最近在补 AI Agent 最容易被一句“工具调用成功”带过的两块基础设施： 执行边界 ：Agent 能跑 shell ，不代表应该碰到宿主机。 交付证据 ：控制器返回成功，不代表用户真的能访问网站。 于是拆成了两个 MIT 开源项目： Sandbox ：每个 Runtime 都是 Kubernetes 上的 gVisor Pod ，默认 non-root 、只读根文件系统、无 ServiceAccount token 、default-deny NetworkPolicy 。Control Plane 或 Runtime 不可用时直接失败，不会偷偷降级到宿主机执行。 Site ：Agent 通过 HTTP / CLI / MCP 提交部署，Operator 等工作负载 Ready 后，会自己请求真实地址，把 HTTP 状态码和响应体 SHA-256 写入 status.verification 。也就是把 “deployed” 从一句话变成可检查的测量结果。 Sandbox 在本地参考环境里的实测：冷启动 p50 2.497s / p...