Agent 写的代码，别让它在你主机上裸奔：Akamai 的 WASM 沙箱给了一个参考答案

• AI
• Agent
• 安全

Agent 以前最大的风险，是它说错话。现在最大的风险，是它动手。

它能写一段脚本，能调一个工具，能顺手把脚本跑起来。文本错了可以删，代码跑起来可就有了副作用：读文件、发请求、改数据。10 月 27 日，Akamai 在 Akamai Cloud 上推出了两个 Beta 产品：Akamai Inference 和 Akamai Agent Sandbox。前者是托管推理，后者才是我今天想聊的重点——给 Agent 生成的代码划一个硬边界。

Akamai 这次到底发了什么

按官方通稿的说法，Agent Sandbox 的结构是这样的：Agent 本体跑在 Akamai Functions 上，它写出来的代码则跑在另一个被隔离的环境里，与 Agent 的运行时分隔开。这个沙箱是 Spin 框架的一个开源组件，用 WebAssembly 做隔离，可以限制计算、内存、对外连接和系统能力。

同一批发布的 Akamai Inference 也不难理解：通过 OpenAI 兼容的 API 提供托管的开源权重模型和定制模型，首发 12 个开源权重模型，参数规模从 80 亿到 2.8 万亿不等，包括 NVIDIA Nemotron 3 Ultra、OpenAI 的 gpt-oss-120b 和 Google 的 Gemma 4，还配了用于检索增强的 embedding 模型。客户可以在按量付费的 Serverless 和专属部署之间选。Beta 阶段先给 Serverless，专属的 Blackwell Ultra 集群要联系销售。

我不关心 Akamai 的产品线全不全，我关心的是它把一句话说清楚了：Agent 需要一个“代码能跑的地方”，而这个地方必须和 Agent 本身分开。

为什么“分开跑”是关键

很多团队做 Agent 执行时，第一反应是给 Agent 一个容器、一个虚拟机，让它在里面随便折腾。这在演示里够用，上线就露出三个问题。

第一，Agent 的运行时和它生成的代码混在一起。代码一旦拿到运行时的环境变量、凭证、文件句柄，隔离就名存实亡。Akamai 的做法是把两者拆开：Agent 负责决策，生成的代码在另一个笼子里执行，笼子的权限由开发者定，不是 Agent 自己说了算。

第二，权限是事后补的。项目一开始为了跑通，什么都放开；等出事了再收权限，已经不知道哪条链路会断。沙箱的正确姿势是反过来的：默认什么都不许，计算、内存、出站连接、系统调用，一项一项往上加。

第三，执行没有成本上限。Agent 写个死循环、拉个大文件、反复调外部接口，账单和系统负载先扛不住。把资源上限写进沙箱，比事后在账单里找原因便宜得多。

Akamai 自己也承认，隔离正在收敛成几条路线：支持快照和分叉的微虚拟机、策略强制的容器、WebAssembly 隔离的函数。它没有说 WASM 是唯一答案，而是让开发者按负载选架构。这句话比产品本身更诚实：隔离没有银弹，只有取舍。

WASM 沙箱的取舍，要说在前面

WASM 的优势很直观：启动快、隔离粒度细、适合在边缘和函数环境里到处跑。它的短板也同样直观：不是所有语言、所有系统调用、所有本地依赖都能原样塞进 WASM；重型的、依赖本地生态的任务，跑起来会别扭。

所以别把“用了 WASM 沙箱”当成安全背书。它解决的是“代码跑在哪、能碰到什么”这一层，没解决另外三层：

一是意图层。Agent 被网页里的隐藏指令带偏、做出错误决策，沙箱拦不住，因为决策本身不在沙箱里。

二是凭证层。沙箱里代码能用的身份、令牌、数据范围，是开发者配的。配宽了，笼子再结实也是摆设。

三是出口层。出站连接允许列表一旦放得太宽，数据照样能流出去，只不过走的是你批准的通道。

换句话说，沙箱是必要条件，不是充分条件。把它当成最后一道防线的人，往往会在前三道防线上偷懒。

落到自己项目上：五条检查清单

不管你用不用 Akamai，也不管你选微虚拟机、容器还是 WASM，Agent 上线前我建议按这五条自查一遍：

1. 代码执行默认拒绝。 Agent 生成的代码不直接在宿主、开发机、CI runner 上跑。没有沙箱，就没有执行权限。

2. 网络用允许列表，不用禁止列表。 只放行任务确实需要的域名和接口，其他一律不通。禁止列表永远补不完。

3. 资源和时间都要封顶。 CPU、内存、单次执行时长、重试次数，全部写进配置。Agent 不会自己心疼账单，你得替它心疼。

4. 沙箱里的身份和 Agent 的身份分开。 沙箱拿到的凭证应该是最小权限的临时身份，能读什么、能写什么、有效期多久，都要单独算一笔账。

5. 每次执行都留痕。 跑了什么代码、用了什么输入、访问了什么外部资源、结果是什么，至少要能事后复现。没有日志的沙箱，等于没有沙箱。

这五条没有一条是新技术，难的是在项目赶进度的时候一条都不省。

推理侧顺带提一句

Akamai Inference 的 OpenAI 兼容 API 值得注意，但别误读：接口兼容不等于模型可互换。换一个模型，输出质量、幻觉倾向、工具调用习惯都会变。接口让你少改代码，不代表你可以不重测。12 个模型从 80 亿到 2.8 万亿的跨度，本身就是在提醒你：选模型和选接口是两回事，前者要按任务实测，后者只是接入成本。

另外提醒一句：这两个产品目前都是 Beta，通稿里也没给价格和正式上线时间。Beta 阶段适合拿来验证“隔离模型对不对、接入成本高不高”，不适合直接把它写进对客户的 SLA 承诺里。先在小范围跑通，再谈替换现有执行链路。

结论

Agent 的竞争已经从“谁的模型更聪明”蔓延到“谁的执行更可控”。Akamai 这次把推理和沙箱打包成一层基础设施，信号很明确：执行边界不再是运维上线前才想起来的收尾工作，而是 Agent 产品的一部分。

下次不管是选云厂商、选 Agent 框架，还是评审自己团队的 Agent 方案，先问三个问题：生成的代码跑在哪里？它能碰到什么？谁能改这个边界、改动留不留痕？答不上来，就别急着让它动手。

来源：

• Akamai 官方通稿《Akamai Launches AI Inference Service and Agent Execution》，2026-10-27：https://www.globenewswire.com/news-release/2026/10/27/3388793/0/en/akamai-launches-ai-inference-service-and-agent-execution-environment.html
• AI Affairs 报道《Akamai launches inference service and sandbox for AI agent code》，2026-10-28：https://www.aiaffairs.com/technology/akamai-inference-agent-sandbox-launch/