代码执行 Sandbox / Agent Runtime 负责隔离、运行、恢复和审计 Agent 生成的代码；它们不是 Coding Agent 本身。本文只比较托管、自建、编排和底层隔离运行时。
工具定位
Coding Agent 负责理解需求、修改代码和运行工具；Sandbox / Agent Runtime 负责给这些任务提供隔离、资源、生命周期和恢复能力。两者可以组合使用，但不是同一种产品。
托管 Sandbox
买 API / 按量用，不用自己管集群。
| Provider | Isolation | Cold Start | Max Session | Pricing | Notes |
|---|---|---|---|---|---|
| Vercel Sandbox | Firecracker microVM | ~100ms | 5h (Pro) | $0.128/vCPU-hr（仅 active） | 已在 Vercel 栈里最省事 |
| E2B | Firecracker microVM | ~150ms | 24h (Pro) | $150/mo + $0.05/hr | AI Agent 里最常见 |
| CodeSandbox（Together） | Firecracker microVM | ~2.7s / resume ~500ms | Configurable | 订阅 + VM credits | 强 fork / snapshot，被 Together AI 收购 |
| Deno Sandbox | Firecracker microVM | <1s | 按用量 | Deploy 计划内、按 compute 计费 | 出站策略 + 密钥不进沙箱，可一键 deploy |
| Deno Deploy | V8 isolate | ~ms | 按请求 | Deploy 定价 | 边缘 Serverless，不是完整 Linux 沙箱 |
| Upstash Box | Node runtime | Fast | Configurable | Usage-based | 内置 Claude Code / Codex，搭配 Upstash Redis |
| Daytona | Docker/OCI | ~90ms | Unlimited | Usage-based（无底价） | 也可自建，见下表 |
| Fly.io Sprites | Firecracker microVM | 1-12s | Unlimited | $0.07/CPU-hr | 100GB NVMe，预装 Claude Code |
| Modal | gVisor | Sub-second | 24h | $250/mo+ | Python 优先，支持 GPU |
| Beam | gVisor | 约 2-3s | Unlimited | Usage-based | Serverless 跑代码，可接 GPU |
| Novita Agent Sandbox | Firecracker microVM | <1s / ~200ms 级 | 可持久会话 | 按秒计 vCPU/内存 | 偏成本，兼容 E2B SDK 思路 |
| Cloudflare Workers | V8 isolates | ~ms | Per-request | Workers 定价 | 仅 JS/TS，比容器快一个数量级 |
| Cloudflare Sandbox | Containers + Workers | 较快 | Configurable | Workers / Containers 定价 | 边缘侧跑容器，接 R2 / D1 / Workers AI |
| Blaxel | microVM | ~25ms | Unlimited | Usage-based | 冷启动很快 |
| Northflank | Kata microVM | Fast | Unlimited | Custom | BYOC、企业向 |
| Freestyle | KVM（完整 VM） | ~800ms | Configurable | From $50/mo | 完整 root |
| Runloop | VM-based | Fast | Configurable | Usage-based | Dev environment as API |
| Morph | microVM / snapshot | 瞬时 fork 向 | Configurable | Usage-based | 主打瞬时 fork，适合并行探索 |
| Tensorlake | 托管沙箱 | Fast | Configurable | Usage-based | 偏文档 / 数据类 Agent 的代码执行 |
| InstaVM | 完整 VM | Fast | Configurable | Usage-based | 云端真机感；本机可接 Apple Containers |
| OpenAI Code Interpreter | 平台托管沙箱 | Fast | 会话内 | 含在 ChatGPT / API 产品里 | 好用但依赖与环境难自控 |
| Amazon Bedrock AgentCore | AWS 托管 | 视配置 | 企业会话 | AWS 定价 | 企业在 AWS 里跑 Agent 常用 |
| GKE Agent Sandbox | gVisor / Kata（K8s） | 视配置 + warm pool | 可 idle scale-to-zero | GKE 定价 | 托管版 agent-sandbox |
| StackBlitz WebContainers | 浏览器内 Node | ~ms 级 | 浏览器会话 | 产品定价 | 浏览器里跑 Node，不是云端 Linux 沙箱 |
自建 Sandbox
自己跑控制面 / runtime，数据与算力留在自己的机器或集群。
| Provider | Isolation | Cold Start | 部署形态 | License / 成本 | Notes |
|---|---|---|---|---|---|
| OpenSandbox | Docker / K8s + gVisor / Kata / Firecracker | 视 runtime（Firecracker ~125ms 级） | Docker 或大规模 K8s | Apache 2.0 | 统一 API，Coding / GUI / RL / 代码执行；可对接 agent-sandbox |
