模块 XVII —— agent 模拟与测试沙箱

模块 XVII 是测试沙箱：它在一个隔离、临时的环境中运行一个 agent 场景， 确定性地重放一个历史会话，并在部署之前比较两个变体。它是模块 XII（评估）的同类——XVII 在隔离中执行并产出输出，XII 衡量它们的质量——且两者解耦：彼此都不导入对方。 本页是沙箱当下所做之事及其诚实限制的参考。

它是什么

沙箱编目运营方编写的场景：一系列步骤输入，加上一次运行被允许触及的工具与资源的 mock 响应。 一个场景是一个合成夹具——没有机密、没有生产句柄——在被持久化之前被钳制。三种流程在其上运行：

• 场景模拟 —— 针对其 mock 执行一个场景的步骤，产出逐步输出（可选地针对一个评估套件评分）。
• 重放 —— 重建一个历史会话的输入时间线，并针对 mock 确定性地重新运行它， 使得相同的输入产出相同的输出。
• 部署前/后比较 —— 针对一个基线和一个候选变体运行同一个场景，对两者评分， 并连同差量记录一个裁决（improved / regressed / unchanged / inconclusive）。

实体与隔离保证

本模块拥有四个实体：一个可变的 scenario、一个可变的 run（running → 终态）、 一个仅追加的逐步 output，以及一个仅追加的部署前/后 comparison。每次运行都记录哪个 runner 运行了它、该 runner 是否为 isolated、临时状态是否被 destroyed、逐步计数， 以及——若配置了一个 scorer——套件、分数和通过裁决。

隔离是协议契约的一项属性，按运行加以证明，而非一项声称。默认的进程内 runner 在构造上即隔离： 它只接收步骤与 mock 规范，不持有指向存储、网络或任何机密的句柄；一个请求 mock 中不存在的资源的步骤 产出一个确定性的 mock-miss 标记，并且绝不触及一个真实资源；状态存在于该调用中并在返回时被丢弃， 因此该运行记录 destroyed。在运营方置备下，一个 OS 级运行时支撑在同一接口之后—— 一个临时、加固、出口受控的实例，其后端（gVisor 或 Firecracker microVM）由策略选择并由预检门控。 每次运行都记录真实后端及其 isolated 标志，因此一个降级或可移植的后端是可见且可审计的，绝不被隐藏。

它消费什么、产出什么

沙箱不在事件总线上发出；它产出其他模块在不与其耦合的情况下读取的持久化证据。 它的输出由模块 XII 通过一个仅在组合根中装配的适配器评分——这两个同类共享一份薄端口契约， 而非一次导入。它的部署前/后比较是部署模块用于门控一次提升的决策证据，并且它馈送 XII 跟踪的 回归基线。启动一次运行、一次重放或一次比较是一个特权、租户级、受审计的操作 （editor 及以上可运行；部署比较是一个 admin 决策）。

诚实的限制

• 默认运行时仅为合成。 在运营方未置备 OS 级运行时的情况下，进程内 mock runner 即为后端： 它在构造上即隔离，但只针对 mock 执行，因此它无法触及一个真实目标，也无法支撑一次针对实时基础设施的 对抗性探测（模块 XVIII 在该运行时被置备之前保持其自己的安全默认）。这是诚实的，而非降级的—— 一个默认部署是完全可用的。
• 已置备但无能力则 fail closed。 当请求 OS 级隔离而主机缺少该原语时，引擎照样完成装配，且每次运行都 fail closed——它绝不静默降级到合成 runner 或伪造一个 microVM。一次在没有隔离的主机上的运行 被记录为未隔离，绝不记录为受保护。
• 未配置 scorer ⇒“已执行，未评分”。 一次携带套件引用却没有 scorer 适配器的运行被记录为已执行 但未评分——绝非一次静默通过。
• 重放对缺口保持诚实。 如果历史源无法重建一条有序的时间线，该重放会被报告为零步骤的降级， 绝不编造。
• 没有合成数据生成。 这只是一个有记录的 post-v1 扩展点；本模块不随附任何生成器， 不为其暴露任何路由，也产出零样本。

相关内容

• 模块 XII —— 质量、评估与测试 —— 对输出评分的那个同类。
• 模块目录 —— XVII 所处的位置以及 Govern/Actuate 划分。
• 架构概览 —— Intelligence 层。
• 治理与审批 —— 对一个部署前/后裁决采取行动。
• 诚实与限制 —— 贯穿产品的 deny-closed 接缝。