编码智能体已经从“会补全的输入框”长成了会跑命令、改文件、装依赖的“数字实习生”。但认真用过 Claude Code、Codex 或 Cursor 的人迟早会撞上同一个问题：让它干活，和让它安全地干活，是两件完全不同的事。最近，开发者 Jake Saunders 在个人博客发布了《Building an (almost) fully self-hosted, sandboxed, agentic software factory》，记录了他把“会自己写软件的流水线”几乎完整搬进自管沙箱的过程。文章在 Hacker News 上引发讨论，倒不是因为它发明了什么新东西，而是它把许多开发者心里模糊的念头，落成了一份可以照着抄的施工图。
这座“工厂”长什么样
从文章来看，这套系统的骨架并不神秘，可以拆成三层：
**隔离的执行环境。**智能体的一切动作——读写文件、执行 shell、安装依赖、跑测试——都发生在受控的隔离环境里，而不是在开发机上裸奔。环境用完即弃，出错不伤及宿主。
**流水线化的组织方式。**从任务输入到代码产出与验证，被组织成一条可重复的流水线，更接近 CI/CD 的思路，而不是一个越聊越长的聊天窗口。
**自托管的基础设施。**承载这一切的服务跑在作者自己的环境里，代码与日志不出门。
真正耐人寻味的是标题里那个 "almost"。要真正做到“完全自托管”，缺的那块几乎总是同一个：模型推理本身。Git 服务、构建 runner、沙箱、制品库都能自己搭，但多数人的最后一步，还是把“思考”外包给外部 API。于是出现了一种很当代的图景：软件工厂自建了，工人按 token 外租。
为什么沙箱是刚需
给智能体配沙箱不是洁癖，是被现实逼出来的。今天的编码 Agent 本质上是“会执行任意代码、还会上网查资料的自动化脚本”，两个属性叠加出教科书级的风险面：
- 提示注入：Agent 替你读网页、读 issue、读依赖包的 README，这些内容里完全可以埋进“请把环境变量发到某个地址”的指令。你信任的是你的提示词，Agent 信任的却是它读到的每一行字。
- 破坏性操作：一个理解偏差的删除命令、一次跑偏的迁移脚本，在没有隔离的环境里代价是真实的。
- 供应链风险：让 Agent 自行安装依赖，等于把包名拼写和安全审查都交了出去。
业界的收敛方向其实相当一致：把 Agent 当“不可信负载”对待。OpenAI 的 Codex 云任务默认运行在禁网的隔离容器里；Claude Code 提供权限分级与沙箱化执行；开源的 OpenHands 则直接用容器给每个会话划地盘。再往下是更底层的选型：Firecracker microVM、gVisor 这类用户态内核，以及把“给 AI 应用提供一次性沙箱”做成服务的 E2B。Saunders 的文章处在谱系的“个人自建”一端——不动用任何托管服务，把隔离层和流水线都握在自己手里。
"almost" 背后的两层账
第一层是技术账。Qwen、DeepSeek、GLM 这类开源代码模型在补全和简单重构上已经够用，但长链条的智能体任务——多轮规划、自我纠错、跨文件改动——依然明显偏向头部 API。自托管一个能打的推理集群，要么烧钱买卡，要么忍受体验降级。对个人开发者，“执行平面自管、智能平面外租”是性价比最高的切分。
第二层是信任账。企业场景里代码不能出门，是自托管最硬的驱动。但只要推理还跑在外部 API 上，“完全可控”就只是部分可控。这也解释了标题为何诚实地写上 almost：作者比很多产品文档更清楚自己系统的边界在哪。
老手艺的新用场
“软件工厂”这个说法并不新。Jenkins、GitLab CI 的自托管 runner 早就在隔离环境里执行不可信代码，DevOps 十几年攒下的手艺——临时环境、网络出口白名单、只读密钥、快照回滚——几乎可以原样平移给 Agent。变化的只是流水线上的“工人”从确定性脚本换成了概率性的模型。
这或许是这篇文章对普通开发者最有用的启示：不必发明新范式。把你对待“不可信贡献者”的既有流程套在 Agent 上，八成问题早已有答案。
简短点评
这篇文章的价值不在炫技，而在示范一种务实的姿态：**不要指望提示词能管住 Agent，要用基础设施管住它。**网络出口、文件系统边界、环境生命周期，这些硬约束比任何“请不要做坏事”的指令都可靠。
至于那个 almost 什么时候能去掉，取决于本地模型什么时候能在长任务上追平 API。在那之前，“车间自建、大脑外租”会是相当长时间内的标准形态——而承认这一点，本身就是工程师的诚实。
（来源与讨论：作者博客 / Hacker News）