随着 AI 代理（Agent）能力的增强，让大语言模型（LLM）直接生成并执行代码已成为提升效率的关键手段。然而，直接执行 AI 生成的代码带来了巨大的安全隐患：文件系统被篡改、环境变量泄露、网络请求被滥用等风险随时可能发生。传统的容器沙盒虽然安全，但启动延迟往往在百毫秒级别，无法满足高频调用的需求。Pydantic 推出的 Monty 正是在这一背景下诞生的 —— 一个用 Rust 编写的极简安全 Python 解释器，通过参数白名单和严格的导入限制，在微秒级启动的同时实现了有效的安全隔离。
参数白名单：显式授权的安全边界
Monty 的核心安全机制之一是参数白名单（Parameter Whitelist），通过 external_functions 参数实现。与传统 Python 的 exec() 不同，Monty 不会将主机环境的任何函数自动暴露给沙箱内的代码。开发者必须显式列出允许调用的外部函数名称，Monty 才会在执行期间将这些调用转发到主机。
这种设计遵循了 "最小权限原则"。例如，当配置 external_functions=['fetch', 'calculate'] 时，沙箱内的代码只能调用这两个函数，任何尝试访问 os.system、open 或其他未授权函数的操作都会立即失败。这种显式授权机制消除了 "隐式权限" 带来的攻击面，确保 AI 生成的代码无法执行超出预期的操作。
从实现角度看，Monty 在 Rust 层维护了一个允许调用的函数映射表。当沙箱内的 Python 代码发起外部函数调用时，解释器首先检查该函数是否在白名单中。如果不在列表中，调用会被拦截并抛出异常。这种检查发生在 Rust 运行时层面，而非 Python 层，因此无法被沙箱内的代码绕过。
导入限制：精简标准库与零第三方依赖
除了函数调用白名单，Monty 还通过严格的导入限制进一步缩小攻击面。Monty 不支持完整的 Python 标准库，仅允许导入极少数经过安全审计的模块，包括 sys、typing、asyncio，以及即将支持的 dataclasses 和 json。这意味着沙箱内的代码无法使用 os、subprocess、socket 等可能引发安全问题的模块。
更重要的是，Monty 明确声明不支持任何第三方库（包括 Pydantic 本身）。这一设计决策看似限制了功能，实则大幅降低了供应链攻击的风险。在传统的 Python 沙盒中，即使限制了代码执行环境，如果允许安装第三方包，恶意依赖仍可能在导入时执行任意代码。Monty 通过完全禁止第三方导入，从根本上消除了这一风险向量。
这种限制也影响了代码编写方式。例如，开发者无法依赖 Pydantic 进行数据验证，必须在沙箱外完成所有输入校验，仅将干净的数据传递给沙箱内的逻辑。这种 "沙箱内计算、沙箱外验证" 的架构模式，实际上形成了更清晰的职责边界。
内存安全与硬件隔离的增强路径
Monty 的内存安全基础建立在 Rust 的所有权系统之上。Rust 的编译时借用检查确保了 Monty 解释器本身不会出现内存泄漏或越界访问，这为沙箱提供了坚实的底层保障。此外，Monty 内置了资源追踪机制，允许开发者设置内存使用上限、栈深度限制和执行超时，防止恶意代码通过资源耗尽攻击（DoS）影响主机。
对于需要更高安全级别的场景，可以结合硬件内存隔离技术进一步增强沙箱边界。研究表明，Intel 的 Memory Protection Keys（MPK/PKU）技术可以在进程内创建细粒度的内存域，通过为不同安全域分配独立的内存密钥，实现纳秒级的域切换开销。虽然 Monty 当前版本尚未集成 PKU，但这一方向为未来的高安全场景提供了可行路径。通过将 Monty 的解释器状态与主机内存划分到不同的 PKU 域，即使出现内存安全问题，也能将影响限制在沙箱边界内。
工程实践：安全配置参数与监控清单
在实际部署 Monty 时，建议遵循以下配置清单：
白名单配置原则
- 仅暴露真正需要的外部函数，避免一次性开放过多接口
- 对外部函数实施输入校验，假设沙箱内可能传递恶意参数
- 使用
start()和resume()模式进行迭代执行，在每次外部函数调用后检查状态
资源限制参数
- 内存限制：根据任务复杂度设置合理的内存上限（如 64MB 用于简单计算）
- 执行时间：设置超时阈值（如 5 秒），防止无限循环
- 栈深度：限制递归深度，防止栈溢出攻击
监控与审计要点
- 启用序列化快照（
dump()/load()）功能，保存执行状态便于事后审计 - 收集 stdout 和 stderr 输出，分析 AI 生成代码的行为模式
- 记录所有外部函数调用的参数和返回值，建立完整的调用链日志
风险边界认知
- 当前 Monty 不支持类定义和 match 语句，复杂逻辑需要扁平化处理
- 硬件隔离（如 PKU）需要特定 CPU 支持，且配置复杂，目前仍需依赖 Rust 的内存安全保证
- 沙箱内的代码虽然受限，但仍可能通过大量外部函数调用进行侧信道探测，需监控调用频率
通过参数白名单和导入限制的双重机制，Monty 在保持微秒级启动速度的同时，为 AI 代码执行提供了可接受的安全边界。对于需要更高隔离级别的场景，可以结合容器技术进行分层防御：Monty 负责快速执行和细粒度控制，容器负责进程级隔离。这种分层架构既满足了性能需求，又确保了安全底线。
资料来源
- pydantic/monty: A minimal, secure Python interpreter written in Rust for use by AI
- SandCell: Sandboxing Rust Beyond Unsafe Code (arXiv:2509.24032v2)