Shell Execution · 沙箱栈

Shell 是 B 轴 最强力也最危险的扩展——它把 agent 的动作空间从"我们暴露的几个 tool"瞬间扩成"整个 OS 上能跑的命令"。

1. 给 agent 一个 shell 意味着什么

对照 00 · 04 节 的 B 轴（动作空间）。一组对比：

• 暴露 5 个 tool（read_file / write_file / grep / glob / web_fetch）：动作空间 有限、可枚举、可静态分析。
• 追加一个 shell(command: str)：动作空间瞬间扩成"OS 上一切可执行命令的笛卡尔积"。

这不是"多了一个工具"——这是"动作空间的拓扑变了"。两个直接后果：

1. 能力暴涨：agent 现在可以装包、跑测试、git diff、curl API、ffmpeg 转码——一切 OS 命令。这是 coding agent 的根。
2. 守门必须沙箱化：再也没法靠"枚举所有 tool 写 rule"——必须用 OS 级隔离，把"agent 能做什么"约束在物理层（参考 07 节 Permissions）。

2. 沙箱的 4 个独立维度

"沙箱"不是一个开关，是 4 个开关：

4 个维度必须同时考虑——只控其一不算沙箱：只限文件不限网络 = 数据可被外传；只限网络不限进程 = fork bomb。

3. 沙箱级别 · 可切换查看

大多数 production agent 把"4 维沙箱"打包成几档预设。点击切换看每档的 4 维取舍：

4. 实现栈 · 从轻到重