Rivet 3 + Pi Durable + OpenSandbox

Rivet 3 + Pi Durable会话调度、Agent 执行与状态
OpenSandbox按需领取沙箱，统一文件与命令
NAS / PVC保留大视频、工作文件与产物
在线 Agent
连续对话、流式输出、会话重连。
后台 / 批量 Agent
一任务一会话，按配额并发；读取大视频，完成后保留产物。
subagent
父 Agent 按需派发子任务，独立执行并汇总结果。

架构与职责

当前倾向组合：Harness 与 Sandbox 分离Actor 按 key 寻址，每个 Actor 包含 Pi 会话、Harness 与私有 SQLite；Engine / WarpDrive 在 Actor 外提供复制与持久化。文件和命令由外部工具沙箱统一执行。产品控制面 · 自建定义与发布 / Runtime API / 租户与配额Agent 运行 · Rivet 3Pi Durable + Actor SQLite沙箱服务 · CI + OpenSandboxCI 构建 / 沙箱管理与执行基础设施与外部服务Actor × N按 key 寻址发布构建推送拉取镜像预热 / 分配 / 回收首次领取 / 结束释放文件 / 命令挂载资源配置日志 / 对象桶模型 / API 调用UI / API / 消息 / Webhook在线 / 批量 / Agent 发起Agent 托管控制面定义与发布 + Runtime APIAgent 定义与发布model / tools / skills / 版本Environment 定义image / CPU / 内存 / readyWorkspace 模板与绑定初始文件树 / NAS 目录 / 产物Agent Runtime API发起 / 查询 / 终止Trigger / Cron / 批量派发Rivet Schedule / 自建批量入口Pi 会话 / Run多轮执行 / 子 Actor 派发Pi Durable Harness模型循环 / 上下文 / 工具编排Actor 私有 SQLite对话 / 检查点 / 业务状态环境构建任务打包工具 / Skill / 初始模板沙箱管理服务创建 / 热池 / 回收工具沙箱实例 × Nread / write / edit / bash模型 / 可信 API模型供应商 / 内部 APINAS · 工作文件与产物独立目录 / 产物保留镜像仓库ACR · 镜像版本Rivet Engine / WarpDriveESSD / S3 兼容桶
UI / API / 消息 / Webhook三类入口共用 Agent 运行底座；批量提交一组独立 Agent，subagent 由父 Agent 派发，不预设 Workflow。
Agent 托管控制面提供声明式定义与发布，以及发起、查询、终止接口。执行命令按 key 交给 Rivet Actor / Pi；配置与版本由产品控制面保存，会话状态与事件从 Actor 查询。durable-harness + PG 保留对照。
Agent 定义与发布自有项目契约，参考 eve 的声明式开发体验。定义、发布和业务配额由我们补齐；Pi 持久化与恢复队列复用已有框架。
Environment 定义自有环境契约，先构建和校验，再生成不可变环境版本。系统依赖与 Agent 提示词、Skills 分开管理。
Workspace 模板与绑定定义初始文件树与 NAS 数据卷。后台任务以完成后保留产物为主；Pool 模板可预挂 PVC。按 Pod 预绑定目录及 run→sandbox→目录映射需我们适配，目录可见范围和 RuntimeClass 兼容需 ACK 实测。
Agent Runtime API控制面内的运行时接口，发起和终止命令交给 Session / Run 与 Pi；查询状态、进度和输出事件关联会话与执行状态。终止当前执行仍保留已持久化会话和工作文件。
Trigger / Cron / 批量派发Rivet 提供定时与队列原语；批量入口按业务配额派发独立 Actor key。业务 Cron 配置、并发额度、父子关系与结果汇总仍需接入，批量任务仍是一组独立 Agent。
Pi 会话 / RunRivet 按 key 管理 Actor 的路由、激活和休眠；每个 Actor 可容纳多个 Pi Conversation。独立子 Agent 采用独立 key，父子派发已有示例；业务汇总、配额和终止传播策略需接入验证。
Pi Durable HarnessPi Durable 在 Rivet 计算 Worker 内运行，使用 Actor SQLite 保存会话与任务检查点；模型可自配，文件和命令统一经 provider / ExecutionEnv 进入 OpenSandbox。SDK 与 provider 适配属于正常开发。
