AI 简明手册默认没有沙箱
它要解决什么
Pi 默认没有文件、进程、网络或凭据沙箱。内置工具和 Extension 都继承启动 Pi 的用户权限；项目信任只控制启动时是否加载项目资源，不限制模型之后能做什么。
源码给出的答案
官方明确排除内建沙箱
安全文档说明 read、write、edit 与 shell 直接以 Pi 进程权限运行，Extension 也同权。设计理由是半套进程内沙箱容易被误认为真实安全边界。
[repo] [docs]
可信加载不等于可信执行
项目信任可阻止未确认的项目设置、Package 和 Extension 在启动时加载，但不会消除仓库文本中的提示注入，也不会收紧已启用工具的系统权限。
[repo] [docs]
隔离要落到宿主
官方给出三类模式：用 Gondolin Extension 把内置工具路由到 Linux micro-VM；把整个 Pi 放进 Docker；或在 OpenShell 的策略沙箱中运行。
[repo] [docs]
收益与代价
处理不可信仓库、无人值守任务或高价值凭据时，应先设计容器/VM、挂载、网络和凭据注入，再启动 Pi。
宿主 Pi + 工具路由只隔离被覆盖的入口；其他 Extension 工具仍可能在宿主执行，必须逐项盘点。
别把取舍当成定律
把工作目录读写挂载进容器后，容器内写入仍会改宿主文件；需要更强边界时使用只读挂载或显式导入导出。
来源与核验
- [repo] Pi 官方源码（固定 revision）
- [docs] Pi 官方文档
Revision：853a80d26c90a14c1886f0ebb8ffaae133ca2185 · 核验日期：2026-08-31