当一个 AI 代理被赋予修改自身代码的能力时，安全问题就变得异常尖锐。Zuckerman AI 作为一款以「实时自改进」为核心卖点的个人助理项目，其架构中必须回答一个根本性问题：如何让代理拥有足够的自由度来完成自我进化，同时又不让它成为悬在宿主系统头顶的达摩克利斯之剑？从其公开的架构文档来看，Zuckerman AI 选择了一条务实但严密的安全路线，将沙箱执行、策略引擎和权限分级视为整个系统的「安全基础设施」。
沙箱隔离的核心设计原则
Zuckerman AI 的 World 层承担着「轻量级操作系统」的角色，而安全与执行模块正是这一层的核心组成部分。官方文档明确将「沙箱化（Docker）」列为其安全基础四大支柱之一，这一选择并非偶然。当前主流的 AI 编码代理都面临一个共同的工程困境：给予代理自由度的同时，又要防止它对宿主机器造成不可逆的损害。
传统的容器隔离方案存在一个致命缺陷 —— 当代理需要运行 Docker 本身时，隔离边界就会失效。这是因为宿主机的 Docker daemon 拥有极高的权限，一个能够调用 Docker 的代理实际上就拥有了绕过沙箱的能力。Docker 官方在 2026 年初推出的 Docker Sandboxes 方案采用了基于 microVM 的隔离技术，这正是 Zuckerman AI 所采用的思路：每个代理运行在专属的 microVM 中，只有项目工作区被挂载到沙箱内，代理对宿主机的文件系统访问被物理隔离彻底阻断。
从工程实现角度来看，沙箱设计需要明确回答「什么在沙箱内、什么在沙箱外」这个边界问题。对于 Zuckerman AI 而言，核心的文件操作和执行工具 —— 包括 shell 命令执行、文件读写、进程管理和浏览器自动化 —— 都运行在 Docker 容器内部。而 Gateway 进程本身，作为整个系统的编排层，始终运行在宿主机上，负责管理会话和路由请求。这种划分确保了即使沙箱内的代理被恶意代码劫持，攻击者也无法直接触及系统最核心的调度组件。
策略引擎与运行时权限控制
仅有沙箱隔离是不够的。沙箱只能提供空间上的边界，而权限控制解决的是「在边界内，代理能做什么」的问题。Zuckerman AI 将「策略引擎」列为安全基础设施的第二大支柱，这表明其安全设计采用了「纵深防御」的理念。
传统的 AI 安全方案依赖 Guardrails，这是一种在应用层工作的内容过滤机制。它可以识别并拦截带有恶意意图的提示词，也可以防止代理返回有害的输出。但 Guardrails 的局限性在于它只能「看到」文本。当代理通过工具执行实际操作时 —— 比如删除数据库表、修改系统配置或访问敏感文件 ——Guardrails 完全无法感知这些动作的发生。这就是为什么需要策略引擎：它工作在执行层，能够拦截每一次工具调用，在代理的行动落地之前进行审批。
动作级审批（Action-Level Approvals）是策略引擎最关键的工程实现。每当代理试图执行敏感操作 —— 数据导出、权限提升、基础设施变更 —— 请求会被路由到策略引擎进行实时评估。引擎会提取请求的完整上下文：操作类型、目标资源、当前时间、调用者身份，以及可能影响安全判断的系统状态。只有当这些条件全部满足预设策略时，操作才会被放行；否则，系统会暂停执行并触发人工审批流程。
这种设计的价值在于它打破了「自动化等于失控」的刻板印象。代理可以保持极高的自主度处理常规任务，但任何可能产生重大影响的操作都必须经过可追溯的审批。审计日志会完整记录每一次审批决策的依据、时间戳和审批者身份，这对于满足 SOC 2、ISO 和 FedRAMP 等合规要求至关重要。
权限泄露路径的识别与阻断
自编辑代码代理面临的另一重大风险是权限泄露。当代理在用户会话上下文中运行时，它会继承该用户的完整权限集。如果代理被恶意指令注入（prompt injection），攻击者就可以利用代理作为「特洛伊木马」，以用户身份执行任何操作。
Zuckerman AI 的安全架构对此有明确的应对策略。首先是权限最小化原则：代理只被授予完成其指定任务所需的最小权限集，而不是用户的全部权限。其次是运行时上下文隔离：代理的工具调用与用户的权限上下文之间存在显式的边界检查，策略引擎会在代理尝试执行超出其授权范围的操作时介入。
密钥管理是权限安全的另一个关键环节。Zuckerman AI 将「密钥管理」纳入安全基础设施，这意味着敏感凭证不会以明文形式存储在代理可访问的上下文中。代理需要访问外部服务时，必须通过密钥管理模块进行受控的凭证注入，而不是直接持有密钥本身。这种设计确保了即使代理被攻陷，攻击者也无法轻易获取可横向移动的凭证资产。
工程落地的关键参数
在部署 Zuckerman AI 或类似的自编辑代理系统时，有几个工程参数需要特别关注。沙箱的重置周期应当足够短，以便在检测到异常行为时能够快速销毁并重建隔离环境；对于高风险场景，建议将重置周期设置在分钟级别。策略引擎的审批超时时间需要权衡安全与效率，对于低风险操作可以采用静默审批，对于高风险操作则强制等待人工确认，审批流程本身应当在数秒内完成，否则会严重影响代理的可用性。
Zuckerman AI 的实践表明，自编辑代码代理的安全并非不可能完成的任务。通过 Docker 沙箱提供空间隔离、通过策略引擎提供时间维度的控制、通过权限分级和密钥管理减少攻击面，这三层防线共同构成了一个可以信任的自主代理运行时环境。
资料来源：Zuckerman AI GitHub 仓库（https://github.com/zuckermanai/zuckerman）、Docker Sandboxes 技术文档（https://www.docker.com/blog/docker-sandboxes-run-claude-code-and-other-coding-agents-unsupervised-but-safely/）