Actor 私有 SQLitePi 会话保存在 Actor SQLite；Rivet Engine / WarpDrive 负责日志复制和持久化，近期写入先在 Engine 磁盘确认，再后台下沉对象桶。NAS 视频与产物独立保存；对象桶兼容及运行稳定性需实测。
环境构建任务发布阶段将重工具依赖、Skill 文件和初始模板打包为版本化镜像，推送镜像仓库；不在每次执行时重装依赖。
沙箱管理服务接收环境规格、挂载和热池配置，准备执行实例。首次文件或命令工具调用时领取，任务结束后释放或销毁，并补充预热容量；普通 K8s Pool 须提前挂卷。
工具沙箱实例 × N统一在沙箱内执行文件读写和命令，访问同一份挂载目录，无独立虚拟 FS 或文件同步层。隔离运行时作为环境配置；每任务使用独立目录，目录映射、挂载兼容和产物保留需实测。
模型 / 可信 API复用现有模型与 API。模型选择、调用凭证和限额由平台配置；本轮不新增模型网关选型。
NAS · 工作文件与产物已支持：普通 K8s PVC/subPath 与 Pool 模板静态预挂载。候选：subPathExpr 按 Pod UID 在预热时选目录，领取时绑定 run，完成后保留产物并销毁 Pod。该组合需适配与 ACK 实测；共享 PVC 不随任务删除，不能用 cwd 充当目录隔离。
镜像仓库使用独立镜像仓库保存构建产物；环境发版时构建并推送，执行实例在预热或创建时拉取。
Rivet Engine / WarpDriveRivet Engine 使用各实例独立 ESSD 保存日志与身份，并将数据后台下沉到对象桶。对象桶兼容与恢复需实测；配置存储归产品控制面，Agent 会话无需 PG World。
为什么把 Harness 放在服务端
完整 Pi Pod 与服务端 Harness 的架构对照完整 Pi Pod 的 Harness 和工具共用生命周期；服务端 Harness 与工具沙箱、外置会话分别替换，减少启动等待并支持分别恢复。每个 Pod 运行完整 Pi服务端 Harness + 工具沙箱本地调用远程工具 API文件文件Pi Harness · 模型 / API每个 Agent 随完整 Pod 启动bash / ffmpeg / 浏览器与 Harness 共用 Pod 的生命周期外置会话 / Workspace可用持久卷或数据库会话可恢复；计算仍随 Pod 启动服务端 Pi Durable先执行模型与 API；按需连接工具独立工具沙箱 · OpenSandbox首次文件或命令调用时领取；可单独重建PG Session 日志 + NAS Workspace会话与工具文件分别持久化Harness 重启读日志；产物保留在 NAS启动先启动完整环境模型 / API 可先跑；沙箱按需领取故障Pod 重启后恢复 Agent沙箱 / Harness 可分别替换与恢复凭证需另做凭证与工具隔离模型 / 平台凭证可留在沙箱外代价本地调用直接，接入简单需远程工具接口与 Workspace 绑定
Pi Harness · 模型 / API完整 Pi 在 Pod 中运行，文件和工具可以直接本地调用。会话仍可外置持久化；Pod 故障不必然丢会话，但需要重启完整 Agent 环境。
bash / ffmpeg / 浏览器业务也可以额外隔离工具和凭证；本图比较的是把完整 Pi 与工具环境放在同一 Pod 的基本部署方式，不把所有安全缺陷视为必然结果。
外置会话 / Workspace外置会话与工作文件也适用于完整 Pi Pod 路线。因此两种架构的区别不只是是否持久化，而是 Harness 与工具能否独立启动、替换和扩容。
服务端 Pi Durable借鉴 Anthropic 将 brain、hands、session 分离。我们用 durable-harness + Pi Durable 实现服务端 Harness；模型和可信 API 不必等待工具沙箱创建，多个 Agent 可独立启动。
独立工具沙箱 · OpenSandbox沙箱作为远程工具环境。工具失败反馈给 Agent，再决定重试或重建；沙箱可从已预挂 NAS 的热池领取。模型和平台凭证可留在沙箱外，具体权限仍需接入。
PG Session 日志 + NAS Workspace服务端 Harness 故障后由新实例读取日志接续；工具工作文件单独保留。这是本任务的候选组合，不是宣称 Anthropic 底层使用 PG 或 NAS；实际恢复和工具接入仍需 POC。
Anthropic · Managed Agents

