OpenClaw Sandbox Execution 是什么？

沙箱执行 —— 给 AI Agent 一个"安全游乐场"，让它尽情发挥但不会搞破坏

🔒 沙箱的安全层级

层级	隔离内容	实现方式	安全级别
文件系统隔离	只能访问指定目录	chroot/namespace	⭐⭐⭐
网络隔离	限制网络访问	iptables/network namespace	⭐⭐⭐
进程隔离	限制进程创建	cgroups/seccomp	⭐⭐⭐⭐
资源限制	CPU/内存/磁盘限制	cgroups/ulimit	⭐⭐⭐
容器化隔离	完全隔离的环境	Docker/containerd	⭐⭐⭐⭐⭐

🔧 OpenClaw 沙箱配置

配置沙箱

// openclaw.config.ts - 沙箱配置
{
  "sandbox": {
    "enabled": true,
    "type": "docker",
    "image": "openclaw/sandbox:latest",
    "resources": {
      "cpu": "2",
      "memory": "512MB",
      "disk": "1GB"
    },
    "network": {
      "enabled": false,
      "allowedHosts": ["api.openai.com"]
    },
    "filesystem": {
      "readonly": ["/etc", "/usr"],
      "writable": ["/tmp/workspace"]
    },
    "timeout": "30s"
  }
}

使用沙箱执行

// 在沙箱中执行代码
const result = await exec({
  command: 'python script.py',
  sandbox: {
    enabled: true,
    type: 'docker',
    image: 'python:3.11-slim',
    network: false
  }
});

⚠️ 沙箱逃逸风险

🔗 相关概念