当 agent 开始自己写代码并执行，普通 Kubernetes Pod 的隔离就不够用了：容器共享宿主机内核，一次内核漏洞或者一条被注入的恶意指令，影响面就是整个节点。全量微虚机隔离够强但太重，每次工具调用都要启动客户机内核，光延迟就是几秒，而 agent 一次会话要调几百次。作者介绍基于 gVisor、跑在 GKE 上的 Agent Sandbox：内核级隔离加上 Pod 快照，把启动压到亚秒级。