在 Antigravity 等 AI 驱动的开发环境中，浏览器已成为执行 AI 生成代码的关键界面。这种集成带来了便利，但也引入了安全隐患：AI 生成的代码可能包含意外或恶意逻辑，导致未授权的 DOM 操作、网络请求或资源滥用。为应对这些挑战，基于 WebAssembly (Wasm) 的沙箱机制结合能力-based 安全模型，提供了一种高效的隔离策略，确保代码执行在受控边界内进行，同时维持高性能。
WebAssembly 作为一种二进制指令格式，本质上设计为沙箱执行环境。它在浏览器中运行于独立的虚拟机中，所有内存访问均经过严格的边界检查，防止越界读写或缓冲区溢出等常见漏洞。不同于 JavaScript 的动态执行，Wasm 模块无法直接访问 DOM、文件系统或网络资源，必须通过主机环境（如 JavaScript）提供的导入接口进行交互。这种隔离模型天然适合处理 AI 生成的不可信代码，例如在 Antigravity 的跨表面代理中，AI 代理生成的脚本可在浏览器中同步执行，而不会污染主环境。
能力-based 安全进一步强化了这一机制。在传统权限模型中，代码一旦运行即获得广泛访问权；而在能力模型中，权限需显式授予，如令牌形式，仅允许特定操作。针对浏览器环境，Wasm 模块可通过 WASI (WebAssembly System Interface) 或自定义 JS 桥定义能力，例如仅授予读取特定 DOM 元素的权限，而禁止修改或网络调用。证据显示，这种模型有效遏制了提示注入攻击：即使 AI 生成恶意代码，其影响限于沙箱，无法逃逸到浏览器核心或用户设备。NVIDIA 的研究表明，使用 Wasm 沙箱执行 LLM 生成的 Python 代码，可将风险从高降至低，仅需浏览器原生隔离即可实现。
在 Antigravity 的上下文中，实现这一沙箱需集成到其代理工作流中。首先，编译 AI 生成代码为 Wasm 模块：使用 Emscripten 或 Rust 的 wasm-bindgen 将 Python/JS 转换为 Wasm，确保内存安全。实例化时，定义能力策略：例如，限制网络能力仅允许 HTTPS 到白名单域（如 Antigravity API），DOM 能力仅限 querySelector 而非 innerHTML 修改。参数配置包括内存初始大小（1 页，64KB），增长阈值（max 100 页），及超时（5s 执行上限）。清单如下：
-
能力授予清单：
-
沙箱参数：
- 内存：initial=1, maximum=128 页。
- 线程：disable multi-threading 以防 DoS。
- 验证：预执行静态分析，检查导入函数签名。
这些参数确保落地性：在 Antigravity 编辑器中，AI 代理生成代码后，立即编译为 Wasm 并在沙箱实例化。监控要点包括日志能力使用（e.g., 每次 fetch 日志），异常陷阱捕获（Wasm trap on invalid memory access），及性能指标（执行时间 < 100ms）。回滚策略：若沙箱崩溃，fallback 到静态分析拒绝执行，或隔离用户会话。
风险管理不可忽视。尽管 Wasm 沙箱高效，潜在侧信道攻击（如时序分析）仍需警惕，可通过恒定时间算法缓解。性能开销约 10-20%，但在 Antigravity 的高抽象任务中可接受。总体而言，这一实施不仅防止了未授权访问，还提升了开发者信任，推动 AI IDE 的代理式开发。
资料来源：Google Antigravity 官网；NVIDIA 开发者博客《借助 WebAssembly 实现沙箱 Agentic AI 工作流》。