AI 代理在电脑上执行命令、调用本地模型时，最容易被忽略的风险是权限过大；Terrarium 把每个代理关进独立虚拟机，并要求管理员逐项批准文件和网络访问。这个方向值得关心，因为 Agent 落地真正缺的往往不是更聪明的模型，而是一套能被审计的执行边界。
这是什么
Terrarium 是一款开源本地运行工具。它为每个 AI 代理创建一台持久化 Linux 虚拟机，代理调用的工具或脚本也处于同一隔离环境。管理员通过 YAML 配方指定代理可读写哪些目录、可访问哪些网络地址，其余请求默认被拦截。
它不同于共享宿主内核的容器，每个环境都有独立内核；网络连接由虚拟机外的独立代理检查。项目无需常驻服务，Linux、macOS 和 Windows 可使用同一份配置，目前仍处于测试阶段。
行业怎么看
我们认为，Terrarium 抓住了企业部署 Agent 时最现实的一课：模型能完成任务并不等于可以放心交出主机权限。文件范围、访问目标和操作记录都能写进配置，这比单纯提示模型“不要做危险操作”更可验证，也更适合合规审查。
但风险并未因此消失。开发者开放的目录仍可能被删除，传入的凭据仍可能泄露，获准访问的网站也可能接收数据。Terrarium 目前还没有 CPU、内存和磁盘配额，测试版的安全承诺也仍需更多独立验证。它证明的是“最小权限可以做得更清楚”，而不是“运行 Agent 已经安全”。
对普通人的影响
对企业 IT：企业可以先让 Agent 处理代码整理、文档查询等低风险任务，再逐步接入内部系统，而不必一开始就开放整台电脑或整个内网。
对个人职场：本地代理能够处理敏感文件而减少上传云端的需要，但使用前仍要核对目录和网络授权，不能把隔离环境当作免责机制。
对消费市场：桌面 Agent 可能从聊天工具变成能实际执行任务的工作助手，代价是电脑将需要保存更多运行环境和权限记录，用户也会更直接地承担误操作风险。