| agent-sandbox | gVisor / Kata（RuntimeClass） | 视 runtime + warm pool | Kubernetes CRD | 开源（SIG Apps） | K8s 原生 Sandbox 编排；GKE 有托管版 |
| Google AX | Agent Substrate / Kubernetes（AX 负责运行时编排） | 取决于底层 runtime | 自托管 K8s | Apache 2.0 | 分布式 Agent Runtime，支持隔离执行、挂起/恢复、Event Log 和自定义 Harness；不是独立 Sandbox 隔离层 |
| Daytona | Docker/OCI（可选 Kata） | ~90ms | 自托管 / 开源 | 开源 + 商业 | 可持久化状态；也有托管版 |
| microsandbox | microVM（libkrun） | <200ms 级 | 自托管 runtime | 开源 | 自建 microVM，不走第三方托管 |
| CubeSandbox | RustVMM + KVM MicroVM | <60ms 级（官方宣称） | 单节点 / K8s 多节点自托管 | Apache 2.0 | E2B SDK 兼容；快照、克隆、回滚、自动暂停/恢复；eBPF 网络隔离 |
| SmolVM | 本地 microVM | Fast | 本地优先 | 开源 | browser / desktop computer use |
| Microsoft LiteBox | Library OS（+ 机密计算方向） | 实验向 | 自建 / 实验 | 开源实验 | 2026 仍偏早期，生产需谨慎 |
开源隔离 Runtime（不是完整 Sandbox 产品）
上面的项目是面向 Agent 或代码执行的 Sandbox 产品；下面这些是更底层的开源隔离运行时或 VMM，通常需要由 OpenSandbox、Daytona、Kata 或自研控制面调用，不能直接当成完整的 Agent Sandbox 使用。
| 项目 | 层级 | 隔离方式 | 许可证 | 适合场景 | 边界 |
|---|---|---|---|---|---|
| Firecracker | microVM VMM | KVM + 极简设备模型 + Jailer | Apache-2.0 | 自己构建低开销、多租户执行底座 | 只有 VMM 和 API，需要自行处理镜像、网络、生命周期和租户控制 |
| gVisor | OCI 容器 Runtime | 用户态 Application Kernel，runsc 接入 Docker / Kubernetes | Apache-2.0 | 想保留容器体验，同时减少宿主内核暴露 | 不是完整 VM；Linux 兼容性、性能和系统调用覆盖需按工作负载验证 |
| Kata Containers | OCI / CRI Runtime | 每个容器或 Pod 运行在轻量 VM 和独立 Guest Kernel 中 | Apache-2.0 | Kubernetes、containerd、CRI-O 或 Docker 的不可信 workload 隔离 | 不是 Agent 编排平台；启动、镜像和节点运维仍需上层系统负责 |
隔离层级怎么理解
- V8 isolate（Cloudflare Workers、Deno Deploy）：启动极快、密度高，但不是完整 Linux，难跑任意二进制 / 系统工具。
- 浏览器内（WebContainers）：前端「在线跑 Node」很方便，和云端 microVM 不是一类。
- Docker / gVisor（Daytona、Modal、Beam）：容器体验完整，隔离强度介于进程与 VM 之间；Modal / Beam 偏 Python / GPU。
- microVM（Firecracker / Kata / libkrun）：接近真机隔离，仍能较快拉起，适合跑不可信 / Agent 生成代码。
- 完整 VM / KVM（Freestyle、CubeSandbox、InstaVM 等）：权限最完整，冷启动和运维成本通常更高。
- 平台内置黑盒（OpenAI Code Interpreter、Bedrock AgentCore）：接入快，定制和可移植性弱。
- K8s 编排层（agent-sandbox / GKE / Google AX）：管的是沙箱或 Agent 的生命周期，底层隔离仍靠 gVisor、Kata、microVM 或云厂商的执行层。
Deno 这边要分清：Deno Deploy 是 isolate 边缘运行时；Deno Sandbox 才是 Deploy 云上的 Linux microVM，带出站白名单和「密钥只在出站代理注入、不进沙箱环境变量」。
Sandbox 推荐
托管
- 已在 Vercel → Vercel Sandbox
- Agent 跑任意代码、要成熟 SDK → E2B
- 要 fork / snapshot、网页与 Dev Container 向 → CodeSandbox（Together）
- Deno 生态、强出站 / 密钥管控 → Deno Sandbox（纯边缘函数用 Deno Deploy）
- 极速执行一小段 JS/TS → Cloudflare Workers / Deno Deploy
- 边缘 + 容器、深绑 Cloudflare → Cloudflare Sandbox
- Python / GPU → Modal（备选 Beam）
- 成本敏感 → Novita；企业 BYOC → Northflank
- 并行多路探索、瞬时 fork → Morph
- 完整 root / 真 VM → Freestyle / InstaVM
- 先验证、不自建环境 → OpenAI Code Interpreter；已在 AWS → Bedrock AgentCore；已在 GKE → GKE Agent Sandbox
- 浏览器里跑 Node → WebContainers
自建
- 统一沙箱平台（Docker/K8s、多 Agent）→ OpenSandbox
- 已有 K8s、要声明式 Sandbox CRD → agent-sandbox（云上可用 GKE 托管版）
- 分布式 Agent Runtime、需要挂起/恢复 → Google AX
- 开源工作区 + 可托管兜底 → Daytona
- 纯自建 microVM → microsandbox / CubeSandbox
- 自己构建底层隔离 → Firecracker；容器兼容和额外内核隔离 → gVisor；Kubernetes / OCI 容器隔离 → Kata Containers
- 本地 / computer use → SmolVM 相关主题：项目选型。