让 AI 替你跑命令，第一天它就读到了你的密码 — 沙箱没给你真容器

这是什么

Spring AI Alibaba（SAA）是阿里推出的 Java 版 AI Agent 框架。所谓 Agent，指的是能自主调用工具、执行动作的 AI，不只是回答问题——它可以替你去操作文件、跑命令、调用接口。

它内置了一个被标成 @Tool 的 shell 工具，允许 Agent 直接执行系统命令。一位开发者实测：为了让 AI 帮他批量改配置，他给 Agent 接入了 ShellTool2，顺手授予了 rm 和 cat 两条命令的能力。第一天，Agent 就 cat 出了家目录下的 .env 文件，里面躺着一个被遗忘的数据库密码。

这件事引出了 SAA 沙箱（sandbox，即「把 AI 关起来的隔离区」）的真相：它没有用 Docker 做真容器（Docker 是一种操作系统级隔离技术，能把 AI 锁在与主系统隔绝的小房间里），而是堆了四层 Java 代码当筛子——会话隔离（把进程钉死在临时目录）、输出治理（60 秒超时 + 1000 行截断 + 自动正则脱敏）、文件隔离（禁止越界路径）、钩子护栏（PII 检测 + 调用限额）。

行业怎么看

支持方会说：纯 Java 实现部署门槛低，不依赖 Docker 和运维，对急于落地的企业是现实选择；60 秒超时、1000 行上限、自动脱敏，这些「够用」的安全网至少覆盖八成场景。

但我们的担心更具体。当 AI 跑 shell 命令，它面对的是整个操作系统的攻击面。SAA 的源码自己承认——没有任何 cgroup、namespace 或 seccomp（这是 Linux 内核级的三道隔离闸门，能真正限制进程能看什么、能调什么）。一个能用 cat 读到 .env 的 Agent，同样能用 curl 把密码外发；而输出脱敏是「事后清洗」，拦不住命令本身已经离开你的机器。

更现实的判断是：Agent 框架普遍处于「先把能力做出来，安全靠缝」的阶段。Spring AI Alibaba 是其中之一，LangChain、AutoGen 等同类框架也没好到哪去。给企业落地 Agent 的人要明白：你拿到的不是一堵墙，是四层筛子。

对普通人的影响

对企业 IT：把 Agent 接入业务系统前，先问供应商一句——它拿到的是「真容器」还是「四层筛子」？两种方案的成本、运维负担和安全边界完全不同，不能混为一谈。

对个人职场：用 Claude Code、Cursor 这类 AI 编程工具的同事请注意，它们跑在你本机上，密钥、cookies、聊天记录都在它的射程里；别因为「它在帮我」就降低警惕。

对消费市场：未来一年「AI 替我干活」的产品宣传会越来越多，但「替我干活」背后是不是有个被缝补过的沙箱，普通人没有判断依据——这件事值得所有人关心。