为了实现类似商业沙盒的绝对安全，防止 Agent 越权感染宿主机，您可以接入 AWS Firecracker。安装 `@openclaw/plugin-firecracker-sandbox`。每次 Agent 尝试执行代码时，该插件会在 100 毫秒内极速拉起一个微型虚拟机（MicroVM），在其中运行代码并捕获输出，运行结束后立即销毁 VM。这使得执行恶意 `rm -rf` 或挖矿脚本变得毫无威胁。