Agent 运行底座

保留可自部署方案；三者均可接 Pi Durable，差别在会话管理与存储底座。

比较什么Rivet 3 · 当前倾向durable-harness + PGcelld
会话模型Actor key → Agent 实体
原生路由、激活与休眠		sessionId → World run
请求 / 队列重开 Session		Cell 名称 → DO 实体
按请求激活
Pi 与恢复Pi Durable + Actor SQLite
检查点与恢复；由 Engine 持久化		Pi Durable + World 日志
检查点、回放与写入 fencing		可接 Pi Durable
会话与生命周期需验证
实时与派发已有订阅 / Steer / Abort
批量与子 Agent 使用独立 key		已有 SSE / Steer
批量与子会话由队列派发		沿用 DO 接口
流式与子 Agent 接入需验证
状态与扩容每 Actor SQLite
Worker / Engine 分别伸缩		集中 PG 日志与队列
加 Worker 不直接增加 PG 写容量		每 Cell SQLite
节点盘 + 对象桶
我们运维什么Worker + Engine + 持久盘 + CAS 桶Agent Server + 托管 PGcelld 节点 + 持久盘 + CAS 桶
取舍当前倾向：实体管理完整
Preview 稳定性与恢复需验		结构直接；运行层仍为 Beta
PG World 负载与接管需验		组件少
Pi 兼容与节点恢复需验
Actor 与执行日志：两种会话模型
相同 Pi Durable，两种 Session 管理方式Rivet 管理按 key 寻址的 Actor；pi-world 把 Pi Session 映射为持久 World run。两边都有 Pi 检查点与恢复，World run 不等于一次业务 Agent 执行。Rivet · 实体的位置与生命周期durable-harness + PG · 日志与队列路由 / 唤醒请求 / 投递打开 Harness打开 HarnessStorage 适配Storage 适配Actor key · 持久身份按 key 找到同一个 Agent 实体sessionId · 持久身份Pi Session 映射为 World runRivet · 路由 / 激活 / 生命周期把请求送到活跃 Actor空闲休眠；请求或定时任务唤醒World · 日志 / 队列 / 写入者接管HTTP 或队列触发 Worker 重开 Session写入冲突 fencing；后台队列恢复未完成执行Pi Durable · 相同的 Harness模型循环 / 工具 / 检查点 / 恢复一个 Actor 可容纳多个 ConversationPi Durable · 相同的 Harness模型循环 / 工具 / 检查点 / 恢复一个 Session 可继续多轮执行每 Actor SQLite → Engine / 对象桶Pi 任务状态与业务表可共存计算 Worker 与存储 Engine 分别伸缩World 事件日志 → 托管 PGPi commit 写入日志；重开时回放多个 Worker 共享日志与队列World run 是 Pi Session 的日志容器，≠ 一次 Agent 执行；两边都可一个会话持续多轮。
pi-world：Session 与日志 Pi 接入 / Steer Rivet 会话生命周期 Rivet Pi / 恢复

