自主体（autonomous agent）写完代码还要亲自跑，这段"自己跑自己写的代码"是整条链路里爆炸半径最大的一环。2026 年初的研究显示，沙箱化能让安全事件下降约 90%，而把执行层从 Docker 容器升级到真正的隔离原语，已成为从 demo 走向生产的硬门槛。但当下三款主力沙箱——E2B、Modal、Daytona——押的根本是三种不同的隔离赌注：Firecracker 微虚拟机、gVisor 用户态内核、OCI 硬化容器。三者形成一条清晰的工程铁律：隔离越强，冷启动越慢。E2B 用 ~150ms 换专用内核，Modal 用亚秒级换 GPU 友好，Daytona 用 27–90ms 换最快的供给却只共享宿主内核。选错原语，要么安全边界不够硬被审计打回，要么响应慢到自主体"感觉坏了"。本文拆解这条反比曲线，给出从托管到自建的拐点判据。
| 维度 | E2B | Modal | Daytona |
|---|---|---|---|
| 隔离原语 | Firecracker 微虚拟机 | gVisor 用户态内核 | OCI/Docker 硬化容器 |
| 冷启动 | ~150ms | 亚秒级 | 27–90ms |
| 内核边界 | 每沙箱独立内核 | 用户态拦截 syscall | 共享宿主内核 |
| GPU 支持 | 无 | A100/H100 原生 | 无（运维侧较弱） |
| 最长会话 | 24 小时封顶 | 可配置 | 无上限 |
| Computer Use（桌面自动化） | 无 | 无 | Win/Linux/macOS |
| 开源/自托管 | 部分/不可 BYOC | 否/不可 | 全开源 + 托管云 |
| 免费额度 | $100 一次性 | $30/月 credits | $200 credits |
| 生产定价 | $150/月 + 按秒 | $250/月 + 按秒 | ~$0.067/小时每沙箱 |
| 最适合 | 编码/数据分析类 Agent | ML 重负载管线 | 长时自主体、GUI 自动化 |
执行沙箱的本质是给"自主体跑的不可信代码"圈一个爆炸半径。2026 年的市场已收敛到三种原语，每一种都是一次明确的取舍。Firecracker 微虚拟机给每个沙箱一个独立的 Linux 内核，从根上杜绝容器隔离里残留的跨沙箱逃逸路径，启动约 150ms，E2B 即基于此。gVisor 实现一个用户态内核（Sentry），在 syscall 抵达宿主内核前先行拦截，冷启动亚秒级，因为是软件内核而非硬件虚拟化，GPU 直通反而简单——这是 Modal 的赌注。硬化 OCI/Docker 容器共享宿主内核，是三者里最快的：Daytona 能做到 27–90ms 完成供给，代价是内核攻击面削减最小，只能靠 seccomp、namespace、网络策略去补。
这条曲线的工程含义很硬：你不能同时拿到"最强隔离"和"最快冷启动"。一个真实编码助手里，工具调用动辄数十次，每次都过沙箱；150ms 的微虚拟机冷启动累加起来就是肉眼可感的卡顿，而 27ms 的容器虽快，一旦自主体被间接注入诱导执行恶意代码，共享内核就是最薄的防线。选型第一步不是看 Star 数，而是先把威胁模型写下来——你这个自主体跑的代码信任度有多低、并发多高、要不要 GPU、要不要长会话。
E2B 是 2026 年最热门的托管沙箱，定位极其聚焦：不是通用算力，不是 CI/CD，而是专为 Agent 开发者造的。Firecracker 微虚拟机让每个沙箱拿到独立内核，网络防火墙提供三种模式——allow-all（快速原型默认）、deny-all（连 DNS 都掐，适合敏感数据处理）、用户自定义规则（域名 + IP 段匹配）。密钥以环境变量注入沙箱内部，但对宿主隔离。这套设计让 E2B 在审计合规场景几乎无对手。
from e2b_code_interpreter import Sandbox
with Sandbox() as sbx: # 微虚拟机冷启动 ~150ms
out = sbx.run_code("print(sum(range(1,100)))")
print(out.text)
