Plimsoll

Plimsoll 是一个 Apache-2.0 开源沙箱服务，用于执行 AI 智能体生成的代码或其他不受信任代码。它的关键不只是把环境称作“沙箱”：每次结果都会返回实际采用的隔离等级，调用方还能在代码下发前声明最低可接受等级。项目按由弱到强列出 process、container、kernel 与 vm 四级；若当前后端达不到要求，任务会在执行前被拒绝，而不是悄悄降级运行。

核心能力

报告真实隔离等级： 每次运行都会返回后端与等级。守护进程会在启动时检查配置，客户端也可以再次核对结果。
多种执行后端： 本地 QuickJS WebAssembly 仅适合开发；Docker 可搭配 runc 或 gVisor；E2B 与 Docker Cloud Sandboxes 可提供基于 VM 的选择。实际边界取决于后端和配置。
凭据代理与授权： 单次执行可经由代理访问明确允许的 API 路由。代理位于沙箱外，按运行附加凭据，因此代码拿不到底层 API Key，也不会天然拥有开放网络权限。
运行记录： 请求与结果带有哈希；独立的 plimsoll-attest 可签署已核对的记录、拒绝缺失链路并重放一次运行。
智能体框架集成： 官方仓库为 Vercel AI SDK、Google ADK、Agno、CrewAI、Trigger.dev 和 Mastra 提供包或指南，也说明了 MCP 场景的部署方式。

实际工作流

先让智能体执行一个小型转换或测试任务。可先运行 go run ./examples/minimal：它不需要守护进程或凭据，但官方明确标为 process 等级，不能作为对抗恶意代码的安全边界。对于不可信代码，应配置 Docker + gVisor 或 VM 后端，在调用端设定最低隔离等级，并只通过授权放行确切所需的 API 路由。把返回的等级和运行记录与智能体产出一起保存，再故意发起一次被禁止的请求，确认其会在上线前被拒绝。

定价与限制

Plimsoll 是可自托管的 Apache-2.0 软件，没有官方托管价格表。成本来自你选择的基础设施和后端，例如 Docker 主机、E2B、Docker Cloud Sandboxes，以及智能体使用的模型或 API 服务。不要把 vm 等级理解为免费，也不要把本地 Docker 默认当作 VM 隔离。

与替代方案的区别

E2B 是托管式 microVM 沙箱 SDK；Plimsoll 可以使用 E2B，但额外提供最低等级契约、授权与运行记录处理。OpenSandbox 提供通用沙箱协议和运行时。Plimsoll 的范围更窄，重点是让调用方看到并验证执行边界及其证据。

风险与下一步

维护者明确说明 Plimsoll 仍处于 pre-1.0、由单一作者维护、尚未经过第三方安全审计，并且会有破坏性变更。它报告的等级是后端证据，不是硬件证明。尤其在会保留文件或解释器状态的会话中，应把策略与后端配置纳入安全评审。请先阅读入门指南，验证一次拒绝路径，再接入可能处理敏感代码或凭据的智能体。