部署细节

Rivet 3 + Pi Durable

当前倾向：复用 Rivet 的 Actor 与 Pi 集成；我们维护 Worker、Engine、独立块盘和对象桶。

查看部署图
Rivet 3 + Pi Durable：ACK 中的 Agent 运行组件只比较 Agent 计算、运行时和持久存储的部署差异。沙箱作为共享外部接口；普通安装配置不作为阻塞。ACK · 我们部署的 Agent 运行组件工具 APISQLite 页 / 提交磁盘副本后台下沉阿里云 ALB统一任务 API / SSE / 长连接入口计算 Worker Pod · Node.js + RivetKit一个 Node.js 进程 · 多个 Actor 共享 V8Actor A · 逻辑实例Pi Durable · HarnessSQLite A · 独立会话状态Actor B · 逻辑实例Pi Durable · HarnessSQLite B · 独立会话状态逻辑状态隔离；每 Actor 不独占 V8 isolate不可信命令走外部沙箱；可信工具仍在 Worker外部工具沙箱 · 执行隔离read / write / edit / bash首次调用领取；结束后释放Rivet Engine 3 · StatefulSet ×3Actor 分配与路由 · WarpDrive 日志复制与持久化Engine 与计算 Worker 分开部署；3.0 不依赖 PG / NATS当前 Preview；升级与备份恢复需验证阿里云 ESSD · Engine 持久盘每个 Engine 独立 PVC；RWO；按官方要求配置盘容量保留副本与尚未下沉的数据，不能当作可丢缓存对象桶 · S3 兼容接口需要条件写 CAS / RangeOSS 缺所需 CAS；TOS 待实测
阿里云 ALB三种方案共用的业务入口；部署建议使用 ALB Ingress，运行底座内部接口不直接暴露公网。
计算 Worker Pod · Node.js + RivetKit这是普通 Node.js + RivetKit + Pi 路线：多个 Actor 共享同一进程和 V8 执行环境；Actor 是身份、上下文与 SQLite 的逻辑隔离，不是每 Actor 一个 V8 isolate、线程或进程。Rivet 提供调度与状态运行时，不为普通 Actor 自建安全隔离 VM。Pi 与可信自定义工具在 Worker 中执行；不可信命令、文件操作交给外部沙箱。SQLite 页读写通过 VFS 交给 Engine / WarpDrive。
外部工具沙箱 · 执行隔离不可信的 shell 命令和重资源工具在外部沙箱执行，文件工具也操作同一沙箱目录。Pi Agent 循环和可信自定义 TS 工具仍在上面的运行进程内执行，不能把 Actor 的逻辑隔离当作用户插件的安全边界。容器 / gVisor / Kata 的隔离强度及 NAS 兼容性在沙箱章节另行验证。
Rivet Engine 3 · StatefulSet ×3Engine 使用多数磁盘副本确认提交，再后台下沉对象桶；磁盘上可能保留尚未下沉的已确认数据。当前版本升级需维护窗口，备份桶恢复到全新集群官方尚未验证。
阿里云 ESSD · Engine 持久盘按官方块盘要求映射 ESSD；每 Engine 至少 100 GiB 的生产建议需结合规格核验。盘和实例身份绑定，不能改用多实例共享 NAS。
对象桶 · S3 兼容接口两种运行时都需要满足其对象存储协议；不能只凭 S3-compatible 名称认定兼容。OSS 缺少所需条件写；TOS CAS、寻址、Range 与恢复语义需按锁定版本验证。

durable-harness + Pi Durable + 托管 PG

Pi Durable 运行 Agent；durable-harness 接入日志与恢复，PG World 连接托管 PG。

查看部署图
durable-harness + Pi Durable + 托管 PG：ACK 中的 Agent 运行组件只比较 Agent 计算、运行时和持久存储的部署差异。沙箱作为共享外部接口；普通安装配置不作为阻塞。ACK · 我们部署的 Agent 运行组件工具 API会话日志 / 队列阿里云 ALB统一任务 API / SSE / 长连接入口Agent Server Pod · Deployment ×NNode.js 进程 · 下列模块均随 Agent Server 一起部署Pi Durable · 会话执行按 sessionId 打开独立 Harness；由请求 / 队列驱动模型循环 / 上下文 / 工具编排durable-harness · 日志与恢复接入openWorldStorage / resumeWithPG World · Agent Server 进程内库World 日志存储接口 / Graphile Worker 队列外部工具沙箱 · 执行隔离read / write / edit / bash首次调用领取；结束后释放RDS PostgreSQL · 持久化 + 队列保存 World 会话事件、执行记录与任务队列我们配置数据库、迁移与容量；数据库底座由云侧托管
阿里云 ALB三种方案共用的业务入口；部署建议使用 ALB Ingress，运行底座内部接口不直接暴露公网。
Agent Server Pod · Deployment ×N每个会话由 Pi Durable Harness 执行模型循环、上下文管理与工具编排；durable-harness 提供 World 存储和会话恢复接入，PG World 负责日志接口及队列消费。三个软件层均在同一 Agent Server 进程内，多副本共享托管 PostgreSQL。OpenSandbox ExecutionEnv 仍需接入，PG 并发和故障接管需 POC。
外部工具沙箱 · 执行隔离不可信的 shell 命令和重资源工具在外部沙箱执行，文件工具也操作同一沙箱目录。Pi Agent 循环和可信自定义 TS 工具仍在上面的运行进程内执行，不能把 Actor 的逻辑隔离当作用户插件的安全边界。容器 / gVisor / Kata 的隔离强度及 NAS 兼容性在沙箱章节另行验证。
RDS PostgreSQL · 持久化 + 队列RDS PG 是该方案的 Agent 状态与队列依赖，不只是业务配置库。PG World 官方仍定位为参考实现；PG 压力、多 Pod 接管和长会话恢复需实测。

