Runtime 与 Sandbox

成熟度：Experimental

目标

理解 Gateway 接受 Run 后，工作负荷如何进入 Runtime、Sandbox 或窄 Host capability，以及不同部署形态不能互相假设的能力。

当前可用

• Run 是当前最小执行原子；Gateway 默认在进程内执行队列中的 Run。
• Desktop 使用 OS 沙箱：macOS Seatbelt、Linux bwrap、Windows AppContainer；默认策略为 workspace-write。
• Agent 只应看到 /mnt/... 虚拟路径，由 PathMapper 在执行边界转换。
• 沙箱适合在当前线程工作区内编辑、安装依赖和运行受限命令。
• 已登记的 Host capability 可处理沙箱无法提供的少量 OS 原语，并使用结构化参数、固定 argv、路径篱笆和适用的 Consent。
• HARP 当前部分支持 runtime.kind: http 的安装与进程生命周期。

执行边界

Application → Gateway → Run / Runtime
                           ├─ Sandbox workload
                           ├─ 已登记的 Host capability
                           └─ HARP http 进程（部分实现）

• Runtime 不拥有业务对象真相，也不能绕过 Host 授权。
• 沙箱不是任意 host shell；模型请求 danger-full-access 或任意宿主命令会被拒绝。
• Host 调用只能返回虚拟路径和结构化结果，不能向模型泄漏本机绝对路径。
• Cloud / Web 缺少某项 Desktop Host capability 时应明确失败，不能伪造成功或弹出 Desktop 授权卡。
• 默认 Docker 镜像不是分布式 Worker 集群；PostgreSQL、Redis 和 Docker sandbox 配置也不代表默认拓扑完整启用。

未来能力

Planned： 统一 Runtime Protocol、公开的 Job / Workload 生命周期契约、资源配额语义、跨平台能力发现，以及 placement、取消、超时和产物验证的 conformance。

Object 与 Control 当前均为 Proposed；Run、工作区文件或隐藏 Thread 不应被描述为完整对象或协调协议。

相关文档

• AI Gateway
• AIOS 协议族
• HARP 应用协议
• 事件流、Consent 与恢复
• 部署选型