Pydantic Monty 安全沙箱：参数白名单与导入限制的 Rust 工程实现

随着 AI 代理自动生成并执行代码的需求激增，安全隔离成为核心挑战。传统容器沙箱虽然隔离性强，但启动延迟常高达数百毫秒，资源开销大，难以嵌入高频交互的智能体流程。Pydantic 团队推出的 Monty 另辟蹊径，它并非完整 CPython，而是一个用 Rust 重写的极简 Python 子集解释器，专为安全执行 LLM 生成的代码而设计。其核心安全机制并非依赖操作系统层的隔离，而是通过编译时与运行时的双重约束 —— 参数白名单与导入限制，在解释器内部实现细粒度的访问控制。本文将深入剖析这两大机制的工程实现，并给出可直接落地的配置参数与监控清单。

一、 安全机制剖析：白名单即边界

Monty 的安全哲学是 “默认拒绝，显式允许”。任何代码在默认情况下都无法访问任何主机资源，包括文件系统、环境变量、网络，甚至大部分 Python 内置功能。访问权限的开放完全通过两个白名单参数控制：inputs 和 external_functions。

1. 参数白名单：定义代码的输入与能力集

• inputs：声明代码中可用的变量名及其类型。例如，inputs=['url', 'count'] 意味着沙箱内的代码只能使用这两个预定义的变量。尝试访问未声明的变量将导致错误。这本质上是将代码的输入接口完全收归宿主程序控制，避免了代码通过全局变量、环境变量等方式窃取上下文信息。
• external_functions：声明代码可以调用的宿主函数。这是 Monty 安全模型最关键的一环。所有对 “外部世界” 的操作 —— 读取文件、调用 API、查询数据库 —— 都必须封装成宿主函数，并在此白名单中显式注册后，沙箱代码才能调用。例如，只注册 fetch_url 函数，代码就无法执行 open() 或 os.system()。宿主函数在 Rust 侧实现，开发者可以在此植入审计日志、权限校验、输入清洗等安全逻辑。

2. 导入限制：锁死标准库的通道 除了运行时参数控制，Monty 在编译时还实施了严格的导入限制。其解释器仅硬编码支持极少数内置模块：sys、typing、asyncio，以及计划中的 dataclasses 和 json。这意味着 import os、import subprocess 等语句会直接失败。这种设计从根本上移除了大量潜在的危险操作模块，将攻击面压缩到最小。值得注意的是，这种限制是静态的，开发者无法动态扩展，这保证了沙箱行为的一致性，但也牺牲了一定的灵活性。

两者协同工作：导入限制堵住了 “后门”，参数白名单控制了 “正门”，共同构筑了代码执行的密闭环境。

二、 Rust 工程实现细节

Monty 选择用 Rust 实现，并非仅仅为了性能，更是看中其内存安全性与零成本抽象能力，便于实现精细的资源控制和状态管理。

1. 解释器核心与白名单验证 Monty 的解释器在解析代码后，会构建一个符号表。当遇到变量访问或函数调用时，会首先检查该符号是否存在于 inputs 或 external_functions 白名单中。此验证过程发生在 Rust 代码的求值阶段，确保了任何越界访问在运行时都会被立即阻断。对于 external_functions 的调用，会暂停解释器执行，将控制权交还给宿主程序提供的回调函数，并将参数从 Monty 的对象模型安全地转换为 Rust 原生类型。

2. 资源跟踪器与限制参数 安全不止于访问控制，还包括资源防滥用。Monty 的 Rust 层内置了一个资源跟踪器，持续监控：

• 内存分配：记录所有 Python 对象分配的总内存。
• 分配次数：防止通过大量小对象分配进行拒绝服务攻击。
• 调用堆栈深度：防止递归爆炸。
• 执行时间：CPU 时间片消耗。

开发者可以在创建 Monty 实例时配置这些限制的阈值。一旦超标，解释器会立即取消执行并抛出资源耗尽异常。这是容器沙箱难以实现的细粒度控制。

3. 状态序列化与安全快照 Monty 一个独特的工程特性是能在 external_functions 调用点暂停，并将整个解释器状态（包括调用栈、局部变量、全局字典）序列化为字节流（dump()）。这个快照可以被保存到数据库或文件，之后在相同或不同的进程中载入（load()）并恢复执行（resume()）。这不仅实现了 “断点续传”，提升了长时间任务的可靠性，更从安全角度允许将敏感的执行状态移出内存，或在恢复前进行额外的安全审计。序列化协议本身是安全的，不包含任何宿主环境的引用。

三、 可落地配置与监控清单

基于上述机制，在实际部署 Monty 时，建议遵循以下参数化配置与监控清单。

配置参数清单：

1. inputs 定义：严格枚举，类型尽可能具体。例如，inputs=[('user_id', 'int'), ('action', 'str')]。
2. external_functions 注册：遵循最小权限原则。每个函数需实现输入验证和输出过滤。例如，一个文件读取函数应限制路径前缀和最大文件大小。
3. 资源限制推荐值（针对单次 AI 任务）：
   • 最大内存：memory_limit_mb = 50 (MB)
   • 最大分配次数：allocation_limit = 100_000
   • 最大堆栈深度：stack_depth_limit = 100
   • 最大执行时间：execution_time_limit_ms = 5000 (5 秒)
4. 序列化策略：对于耗时操作，在关键 external_functions 调用后执行 dump()，快照应加密存储，并设置 TTL。

监控与告警点：

1. 白名单违规：监控 “未定义变量访问” 和 “未授权函数调用” 错误，频率异常可能提示 AI 提示词被投毒或模型行为漂移。
2. 资源触及阈值：记录内存、时间使用率。持续接近限制值的任务可能需要优化提示词或拆分任务。
3. 外部函数调用频次与延迟：分析 external_functions 的调用模式和响应时间，识别异常依赖或性能瓶颈。

四、 总结：安全与效能的平衡

Pydantic Monty 通过参数白名单和导入限制，在语言运行时层面实现了一种新颖的轻量级沙箱。其优势在于极致的启动速度（微秒级）和精细到语句级别的资源控制，非常适合嵌入到需要高频、短生命周期执行 AI 生成代码的场景中。正如 Simon Willison 在其博客中所评价，Monty “体积小、速度快、广泛可用，并对内存使用、CPU 时间以及磁盘和网络访问提供了严格限制”。

当然，这种安全是以牺牲语言完整性和灵活性为代价的。不支持类定义、模式匹配等特性，意味着复杂的逻辑可能需要 AI 代理以更原始的方式重构。固定的导入白名单也要求宿主程序提前封装好所有所需功能。因此，Monty 并非通用 Python 沙箱，而是专为 “执行 AI 代理指令” 这一特定用例量身定制的安全工具。在 AI 应用架构中，它可作为安全执行层，与上层的提示词工程、模型调度协同工作，共同构建既强大又安全的智能体系统。随着未来对类和更多模块的支持，其能力边界将进一步扩展，但其基于白名单的安全内核，无疑为 AI 代码安全执行提供了一个扎实的工程范本。

---

参考资料

1. Pydantic. “pydantic/monty: A minimal, secure Python interpreter written in Rust for use by AI.” GitHub. https://github.com/pydantic/monty
2. Simon Willison. “Running Pydantic’s Monty Rust sandboxed Python subset in WebAssembly.” Simon Willison’s Weblog. February 6, 2026. https://simonwillison.net/2026/Feb/6/pydantic-monty/