在 AI 代理日益普及的当下，LLM 生成的代码执行已成为一个关键的安全边界。传统方案依赖容器或虚拟机进行隔离，但启动延迟通常在数百毫秒甚至秒级，且资源开销巨大。Pydantic 推出的 Monty 提供了一个更轻量、更针对性的解决方案 —— 一个基于 Rust 编写的极简 Python 解释器，通过参数白名单和严格的导入限制机制，为 AI 生成的代码提供微秒级启动的安全沙箱。
核心安全模型：默认拒绝一切
Monty 的安全哲学是 "默认拒绝"（deny-by-default）。与传统 Python 环境不同，Monty 的执行引擎中根本不存在 open()、eval()、exec() 和 __import__() 等危险内置函数。这意味着任何试图进行文件操作、动态代码执行或任意导入的代码都会在解析阶段即被拒绝。同时，os 和 sys 等敏感模块被替换为安全的 stub 实现，返回预设的安全值，确保沙箱内的代码无法访问底层文件系统、网络接口、环境变量或启动子进程。
参数白名单：精确控制输入边界
参数白名单是 Monty 防御的第一道防线。在创建 Monty 实例时，开发者必须通过 inputs 参数显式声明允许访问的变量名。例如：monty.Monty('x * y', inputs=['x', 'y'])。只有被明确列入白名单的变量才能作为全局命名空间中的可用标识符，任何对未声明变量的引用都会触发运行时错误。这种设计有效地限制了不可信数据的暴露面，防止攻击者通过注入代码访问意外的上下文信息。
导入限制与外部函数网关
在导入控制层面，Monty 采取了双重策略。首先，由于 __import__ 函数在解释器层面已被移除，动态导入成为不可能。其次，标准库的大部分模块被排除在可用范围之外，仅保留最基本的语言特性。需要特别注意的是，当前版本的 Monty 尚不支持类定义，这进一步缩减了攻击面。" 所有需要与宿主环境交互的操作，都必须通过开发者显式提供的 external_functions 参数进行注册。" 这些外部函数作为受控网关，在沙箱执行到相应调用时可以暂停、检查、记录，甚至跨进程持久化状态。
可落地的配置参数清单
要在生产环境中部署 Monty 防御 AI 代码注入，建议采用以下工程实践：
-
输入白名单最小化：仅声明执行逻辑必需的变量，避免传入敏感上下文对象。对输入值进行前置校验，确保类型和范围符合预期。
-
外部函数审计：所有
external_functions应遵循最小权限原则，避免直接暴露底层系统调用。建议实现中间层进行参数校验和返回值过滤，并记录所有调用日志用于审计。 -
资源限制配置：启用内存上限、最大递归深度和执行超时机制。Monty 支持在这些阈值被突破时自动取消执行，防止资源耗尽攻击。
-
状态持久化策略：利用 Monty 的可序列化执行快照功能，在关键外部函数调用点保存状态，实现跨进程的断点续传和容错恢复。
-
代码预处理：在将 LLM 输出传递给 Monty 之前，先进行静态分析，拒绝包含尝试定义类、使用装饰器或访问受限全局变量的代码片段。
尽管 Monty 的语言子集限制（如无类支持）可能影响部分复杂代码的兼容性，但对于 AI 代理常见的数值计算、字符串处理和简单逻辑控制场景，这种权衡带来了显著的安全收益。通过合理配置参数白名单和严格管控外部函数接口，开发者可以在微秒级延迟内构建起一道坚固的防线，有效抵御 AI 生成代码中的潜在注入攻击。
资料来源：