DeepSeek Harness 的沙箱机制如何保障执行安全？

1. 分档沙箱策略

Harness 的沙箱按文件影响范围分为三档：

• 只读：所有文件可见，但无法修改任何内容
• 工作区可写（出厂默认）：只能修改用户注册的工作区文件夹及系统临时区，无法触及工作区之外的内容
• 完全放开：不设文件限制，切换时会弹出二次确认

2. 系统级隔离实现

底层提供原生沙箱组件，在不同操作系统上采用各自的隔离方案：Linux 使用 bubblewrap / Landlock 路径，macOS 使用 Seatbelt，Windows 通过受限令牌（restricted-token）与 ACL 实现与 POSIX 一致的权限模型。

3. 沙箱的能力边界

需要客观看待的是，当前沙箱模式主要描述的是“文件系统效果”，并不等同于完整的网络隔离或进程可见性隔离。官方文档明确列出其限制：沙箱策略接口尚未完整覆盖网络、系统调用、设备与凭据。若要获得容器、微型虚拟机或远程执行级别的隔离，需要额外替换或增加相应实现。