droprun.sh

Drop sandbox for Linux

译：无 root 的 gVisor 沙箱给 agent 试错，降低“能跑”变成“能破坏”的风险。

  • 无 root 限制了权限爆炸的半径

  • gVisor 为试错提供隔离边界，但仍要审计挂载与网络

  • 本地执行的好处是可观察、可停、可清理