Agent 不只烧 Token：为什么 Agent Sandbox 正在变得重要？
去年的行业主基调还围绕模型能力和推理成本，今年讨论已转向 Agent 生产落地。问题从"Agent 能做什么"变成"怎么把 Agent 做出来并稳定进入业务"，而答案最终都指向不在聚光灯下的 Infra 层。
在云栖大会上，阿里云发布了 Agent Sandbox，定义为"面向智能的新型算力形态"——为每个 Agent 即时创造一个"可控的世界"，包含完整运行时，管住身份、网络和数据，任务停止后仍能保留状态。
1. 为什么 Docker/K8s 之外还需要 Sandbox？
核心原因：代码不再可信。传统软件代码来源清晰（内部开发或审核过的依赖），而 Agent 执行的代码可能是模型实时生成的、用户输入的，甚至刚从网页抓取的。金山办公宾哲一句话概括："AI 越强，越要入笼"。
但"笼子"不是推倒容器体系重来。金山办公 Sandbox 底座仍建在 Kubernetes 上，阿里云 Agent Sandbox 也原生兼容 K8s API——每个 Sandbox 以 Pod 为载体，运行在 MicroVM 隔离环境，风险收敛在单个执行环境里。
隔离之外，更大的挑战是 Agent 运行方式的随机性：
- 间歇式执行，任务中等待模型推理或 Subagent 返回
- 下一步调用什么工具、跑多少轮，由模型动态决定
- 等待时资源怎么办？占着则用户为空闲付费，销毁则任务状态丢失
阿里云的解法是快速创建 + 休眠恢复：
| 指标 | P99 延迟 |
|---|---|
| 每分钟创建沙箱数 | 10 万个 |
| 模板创建/冷启动 | < 180ms |
| 资源池预热后热启动 | < 20ms |
| 深休眠唤醒 | < 600ms |
2. 硬件层传导：从"运行应用"到"运行数字员工"
AMD 周俊杰指出，传统应用可能跑几个月，但一个 Agent 任务可能只跑几十秒，一天内反复创建大量环境。Agent 编排、Tool Calling、RAG 检索、状态管理、安全隔离等工作更多落在 CPU 侧。因此 AMD 在 EPYC 上重点投入高核心数设计，让单机柜承载更多 Agent 和 Sandbox。
杨皓然的判断：沙箱会成为继 VM 和容器之后的新算力形态。上层是动态生成任务，中间需要新运行时，下层 CPU/网络/存储都要跟着适配。
3. 企业实践：自建还是上云？怎么选？
前程无忧（AI 招聘助手）：
- 最初考虑自建，发现工作量从 Agent 蔓延到底层（路由、隔离、弹性、发版），ROI 不高
- 改用云平台后：1 个月完成 POC，3 个月打磨 MVP
- 为每个 HR Session 分配独享 Sandbox，按使用状态切换活跃/浅休眠/深休眠
- 生产支撑万级请求，单会员每天成本约 1 元
金山办公（WPS Copilot、灵犀、Web Office）：
- 分层策略：外部业务用 Sandbox 作底层运行时（重安全稳定）；内部业务用 Agent Use Sandbox（Shell 脚本进沙箱，Agent 跑在应用层）；低安全等级场景沿用原方式
- 安全靠"四道栅栏"：沙箱集群与应用集群分离，独立控制面/节点池/VPC，禁止直连，访问经 PrivateLink，全链路审计
- 成本靠潮汐：CronHPA + AHPA 调预热数量，凌晨十几个→早高峰一千左右→随流量回落
- 稳定性靠多集群容灾：基于 ACK One，秒级切换
成本算法也在变——从"按服务器算"转向"完成一个 Agent Task 需要多少钱"。
4. 为什么云厂商成为 Sandbox 主要玩家
张军的判断：Agent 负载更适合公共云。公共云晚高峰 vs Agent Serving 工作时间高峰天然互补，自建小云很难平掉峰谷。技术上看，Sandbox 所需的隔离、Checkpoint、镜像拉取加速等能力，云上已积累多年，Agent 负载出现后开始被重新组合进一套运行时。
阿里云 Agent Sandbox 本身也不是从 0 到 1：之前有函数计算 FC（偏开发者，Developer API 低门槛）和 K8s 生态/ACS（偏平台工程，强调资源管理和安全治理）两套能力。Agent Sandbox 把两者收进统一产品语义，共享底层运行时，分别保留面向开发者和平台团队的使用方式——本质是对已有 Serverless、容器和云能力的重组。
5. 权责边界：哪些交给 Agent，哪些留给人
Sandbox 能限制 Agent 在什么环境运行、能访问什么，但"哪些事情可以交出去"仍是企业自己的选择。
- 前程无忧：招聘沟通环节仍谨慎——设想两个 Agent 把面试谈好了，真人最后说"刚才跟你沟通的是我的助理"，这会相当可怕
- 金山办公：运维场景 AI 可帮分析故障、给判断，但涉及增删改的操作不交给它，稳定性是底线
- 杨皓然：企业大规模用 Agent，一要把 Context 组织好让知识能持续被 AI 消费，二要提前划清权责边界——任务出问题谁负责，需有明确机制
- 林自达：企业首先得有真正会用 AI 的员工，工具摆在那里不等于人人会写 Skill、知道怎么优化
更深一层：基础设施的使用者也在变。今天很多云产品为人操作设计，未来直接使用者可能是 Agent——遇到错误时人查文档看 Dashboard，Agent 则需通过 CLI 等接口直接获取故障上下文。面向 Agent 的运行环境需要重新考虑信息呈现、问题理解和执行反馈。
阿里云把 Agent Sandbox 定义为给每个 Agent 即时创造一个"可控的世界"。Sandbox 可以把这个世界搭起来、把执行环境管住。但哪些事情交给 Agent，哪些事情仍然留给人，说到底，最后还是企业自己的选择。