自主体（autonomous agent）写完代码还要亲自跑，这段"自己跑自己写的代码"是整条链路里爆炸半径最大的一环。2026 年初的研究显示，沙箱化能让安全事件下降约 90%，而把执行层从 Docker 容器升级到真正的隔离原语，已成为从 demo 走向生产的硬门槛。但当下三款主力沙箱——E2B、Modal、Daytona——押的根本是三种不同的隔离赌注：Firecracker 微虚拟机、gVisor 用户态内核、OCI 硬化容器。三者形成一条清晰的工程铁律：**隔离越强，冷启动越慢**。E2B 用 ~150ms 换专用内核，Modal 用亚秒级换 GPU 友好，Daytona 用 27–90ms 换最快的供给却只共享宿主内核。选错原语，要么安全边界不够硬被审计打回，要么响应慢到自主体"感觉坏了"。本文拆解这条反比曲线，给出从托管到自建的拐点判据。 ## 多维对比：三款主力沙箱 | 维度 | E2B | Modal | Daytona | |------|-----|-------|---------| | 隔离原语 | Firecracker 微虚拟机 | gVisor 用户态内核 | OCI/Docker 硬化容器 | | 冷启动 | ~150ms | 亚秒级 | 27–90ms | | 内核边界 | 每沙箱独立内核 | 用户态拦截 syscall | 共享宿主内核 | | GPU 支持 | 无 | A100/H100 原生 | 无（运维侧较弱） | | 最长会话 | 24 小时封顶 | 可配置 | 无上限 | | Computer Use（桌面自动化） | 无 | 无 | Win/Linux/macOS | | 开源/自托管 | 部分/不可 BYOC | 否/不可 | 全开源 + 托管云 | | 免费额度 | $100 一次性 | $30/月 credits | $200 credits | | 生产定价 | $150/月 + 按秒 | $250/月 + 按秒 | ~$0.067/小时每沙箱 | | 最适合 | 编码/数据分析类 Agent | ML 重负载管线 | 长时自主体、GUI 自动化 | ## 一、隔离原语三选一：一条无法两全的反比曲线 执行沙箱的本质是给"自主体跑的不可信代码"圈一个爆炸半径。2026 年的市场已收敛到三种原语，每一种都是一次明确的取舍。**Firecracker 微虚拟机**给每个沙箱一个独立的 Linux 内核，从根上杜绝容器隔离里残留的跨沙箱逃逸路径，启动约 150ms，E2B 即基于此。**gVisor** 实现一个用户态内核（Sentry），在 syscall 抵达宿主内核前先行拦截，冷启动亚秒级，因为是软件内核而非硬件虚拟化，GPU 直通反而简单——这是 Modal 的赌注。**硬化 OCI/Docker 容器**共享宿主内核，是三者里最快的：Daytona 能做到 27–90ms 完成供给，代价是内核攻击面削减最小，只能靠 seccomp、namespace、网络策略去补。 这条曲线的工程含义很硬：**你不能同时拿到"最强隔离"和"最快冷启动"**。一个真实编码助手里，工具调用动辄数十次，每次都过沙箱；150ms 的微虚拟机冷启动累加起来就是肉眼可感的卡顿，而 27ms 的容器虽快，一旦自主体被间接注入诱导执行恶意代码，共享内核就是最薄的防线。选型第一步不是看 Star 数，而是先把威胁模型写下来——你这个自主体跑的代码信任度有多低、并发多高、要不要 GPU、要不要长会话。 ## 二、E2B：Firecracker 专用沙箱，安全边界最硬 E2B 是 2026 年最热门的托管沙箱，定位极其聚焦：不是通用算力，不是 CI/CD，而是专为 Agent 开发者造的。Firecracker 微虚拟机让每个沙箱拿到独立内核，网络防火墙提供三种模式——`allow-all`（快速原型默认）、`deny-all`（连 DNS 都掐，适合敏感数据处理）、用户自定义规则（域名 + IP 段匹配）。密钥以环境变量注入沙箱内部，但对宿主隔离。这套设计让 E2B 在审计合规场景几乎无对手。 ```python from e2b_code_interpreter import Sandbox with Sandbox() as sbx: # 微虚拟机冷启动 ~150ms out = sbx.run_code("print(sum(range(1,100)))") print(out.text) # 三态网络：默认 allow-all，敏感数据切 deny-all sbx.set_network_allowlist(["api.openai.com"]) ``` 短板同样清晰：会话上限 24 小时，封死了真正的全天候自主体；无 BYOC，数据驻留需求的企业绕不过去；按沙箱秒计费，长跑任务成本会陡升。变现上，E2B 的 SDK 体验是训练营绝佳的抓手——"一行代码起一个安全沙箱"对开发者极具吸引力，适合包装成"AI 代码执行安全实战营"；但若你的客群是要 GPU 或要自托管的政企客户，E2B 不是终局。 ## 三、Daytona：容器原语 + Computer Use，速度与持久化的胜利 Daytona 的故事是 2025 年的转身：从开发者环境厂商重定位为"AI 生成代码的基础设施"，2026 年 2 月拿下 FirstMark 领投的 2400 万美元 A 轮。它的隔离赌注是最激进的 OCI/Docker 容器，换来了全品类最快的供给速度——27–90ms 从请求到就绪。