Show HN: Zerobox – 具備檔案、網路與憑證控制功能的指令沙盒工具

背景

Zerobox 是一款由 Rust 編寫的輕量級跨平台進程沙箱工具，旨在為任何指令提供文件、網路與憑證存取的細粒度控制。它利用了 OpenAI Codex 專案中的沙箱執行環境，並結合 MITM 代理技術實現「憑證注入」，讓受控程序在不知曉真實密鑰的情況下完成身分驗證，特別適用於執行 AI 生成代碼或限制 LLM 工具調用的場景。

社群觀點

Hacker News 社群對 Zerobox 的討論主要集中在安全性、實作機制以及與現有工具的比較。許多開發者對其「憑證注入」的設計表示讚賞，這種模式透過佔位符取代環境變數中的真實密鑰，僅在網路代理層級進行替換，能有效防止不可信的 AI 代理程式直接讀取敏感資訊。知名開發者 Simon Willison 指出，這種模式在當前 AI 應用開發中極具價值，但也強調這類工具面臨的最大挑戰在於建立「公信力」。由於底層依賴的系統原語如 macOS 的 Sandbox-exec 缺乏官方文檔，若高層封裝工具沒有詳盡的架構說明與測試數據，使用者很難放心將其應用於高風險環境。

在技術實作方面，部分評論者對 Zerobox 選擇封裝現有工具而非直接調用系統 API 提出質疑。有意見認為，在 Linux 上直接使用系統調用會比調用 Bubblewrap 子進程更為嚴謹，避免了因封裝層產生的潛在安全漏洞。然而，作者與支持者則認為，利用經過廣泛測試的現有工具如 Bubblewrap 或 Seatbelt，反而比重新實作底層邏輯更為穩健。此外，關於「預設權限」的爭論也十分熱烈。Zerobox 預設允許讀取文件但禁止寫入與聯網，Simon Willison 建議應改為「預設全禁」，並提供互動式的「設定檔建立模式」，讓使用者在首次執行時逐一核准程序請求的存取權限，以兼顧安全性與開發體驗。

針對效能與替代方案，社群將其與 Docker 及 WASM 沙箱進行了對比。雖然 Docker 提供更完整的隔離，但其啟動延遲與資源消耗在延遲敏感的 AI 工具調用場景中顯得過於沉重。Zerobox 約 10 毫秒的開銷被認為是極大的優勢。儘管有觀點認為黑名單模式難以窮舉所有攻擊路徑，但作者澄清 Zerobox 採用的是類似 Deno 的白名單機制，僅在文件讀取上採取較寬鬆的策略，未來也計畫引入更細緻的權限預設檔以提升防禦強度。

延伸閱讀

• Bubblewrap: Zerobox 在 Linux 平台上使用的底層沙箱工具。
• Tokenizer: 由 Fly.io 開發的憑證標記化工具，採用類似的憑證隔離思路。
• Cyqle: 討論中提到的拋棄式容器服務，用於處理 IO 密集型的沙箱需求。
• Bubblewrap-TUI: 另一款基於 Bubblewrap 的沙箱工具，提供 DNS 代理功能。