面向 AI 智能体的危险沙箱：隔离与实际工作能力的权衡方案

一款面向 AI 智能体的 Docker 沙箱在完全隔离与实际工作能力之间做权衡，默认运行 Oh My Pi 智能体，并非理想隔离，需按自身用例调整。其 netless 模式通过 `--network=none` 断网，仅经 tinyproxy 放行 api.venice.ai:443 和本地模型服务 127.0.0.1:8899 两个 unix socket 通道。