Jailbox：用 KVM 虚拟机为 AI 代理构建网络隔离沙箱

随着 AI 编程代理（如 Claude Code、Codex、Antigravity）能力越来越强，它们通常以与用户相同的权限运行，可以读取任意文件、执行 shell 命令、发起网络请求。一旦供应链中被植入恶意包，或代理遭遇提示注入攻击，开发者的本地环境和凭证就会面临泄露风险。针对这一问题，作者推出了一款名为 kvm-jailbox 的工具，主张用网络隔离的 KVM 虚拟机为整个开发环境构建硬边界。

供应链攻击：开发者面临的隐忧

现代软件开发高度依赖第三方包。以 npm 为例，2016 年一个仅 11 行的 left-pad 包被作者下架，就直接导致 Facebook、PayPal、Netflix、Spotify 等公司的构建流程中断。类似事件并非孤例：

• LiteLLM 曾出现日下载量达 300 万次的恶意版本，窃取云与 CI/CD 凭证
• PyPI 上 Hades 行动在二十多个包中植入启动时即执行的恶意代码
• Axios 出现周下载量超 1 亿次的带后门版本
• debug、chalk 等 16 个 npm 包被大规模劫持

pip、npm 等包管理器往往递归引入数百个间接依赖，任何一个被劫持的维护者账号、被污染的构建或被误植名的包，都可能成为攻击者的入口。

AI 代理进一步放大了风险

AI 编程代理的自主能力扩大了攻击面。作者援引 Anthropic 在 2026 年初预览的 Mythos 模型为例：该模型在漏洞发现与利用方面能力极强，以至于 Anthropic 仅向经过审核的安全合作伙伴开放访问；其后续公开版本 Fable 5 也曾因美国政府出口指令而被短暂暂停，后又恢复。Claude Code、Codex、Antigravity 等工具在常规使用中会处理大量不可信输入——源代码、README、issue 评论、抓取的网页、命令输出——其中任意一项都可能携带提示注入，诱导代理窃取 SSH 密钥、泄露环境变量或执行破坏性命令。MCP 生态同样构成新的供应链：每个 MCP 服务器本质上都从注册表安装，并以代理的全部权限运行。

部分代理内置了沙箱模式，但它们仅覆盖代理自身进程，且容易因便利性被关闭。对于不可信仓库，Claude Code 官方文档也建议使用专用虚拟机，这与本文主张的方案一致。

开发工具自身的安全隐患

VS Code 作为一个基于 Electron 的嵌入式浏览器，会渲染来自不可信仓库的内容（README 预览、notebook 单元格、扩展面板），且每个扩展都以用户权限运行。已有案例显示：

• 仅在 github.dev 中点击一个恶意仓库，隐藏脚本即可安装捆绑扩展并窃取 GitHub 令牌
• 朝鲜的 Contagious Interview 行动滥用假求职仓库中的自动运行任务，在 VS Code 打开文件夹的瞬间植入后门
• 自传播蠕虫 GlassWorm 通过 VS Code 扩展市场传播，窃取市场和 GitHub 凭证后感染更多扩展
• Nx Console 的中毒版本在市场上架仅 18 分钟，便收割了开发者的令牌、SSH 密钥与凭证库，波及约 3800 个 GitHub 内部仓库

用 KVM 虚拟机构建硬边界

传统的 Docker、Podman 容器与宿主机共享 Linux 内核，边界强度不及硬件虚拟化；容器也只封装开发者主动放入其中的代码。作者提出的方案是：将编辑器、AI 代理、容器等全部置于一台普通 KVM 虚拟机内，允许其访问互联网，但禁止其路由到宿主机、局域网或任何私有地址。配套工具 kvm-jailbox 可用一条命令创建这台加固沙箱 VM，并验证网络边界是否真的生效。为验证隔离强度，作者让一个 AI 代理以 root 身份在其中尝试越狱，未能成功。

相较容器，KVM 虚拟机启动较慢、资源开销更大，但换来的是基于硬件虚拟化的更强隔离边界——对于运行日益强大的 AI 代理而言，这层额外防护被视为值得付出的代价。