celld + Pi Durable

每节点部署 celld 进程，同时承载 Cell 与存储协议；需要本地状态盘和满足 CAS 的对象桶。

查看部署图
celld + Pi Durable：ACK 中的 Agent 运行组件只比较 Agent 计算、运行时和持久存储的部署差异。沙箱作为共享外部接口；普通安装配置不作为阻塞。ACK · 我们部署的 Agent 运行组件工具 APISQLite / 日志复制 / 上传阿里云 ALB统一任务 API / SSE / 长连接入口celld Pod ×N · Rust 二进制Rust 内嵌 V8 · 每 Cell 独立 isolateCell A · V8 isolatePi Durable · HarnessSQLite A · 独立会话状态Cell B · V8 isolatePi Durable · HarnessSQLite B · 独立会话状态每 Cell 独立 JS 堆；多个 Cell 共享 Rust 进程仅可信应用；Pi 待验证，重工具仍走外部沙箱外部工具沙箱 · 执行隔离read / write / edit / bash首次调用领取；结束后释放阿里云 ESSD · celld 节点状态盘每个节点独立持久目录；保存 SQLite / 复制日志磁盘恢复与节点接管按 celld 协议实测对象桶 · S3 兼容接口需要条件写 CAS / RangeOSS 缺所需 CAS；TOS 待实测
阿里云 ALB三种方案共用的业务入口；部署建议使用 ALB Ingress，运行底座内部接口不直接暴露公网。
celld Pod ×N · Rust 二进制源码 crates/celld/js.rs 直接使用 rusty_v8，每个 Cell 创建独立 V8 isolate，并连接自己的 SQLite；多个 Cell 仍位于同一 Rust 节点进程。不是完整 Deno CLI 或 workerd 的直接套壳，Workers 宿主 API 由 celld 实现。官方仍限定一 fleet 一个可信应用，不支持敌对多租户；isolate 不等于容器或 MicroVM。Pi 接入与生命周期待验证，bash / ffmpeg 仍走外部沙箱。
外部工具沙箱 · 执行隔离不可信的 shell 命令和重资源工具在外部沙箱执行，文件工具也操作同一沙箱目录。Pi Agent 循环和可信自定义 TS 工具仍在上面的运行进程内执行，不能把 Actor 的逻辑隔离当作用户插件的安全边界。容器 / gVisor / Kata 的隔离强度及 NAS 兼容性在沙箱章节另行验证。
阿里云 ESSD · celld 节点状态盘celld 外部服务依赖少不代表本地盘可任意丢弃。使用独立持久盘并验证节点恢复、日志复制与对象桶接管；不是 NAS 工作文件盘。
对象桶 · S3 兼容接口两种运行时都需要满足其对象存储协议；不能只凭 S3-compatible 名称认定兼容。OSS 缺少所需条件写；TOS CAS、寻址、Range 与恢复语义需按锁定版本验证。
durable-harness 自托管 Rivet 3 自托管 Rivet 存储 Rivet 执行边界 celld V8 实现 celld 安全边界 celld 运行边界
接入与验证
候选正常开发POC 验证可能阻塞
Rivet 3自运维 Engine / 磁盘 / 对象桶OpenSandbox provider
Engine / 独立块盘 / 桶配置		TOS 的 CAS / Range；单节点失效
当前升级需全停；演练维护窗口
备份桶 → 新集群恢复：官方尚未验证		OSS 缺所需 CAS；TOS 待验
恢复缺陷可能迫使我们接手 WarpDrive
durable-harnessPG 底座托管；维护服务与队列接入模型 / 远程工具适配
Agent 定义、发布与配额		PG 队列与日志负载
多 Pod 接管、长会话重开
长视频工具、热池 / NAS		PG World 尚未针对规模优化
若负载 / 恢复不达标，可能需改核心
celld自运维节点 / 本地盘 / 对象桶示例升级、PiHarness / 会话 API
Virtual-hosted 寻址
模型与 OpenSandbox provider		TOS 的 CAS / Range
Pi / SQLite / 生命周期兼容
热池 / NAS、领取与产物保存		OSS 缺所需 CAS；TOS 待验
所有权 / 复制缺陷可能需长期维护
durable-harness 自托管 PG World 边界 Rivet K8s Rivet 升级 Rivet 备份恢复 celld 运行边界 TOS 条件写
S3 与 PG：为什么出现对象存储底座

