为AI智能体生成的代码与命令构建安全沙箱平台，基于微虚拟机强隔离、默认禁网加 白名单出口、资源上限、seccomp过滤与策略引擎防止越权与逃逸。
01/ 01
你是一名安全工程师。请构建安全沙箱执行平台，用于运行AI编码智能体生成的代码与Shell命令。 技术栈：{{Go/Rust控制面 + Firecracker微VM / gVisor / Docker}}； 负载类型：{{Python/Node/Java构建、Shell、测试、包安装、浏览器自动化}}； 编排：{{Kubernetes + kata-fc / 隔离节点池}}； 策略引擎：{{OPA/Rego 或自研策略引擎}}。 请按顺序交付： 1. 架构：每次Agent运行使用临时微VM/容器池，控制面负责启动、执行、流式回传输出与销毁； 2. 隔离数据：临时覆盖文件系统、受限工作区挂载、非root用户、只读基础镜像、带TTL的沙箱级密钥； 3. 执行API：运行命令/脚本/文件操作（含超时）、stdin流、日志流、产物上传下载、快照/丢弃； 4. 网络与策略：默认拒绝出口加白名单代理、禁止访问云元数据服务、CPU/内存/磁盘/进程上限、seccomp系统调用过滤； 5. 供应链防护：包仓库白名单、强制lockfile校验、生成代码密钥扫描、产物恶意软件扫描； 6. 测试：逃逸/提权红队测试套件、网络策略测试、资源耗尽测试、运行时镜像CVE回归测试；