當我們在開發 AI Agent 時，最強大的功能之一就是讓 LLM 能根據需求自動生成並執行程式碼（例如使用 Python 進行數據分析或調用 API）。然而，這也帶來了一個極其嚴重的安全漏洞：如果 AI 生成的程式碼被直接在伺服器主進程中執行，該執行環境就變成了攻擊面。
對於初學者來說，可能會覺得 AI 只是在執行簡單的 Python 腳本，應該很安全。但實際上，只要 LLM 受到 Prompt Injection（提示詞注入攻擊）的誘導，它可能會生成一段看似無害但能讀取環境變數、竊取 API 金鑰，甚至利用標準函式庫執行遠端指令的程式碼。如果沒有強大的硬體級隔離，一旦程式碼執行，攻擊者就能直接掌控你的主機。
為了應對這個問題，微軟推出了 Azure Container Apps Sandboxes（以下簡稱 ACA Sandboxes），旨在提供一個讓 AI Agent 安全執行不可信程式碼的環境。
硬體級隔離與微型虛擬機
傳統的容器化方案（如標準 Docker）雖然提供了邏輯上的隔離，但它們共用同一個作業系統核心。如果攻擊者能利用核心漏洞，就有可能實現容器逃逸。
ACA Sandboxes 採用的是 microVM（微型虛擬機）技術。每個 Sandbox 都在獨立的硬體隔離環境中運行，與主機、平台以及其他 Sandbox 完全隔絕。這種設計確保了即使 AI 執行了惡意程式碼，影響範圍也僅限於該單一的微型虛擬機內，無法波及其他租戶或基礎設施。
針對 AI 工作負載的優化特性
AI Agent 的執行模式通常具有短暫且爆發性的特點：生成一段程式碼，執行完畢後立即銷毀。為了適應這種特性，ACA Sandboxes 提供了以下關鍵能力。
快速啟動與彈性擴展 它支持 OCI（開放容器計畫）標準的鏡像，且啟動時間縮短至一秒內，能迅速擴展至數千個實例。
按需計費 與傳統伺服器不同，當 Sandbox 處於閒置狀態時不收取費用，這極大地降低了運行短暫任務的成本。
狀態暫停與恢復 透過快照技術，Sandbox 可以將記憶體與磁碟狀態暫停（Suspend）並在需要時恢復（Resume）。這意味著 AI Agent 在進行多步驟調查時，不需要每次都重新安裝套件或初始化環境，能直接從上次停止的地方繼續。
多層次的安全防禦體系
僅有虛擬機隔離是不夠的，ACA Sandboxes 結合了網路與權限的雙重管控。
網路出口控制 預設採取 Deny All（全部拒絕）策略。所有對外的網路請求必須經過代理層的白名單核對，只有明確允許的目標主機才能被訪問，防止 AI 將竊取的資料傳送到外部伺服器。
身分驗證與權限管理 整合 Azure Entra ID（原 Azure AD）的受管理身分（Managed Identities）。這讓 Sandbox 能在不需要將 API 金鑰或密碼寫死在鏡像或環境變數中的情況下，安全地訪問其他 Azure 雲端服務。
額外的治理工具 微軟同步推出了 Agent Governance Toolkit，提供 AST（抽象語法樹）掃描與工具白名單。在程式碼真正進入執行環境之前，系統會先檢查其語法結構，攔截危險的函數調用。
產業脈絡與選擇建議
目前市場上已有類似的隔離執行方案，例如 Cloudflare Sandboxes、E2B（基於 Firecracker microVM）以及 Fly.io 的 Sprites。
如果你追求極致的啟動速度（如 200 毫秒內）或需要自定義硬體數據駐留，專門的 Sandbox 供應商（如 E2B）可能更靈活。但如果你已經在 Azure 生態系中，ACA Sandboxes 的核心優勢在於原生集成。它讓開發者能直接使用現有的資源管理工具、身分驗證體系與網路策略，且這套基礎設施正是 GitHub Copilot 等微軟頂級 AI 產品所採用的相同隔離底層。
來源：infoq.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。