S3 正在成为 PaaS 的持久化底座

S3 从备份存储走向 System of Record（权威数据源）。

  • 实体长期存在，计算按需启停。
  • 本地负责性能，S3 负责长期持久化。
  • CAS 原子更新单个元数据对象。
逻辑实体长期存在，计算实例按需激活实体按需激活计算实例，本地存储处理热数据和事务，持久状态按协议提交到对象存储。虚线表示从持久状态恢复；近期复制日志仍可能必须保留。按需激活本地读写持久化与提交故障恢复 / 状态重建逻辑实体 · Actor / Git 仓库 / 数据库持久身份与状态，不依赖原来的执行进程临时计算实例 · Worker / 运行时按需创建、激活与销毁本地状态与缓存内存 / SQLite / SSD；处理热路径与局部事务S3 / TOS · 长期持久化底座不可变数据 + Manifest / 元数据条件写提供 CAS 原语；上层协议决定提交规则

Rivet / celld 的近期复制日志仍需保留；仅靠桶不一定能恢复最新状态。

为什么成为趋势

项目逻辑实体本地计算／状态对象存储的作用
celldActor / SessionSQLite / 本地日志SQLite 状态持久化、所有权协调
RivetActor / AgentSQLite / WarpDrive卷数据的长期持久化
Cursor ContinuityGit 仓库Git / 本地仓库缓存权威 WAL / 索引 / CAS 提交
SlateDBKV 数据库Memtable / 本地缓存SST / Manifest / 版本控制

与共享 PG 的区别：事务计算分散到各实体

共享 PG 与按实体拆分的数据库计算左侧是 Agent Server 连接共享单主 PostgreSQL。右侧各 Actor 在自己的 SQLite 中处理局部事务和索引，提交协议再持久化到共享对象存储。横向扩展收益来自事务局部化与计算存储分离，跨 Actor 事务需额外协调。共享数据库执行引擎按实体拆分数据库计算共享 SQL / 事务资源WAL / 数据页经各自的持久化协议提交Agent Server × N应用计算可以横向扩容共享 PostgreSQL 主库SQL / 事务 / 索引更新集中在同一执行服务潜在瓶颈：CPU / 连接 / 锁 / WAL / I/OPG 管理的持久磁盘与副本数据库负责 WAL、复制和恢复Actor APi + SQLite局部事务 / 索引Actor BPi + SQLite局部事务 / 索引Actor CPi + SQLite局部事务 / 索引S3 / TOS · 共享持久化保存日志、快照与对象；不执行 SQL

事务局部化 + 存算分离。单热点和跨 Actor 事务仍需处理；PG 也可通过分片扩展。

SlateDB RisingWave on S3 PG 存算分离案例 · Lakebase

沙箱后端

当前倾向：OpenSandbox + 现有 ACK + NAS/PVC。复用现有集群与文件存储；我们维护控制组件和执行节点，先验证热池预挂 NAS 与冷启动。云托管方案仍可选，不以复用 ACK 节点为硬门槛。