# 三态网络：默认 allow-all，敏感数据切 deny-all
sbx.set_network_allowlist(["api.openai.com"])
短板同样清晰：会话上限 24 小时，封死了真正的全天候自主体；无 BYOC，数据驻留需求的企业绕不过去；按沙箱秒计费，长跑任务成本会陡升。变现上，E2B 的 SDK 体验是训练营绝佳的抓手——"一行代码起一个安全沙箱"对开发者极具吸引力，适合包装成"AI 代码执行安全实战营"；但若你的客群是要 GPU 或要自托管的政企客户，E2B 不是终局。
Daytona 的故事是 2025 年的转身：从开发者环境厂商重定位为"AI 生成代码的基础设施"，2026 年 2 月拿下 FirstMark 领投的 2400 万美元 A 轮。它的隔离赌注是最激进的 OCI/Docker 容器，换来了全品类最快的供给速度——27–90ms 从请求到就绪。它真正拉开差距的不是速度，而是广度：交互式 PTY 终端、持久化有状态工作区，以及市场上最独特的能力——Computer Use，可在沙箱内可编程控制 Windows、Linux、macOS 桌面，完整覆盖鼠标、键盘、显示、截屏。
from daytona_sdk import Daytona
daytona = Daytona()
sandbox = daytona.create() # 27–90ms 供给
res = sandbox.process.exec("python3 -c 'print(2**10)'", timeout=10)
print(res.result) # 持久工作区跨调用保留状态
daytona.remove(sandbox)
会话无上限、全开源加托管云、明确的 BYOC 路径，让 Daytona 成为长时自主体和 GUI 自动化（遗留企业软件、浏览器工具、Windows 专属应用）的首选，单价约 $0.067/小时（1 vCPU/1GiB）。短板是安全深度——共享内核意味着在对抗性最强的场景下不如 E2B 硬。变现角度，Computer Use 是天然的课程卖点，"让 Agent 自己操作桌面"这类 demo 极易破圈，适合面向 RPA/自动化工程师的训练营与产品包装。
Modal 起家于 ML 工程师的 Serverless 算力，这层 DNA 在 2026 年仍是它最强的差异化。当自主体生成的代码需要 GPU，Modal 是少数能不另起炉灶就接住的平台：沙箱容器内 A100/H100 原生支持，推理、微调、视觉模型评测都能在隔离环境里跑。Modal 的 Sandboxes（2024 年上线，现为一等公民产品）跑在 gVisor 上，可从零 autoscale 到 2 万+ 并发，冷启动亚秒级；Python-first 的开发体验（用 Python 代码定义沙箱，没有 YAML、没有 Kubernetes）让 ML 团队零 DevOps 门槛上手。
import modal
sandbox = modal.Sandbox.create(
"python", "-c", "import torch; print(torch.cuda.is_available())",
image=modal.Image.debian_slim().pip_install("torch"),
timeout=300,
)
sandbox.wait()
print(sandbox.stdout.read()) # gVisor 用户态内核，GPU 直通
定价 Starter 含 $30/月 credits、Team $250/月加 $100 credits，全资源按秒计费；公司背靠超 1.11 亿美元融资、11 亿美元估值。短板是非开源、不可自托管、面向通用编码 Agent 的 SDK 不如 E2B 聚焦。变现上，Modal 最适合"Agent 写完立刻评测自己的 ML 代码"这类闭环产品，是面向算法/ML 平台团队训练营的硬核卖点。
