这个方案最吸引我的核心设计：它完全不依赖容器或虚拟机。在macOS上，它利用sandbox-exec动态生成Seatbelt配置；在Linux上，则使用bubblewrap并移除网络命名空间。它直接在操作系统层面实现了文件与网络的双重严格限制，且默认策略覆盖整个进程树。
我们过去总以为，只要不给智能体联网权限就绝对安全。但Anthropic的红队测试早就证明，同一台宿主机上并行运行的多个智能体，依然可以通过处理器缓存时序、共享存储等侧信道（Side-channel）传递信息。没有网络隔离，被提示注入的智能体能轻易把SSH密钥送出去；没有文件系统隔离，它能先逃逸到宿主机再联网作恶。
这个开源项目的默认写法非常值得借鉴。读操作默认允许除非明确拒绝，写和网络则默认拒绝除非配置域名白名单。它把权限提示减少了84%，直接缓解了开发者的批准疲劳。轻量级意味着开发者真的会去开启它，而不是因为容器太重而嫌麻烦直接选择裸奔。
我在复盘自己的智能体部署架构时，立刻决定引入这种轻量级隔离方案。对于任何需要调用本地工具或MCP（Model Context Protocol）服务器的场景，加上这层操作系统级沙箱，成本极低，但能把最致命的逃逸路径直接掐断。安全从来不是事后补救的附加项，而是必须提前打好的基建。