给 AI Agent 配一个安全沙箱：用 E2B / Modal 隔离跑不可信代码

两者都能给 Agent 提供隔离执行环境，取向不同：

E2B：专为 AI Agent 设计的"代码解释器"沙箱
     - 启动快（亚秒级），按秒计费
     - 原生支持把 Python/JS 执行结果回传 Agent
     - 适合：Agent 写代码→执行→看结果 的闭环

Modal：通用 Serverless 沙箱/函数
     - 更通用，能跑长任务、自定义镜像
     - 适合： heavier 的隔离执行、自定义依赖

# 1. 注册 e2b.dev 拿到 API Key，设为环境变量
export E2B_API_KEY="e2b_xxx"

# 2. 安装 SDK
pip install e2b-code-interpreter

下面是一个最小可运行示例：Agent 生成的代码，在 E2B 沙箱里跑，结果回传：

from e2b_code_interpreter import Sandbox

# Agent 决定要跑的代码（来自模型输出，不可信！）
agent_code = "print(sum(range(100)))"

with Sandbox() as sbx:          # 自动创建隔离环境
    execution = sbx.run_code(agent_code)
    print(execution.results)    # [4950]
# with 结束 → 沙箱自动销毁

沙箱默认是干净的，但你若给它挂卷、给网络，就要收敛：

# 只挂必要的目录，且只读
sbx = Sandbox()
sbx.files.write("/tmp/in.csv", local_data)  # 主动投放输入

# 不要做的事：
#  - 把 ~/.ssh、.env 挂进沙箱
#  - 给沙箱访问内网数据库的地址
# 原则：沙箱该"看不到"你的秘密

Agent 被诱导"把数据发到某个地址"是常见逃逸手法。E2B 支持在网络层面限制：

# 默认允许网络；高风险场景可禁出口
sbx = Sandbox(network="disabled")   # 完全断网
# 或只允许白名单域名（视平台能力）
# 这样即便代码里有 requests.post(恶意地址)，也发不出去

一个安全的 Agent 循环应该是这样：

1. 主 Agent（在你可信环境）生成代码
2. 代码送入沙箱执行（隔离、断网/白名单）
3. 沙箱只回传"标准输出 + 错误"，不含任何宿主信息
4. 主 Agent 基于结果决定下一步
# 全程：宿主机的文件/密钥/内网，沙箱从未触及

沙箱是最后一道墙，前面再加一道"静态审查"更稳：

# 执行前，用一个轻量规则/小模型扫一遍
禁止模式 = ["os.system", "subprocess", "requests.post",
           "shutil.rmtree", "__import__('os')"]

if any(p in agent_code for p in 禁止模式):
    print("⚠️ 检测到高风险操作，已拦截，转人工确认")
else:
    run_in_sandbox(agent_code)   # 才进沙箱