它真正拉开差距的不是速度，而是**广度**：交互式 PTY 终端、持久化有状态工作区，以及市场上最独特的能力——Computer Use，可在沙箱内可编程控制 Windows、Linux、macOS 桌面，完整覆盖鼠标、键盘、显示、截屏。 ```python from daytona_sdk import Daytona daytona = Daytona() sandbox = daytona.create() # 27–90ms 供给 res = sandbox.process.exec("python3 -c 'print(2**10)'", timeout=10) print(res.result) # 持久工作区跨调用保留状态 daytona.remove(sandbox) ``` 会话无上限、全开源加托管云、明确的 BYOC 路径，让 Daytona 成为长时自主体和 GUI 自动化（遗留企业软件、浏览器工具、Windows 专属应用）的首选，单价约 $0.067/小时（1 vCPU/1GiB）。短板是安全深度——共享内核意味着在对抗性最强的场景下不如 E2B 硬。变现角度，Computer Use 是天然的课程卖点，"让 Agent 自己操作桌面"这类 demo 极易破圈，适合面向 RPA/自动化工程师的训练营与产品包装。 ## 四、Modal：gVisor + GPU，ML 原生的执行层 Modal 起家于 ML 工程师的 Serverless 算力，这层 DNA 在 2026 年仍是它最强的差异化。当自主体生成的代码需要 GPU，Modal 是少数能不另起炉灶就接住的平台：沙箱容器内 A100/H100 原生支持，推理、微调、视觉模型评测都能在隔离环境里跑。Modal 的 Sandboxes（2024 年上线，现为一等公民产品）跑在 gVisor 上，可从零 autoscale 到 2 万+ 并发，冷启动亚秒级；Python-first 的开发体验（用 Python 代码定义沙箱，没有 YAML、没有 Kubernetes）让 ML 团队零 DevOps 门槛上手。 ```python import modal sandbox = modal.Sandbox.create( "python", "-c", "import torch; print(torch.cuda.is_available())", image=modal.Image.debian_slim().pip_install("torch"), timeout=300, ) sandbox.wait() print(sandbox.stdout.read()) # gVisor 用户态内核，GPU 直通 ``` 定价 Starter 含 $30/月 credits、Team $250/月加 $100 credits，全资源按秒计费；公司背靠超 1.11 亿美元融资、11 亿美元估值。短板是非开源、不可自托管、面向通用编码 Agent 的 SDK 不如 E2B 聚焦。变现上，Modal 最适合"Agent 写完立刻评测自己的 ML 代码"这类闭环产品，是面向算法/ML 平台团队训练营的硬核卖点。 ## 五、自建 vs 托管：百万级执行的拐点 低执行量下，所有团队都该上托管服务——维护微虚拟机或 gVisor 基础设施的安全打补丁、扩缩容逻辑、网络隔离策略，会吃掉本该投给自主体本身的工程时间。但拐点迟早会来，且来得比想象的早。**日执行量低于 100 万**：用托管，E2B 重安全、Modal 重 GPU、Daytona 重持久化与 Computer Use。**100 万–1000 万**：开始评估 BYOC，建模托管定价与自建的成本交叉。**超过 1000 万**：自建或 BYOC 几乎必然更便宜，隔离原语上的工程投入由规模回收的毛利来背。 Northflank 是一个真实样本：它在规模上转向自管隔离，用 Kata Containers + gVisor 每月处理超 200 万隔离负载，换来了无限期持久的环境——这对需要跨多天维持状态的自主体是刚需。自建的隐藏红利是**省掉一跳延迟**：把沙箱与 LLM 推理同网络部署，往返执行开销可降到接近零，这是实时编码助手"感觉秒回"和"感觉坏了"的分水岭。自建栈的开源拼图已成熟：Firecracker 参考 + Cloud Hypervisor/Vorteil + Cilium 网络策略，缺的只是平台工程人手。 ## 六、治理层崛起：OWASP 十风险与执行审计 未来 12 个月会重塑这片市场的，是运行时治理工具的成熟。微软 2026 年 4 月发布的开源 Agent Governance Toolkit，是首个以确定性、亚毫秒级策略执行覆盖全部 10 项 OWASP 智能体 AI 风险的工具包——这等于向全行业宣告：执行隔离正从"实验"变成"已解决问题的硬要求"。当企业开始强制要求审计日志、出口控制、基于策略的执行约束，原生集成治理原语的沙箱厂商，在企业采购上会甩开那些把安全只当成配置项的对手。 因此，今天构建生产级自主体系统，选型不能只看冷启动和定价，还得把治理路线图摆上桌面：**可配置的出口策略有哪些？执行审计日志能做到什么粒度？平台能否对接企业身份提供商做沙箱级访问控制？** 这一层一旦成为采购门槛，"三原语之争"就会向上层转移——从"谁冷启动最快"，变成"谁能把对的负载路由到对的隔离级别、全程留痕、且不需要专门的平台团队来扩"。