用途：为编码智能体运行时设计或评审执行底座，涵盖进程隔离、文件系统挂载、网络策略、工作区边界、环境暴露和破坏性命令控制。它描述代码在哪里、如何运行，与权限路由互补，定义真正的隔离与策略外壳。远程执行场景（托管沙箱、按任务临时云工作区、托管运行环境、跨网络边界的出站策略、单任务成本）应改用 ai-coding-agents-cloud-sandboxes。
主要能力与参考文档：进程与文件系统模型、网络/审批与破坏性动作防护、OpenAI Codex 沙箱护栏（只读/工作区可写/完全访问模式、平台后端、fail-closed 策略转换、遥测）、Claude Code Bash 沙箱机制（读写不对称、凭证拒绝与遮蔽、TLS 盲允许列表、工具范围限制）、运行时可无关的沙箱策略格式、逃逸路径测试矩阵（符号链接、解释器包装、环境注入、包管理器逃逸）。
默认工作流：定义执行模式；设定挂载模型（可读、可写、隐藏、重映射）；控制进程派生与解释器允许列表；分离网络策略与主机例外；约束环境暴露，密钥继承需显式选择；分类破坏性动作；保护设置、策略与技能目录等特权配置面；计算工作进程有效权限外壳并验证不放大；测试逃逸路径。
核心不变式：沙箱边界必须存在于执行底座而非仅存在于提示词；文件系统、网络与环境策略是独立控制面；规范化路径解析属于安全边界；工作进程能力是计算出的有效外壳，继承默认值因运行时而异，必须验证；破坏性能力不能由工具名或用户意图推断。
限制与提示：沙箱细节高度依赖产品、宿主操作系统、终端模型与打包策略，具体强制点需在目标运行时验证；不得仅凭提示词推断真实安全；现有参考文档与数据见 references/ 与 data/sources.json；版本相关缺陷须对照当前一手来源核实。
分类：设计与运行编码智能体的隔离执行环境，属于部署与运维相关实践，但核心为智能体运行时安全设计。