低执行量下，所有团队都该上托管服务——维护微虚拟机或 gVisor 基础设施的安全打补丁、扩缩容逻辑、网络隔离策略，会吃掉本该投给自主体本身的工程时间。但拐点迟早会来，且来得比想象的早。日执行量低于 100 万：用托管，E2B 重安全、Modal 重 GPU、Daytona 重持久化与 Computer Use。100 万–1000 万：开始评估 BYOC，建模托管定价与自建的成本交叉。超过 1000 万：自建或 BYOC 几乎必然更便宜，隔离原语上的工程投入由规模回收的毛利来背。
Northflank 是一个真实样本：它在规模上转向自管隔离，用 Kata Containers + gVisor 每月处理超 200 万隔离负载，换来了无限期持久的环境——这对需要跨多天维持状态的自主体是刚需。自建的隐藏红利是省掉一跳延迟：把沙箱与 LLM 推理同网络部署，往返执行开销可降到接近零，这是实时编码助手"感觉秒回"和"感觉坏了"的分水岭。自建栈的开源拼图已成熟：Firecracker 参考 + Cloud Hypervisor/Vorteil + Cilium 网络策略，缺的只是平台工程人手。
未来 12 个月会重塑这片市场的，是运行时治理工具的成熟。微软 2026 年 4 月发布的开源 Agent Governance Toolkit，是首个以确定性、亚毫秒级策略执行覆盖全部 10 项 OWASP 智能体 AI 风险的工具包——这等于向全行业宣告：执行隔离正从"实验"变成"已解决问题的硬要求"。当企业开始强制要求审计日志、出口控制、基于策略的执行约束，原生集成治理原语的沙箱厂商，在企业采购上会甩开那些把安全只当成配置项的对手。
因此，今天构建生产级自主体系统，选型不能只看冷启动和定价，还得把治理路线图摆上桌面：可配置的出口策略有哪些？执行审计日志能做到什么粒度？平台能否对接企业身份提供商做沙箱级访问控制？ 这一层一旦成为采购门槛，"三原语之争"就会向上层转移——从"谁冷启动最快"，变成"谁能把对的负载路由到对的隔离级别、全程留痕、且不需要专门的平台团队来扩"。多供应商沙箱路由（不同子任务分发到不同执行环境）已经在成熟的智能体管线里浮现成一种架构模式。
flowchart TD
A[自主体生成不可信代码] --> S[沙箱]
S -->|允许| FS[受限文件系统]
S -->|允许| NET[出口白名单]
S -->|拒绝| HK[宿主内核]
S -->|拒绝| OT[其他租户]
S -->|拒绝| SEC[宿主密钥]
S --> G[治理层：OWASP十风险 亚毫秒策略+审计]
style S fill:#1f6feb,color:#fff
style G fill:#d63384,color:#fff
flowchart TD
Q1{沙箱内需要 GPU？}
Q1 -->|是| MOD[Modal：gVisor + A100/H100]
Q1 -->|否| Q2{可托管？}
Q2 -->|是,亚200ms冷启动生死攸关| E2B[E2B：Firecracker 独立内核]
Q2 -->|是,工具即函数| MOD
Q2 -->|否,需自托管或长会话| DYN[Daytona：容器+Computer Use]
DYN --> Q3{日执行量 >1000万？}
Q3 -->|是| DIY[自建 Firecracker/Kata 栈]
Q3 -->|否| DYN
style E2B fill:#1f6feb,color:#fff
style MOD fill:#2ea043,color:#fff
style DYN fill:#bf3989,color:#fff
style DIY fill:#6e7681,color:#fff
一句话收口：沙箱层正重演基础设施的老剧本——基线隔离在快速商品化，差异化上移到治理、GPU、Computer Use 与长程持久化。赢家不是冷启动最矮的那个，而是让你把对的负载路由到对的隔离级别、全程留痕、且不需要养一个平台团队的那个。
本文由「AI 智能体实战分析」专栏出品，专注 Agent 执行层、隔离原语与生产落地拆解。关注爱卫生（微信：gprshome201101），获取每轮实测与选型断崖的深度拆解。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。