多供应商沙箱路由（不同子任务分发到不同执行环境）已经在成熟的智能体管线里浮现成一种架构模式。 ```mermaid flowchart TD A[自主体生成不可信代码] --> S[沙箱] S -->|允许| FS[受限文件系统] S -->|允许| NET[出口白名单] S -->|拒绝| HK[宿主内核] S -->|拒绝| OT[其他租户] S -->|拒绝| SEC[宿主密钥] S --> G[治理层：OWASP十风险 亚毫秒策略+审计] style S fill:#1f6feb,color:#fff style G fill:#d63384,color:#fff ``` ## 推荐方案：按场景对号入座 ```mermaid flowchart TD Q1{沙箱内需要 GPU？} Q1 -->|是| MOD[Modal：gVisor + A100/H100] Q1 -->|否| Q2{可托管？} Q2 -->|是,亚200ms冷启动生死攸关| E2B[E2B：Firecracker 独立内核] Q2 -->|是,工具即函数| MOD Q2 -->|否,需自托管或长会话| DYN[Daytona：容器+Computer Use] DYN --> Q3{日执行量 >1000万？} Q3 -->|是| DIY[自建 Firecracker/Kata 栈] Q3 -->|否| DYN style E2B fill:#1f6feb,color:#fff style MOD fill:#2ea043,color:#fff style DYN fill:#bf3989,color:#fff style DIY fill:#6e7681,color:#fff ``` - **编码/数据分析类 Agent（安全优先）**：E2B。Firecracker 独立内核 + deny-all 网络模式，是最稳的审计防线，SDK 一行起沙箱。 - **ML 重负载 / Agent 自写自评模型**：Modal。gVisor 亚秒冷启动 + A100/H100 直通，2 万并发从零扩，ML 团队零 DevOps。 - **长时自主体 / GUI 自动化 / 自托管**：Daytona。27–90ms 供给、无上限会话、Computer Use 控三平台桌面、全开源 BYOC。 - **日执行破千万 / 强数据驻留**：自建 Firecracker + Cloud Hypervisor + Cilium，把沙箱与推理同网络部署省掉延迟跳。 - **通用守则**：把威胁模型先写下来——信任度、并发、GPU、会话长度四问，决定原语；治理路线图（出口策略、审计日志、IdP 对接）决定厂商能否过采购。 一句话收口：沙箱层正重演基础设施的老剧本——基线隔离在快速商品化，差异化上移到治理、GPU、Computer Use 与长程持久化。赢家不是冷启动最矮的那个，而是让你把对的负载路由到对的隔离级别、全程留痕、且不需要养一个平台团队的那个。 ## 参考来源 1. [Sandboxed Code Execution for AI Agents in 2026: E2B vs Modal vs Daytona — AgentMarketCap](https://agentmarketcap.ai/blog/2026/04/10/sandboxed-code-execution-ai-agents-e2b-modal-daytona) — 三原语横向基准表、定价、自建 vs 托管拐点（100 万 / 1000 万日执行）的核心数据来源。 2. [Agentic Sandboxing 2026: E2B, Daytona, and Modal Patterns — CallSphere](https://callsphere.ai/blog/agentic-sandboxing-2026-e2b-daytona-modal-patterns) — 威胁模型（爆炸半径流程图）、各平台隔离原语与生产实战决策矩阵。 3. [E2B 官方文档 — e2b.dev/docs](https://e2b.dev/docs) — Firecracker 微虚拟机沙箱、三态网络模式与 SDK 用法。 4. [Daytona — daytona.io](https://www.daytona.io) — OCI 容器沙箱、Computer Use 与开源/自托管路径。 5. [Firecracker microVM 设计 — firecracker-microvm.github.io](https://firecracker-microvm.github.io) — 微虚拟机最小设备模型与 ~150ms 启动的底层原理。 6. [Simon Willison — AI agents and prompt injection 系列](https://simonwillison.net/series/prompt-injection) — 把智能体当对手的间接注入威胁模型。 --- > 本文由「AI 智能体实战分析」专栏出品，专注 Agent 执行层、隔离原语与生产落地拆解。关注爱卫生（微信：gprshome201101），获取每轮实测与选型断崖的深度拆解。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。