仅需安装Docker即可运行全部基础功能，K8s相关组件为可选扩展，仅企业多租户集群场景才需要部署。

Q：沙箱运行超时后，内部文件数据会直接丢失吗？

A：不会，超时仅终止卡死的执行进程，沙箱环境、内部文件、变量数据完整保留，可手动导出快照或文件后手动销毁沙箱。

八、相关链接

• GitHub仓库地址：https://github.com/mihirahuja1/agentnestOSS

九、总结

AgentNest是一款面向AI智能体场景、轻量化可私有化部署的开源安全沙箱运行时，依托Python低使用门槛与分层架构设计，在用户现有容器/虚拟机基础设施之上补充完整的安全管控、Agent专属执行能力与全流程审计体系，兼顾个人开发者本地调试需求与企业AI业务合规管控需求，相比闭源托管沙箱服务具备零商用成本、自主可控、灵活扩展的核心优势，同时兼容主流AI开发框架与MCP协议，是搭建私有AI智能体代码执行环境的轻量化开源解决方案。