✅ 可覆盖；❌ 未完整覆盖或未确认。悬停查看条件；复杂度为接入估计。

比较什么OpenSandbox
普通 ACK		ACS
容器版		FC 极速版
一代		FC 极速版
二代		SPACE
部署位置与算力归属我们在现有 ACK 部署 Server、Controller 与沙箱 Pod；使用自己的节点算力。基于 Kubernetes；沙箱使用 ACS 托管算力，Agent Server 可继续留在 ACK。无需把复用现有 ACK 节点作为硬门槛。沙箱运行在 FC 托管底座；Agent Server 可继续留在 ACK，通过 API 调用。沙箱运行在 FC 托管 MicroVM；Agent Server 可继续留在 ACK，通过 API 调用。可用 Kubernetes adapter；我们维护满足 KVM、btrfs 等要求的执行节点，ACK 部署待验证。
资源规格K8s 后端传递 resource requests / limits，可配置 ephemeral-storage；它是 kubelet 资源计量与驱逐边界，不是即时磁盘硬配额。SandboxSet 支持 CPU、内存和 ephemeral-storage 规格；按 ACS 支持的算力组合配置。CPU / 内存可配；文档列临时磁盘默认 15GB，但完整可调范围未确认，不把整项视为满足。CPU / 内存可配且最少 1 Core；临时磁盘配置边界尚未确认。创建接口支持 vCPU、memory_mib、disk_mib；自定义 disk_mib 会绕过现有 warm pool。
PVC／NAS 挂载普通 K8s 后端支持 PVC、readOnly 与 subPath；Pool 需模板提前挂卷，领取时不能追加卷。已有 CSI / NAS 动态挂载和 readOnly / subPath 配置。一代支持 NAS；需配置 VPC、挂载路径与读写权限。二代动态存储目前列 OSS / AgenticFS，未列普通 NAS；不能直接用 AgenticFS 替代现有 NAS。VM 到现有 NAS 的挂载通道与权限路径尚未验证，不能直接套用 K8s PVC。
Warm PoolK8s Pool 支持预备 Pod 与补池；NAS / PVC 必须在模板中提前挂载。SandboxSet / PoolAutoscaler 提供热池容量、补充与伸缩；NAS 通过模板或 CSI 挂载配置。已有镜像预热；尚未确认同时覆盖可控实例池容量、补池与 NAS 预挂的完整要求。已有模板预热，但普通 NAS 挂载不在二代已确认能力中。已有 VM warm pool、目标容量与补池；NAS 预挂尚未确认，按完整要求不打勾。
启动就绪检查可配置 Pod readinessProbe 联检 execd、工具和预挂目录；Pool 依据 Pod Ready 分配。需实测领取到可执行延迟，挂载成功不代表视频已缓存。已有 Ready / Claim 状态；领取后动态挂载与工具就绪的完整联检路径仍需核实。镜像预热不等于业务工具与 NAS 均已就绪；完整就绪联检待确认。模板支持启动 / 就绪命令；现有 NAS 路径未覆盖，因此整项尚未满足。已有运行状态与进程端点就绪检查；NAS 就绪链路未验证。
NAS 文件恢复独立管理的 NAS / PVC 不随沙箱删除。新沙箱重新挂载同一任务目录；我们保存 run 与目录绑定。无需 rootfs 或内存快照，运行中命令需重启。低 · 重新挂载使用外部 NAS，销毁与重建不删除文件；配置 CSI / NAS 并重新绑定任务目录。低 · 重新挂载一代支持 NAS；配置 VPC、目录与权限后，新实例重新挂载原目录。低 · 重新挂载二代已列 OSS / AgenticFS，普通 NAS 的挂载路径未确认；不能将其他持久存储直接当作 NAS。接入路径待确认VM 到现有 NAS 的挂载、权限与重建路径未确认；自身 VM 快照不等于 NAS 文件恢复。挂载适配待验证
rootfs 快照普通 K8s 已有 rootfs-v1：提交为 OCI 镜像并恢复。配置 Snapshot CRD / Controller、同节点 commit Job、镜像仓库与推拉凭证；需访问节点 containerd。单副本，不保存进程内存，也不包含 NAS 内容；不兼容 runsc，其他运行时需核实。中 · 快照组件 / 仓库已有云盘休眠、快照休眠与 Checkpoint；配置受支持组件和休眠策略。NAS 数据独立保留，不由 rootfs 快照回滚。低—中 · 策略 / API通过 Pause / Resume 保留实例文件系统；需要开通权限。一代没有二代独立 Snapshot / Fork 接口，不能据此理解为可任意克隆。低—中 · 开通 / API支持 Pause / Resume 与 Snapshot / Fork；Snapshot / Fork 需开通。模板、镜像兼容与恢复行为需验证，二代仍为 Beta。低—中 · 开通 / APIsuspend 保存 VM 文件系统及运行状态，wake 恢复；需部署 worker、快照对象存储并验证上传与恢复。中 · 快照存储 / 流程
完整功能表 · 含共同能力与内存恢复
比较什么具体要求优先级OpenSandbox
普通 ACK		ACS
容器版		FC 极速版
一代		FC 极速版
二代		SPACE
部署位置与算力归属比较执行底座位置，不作为必需项淘汰条件部署取舍我们在现有 ACK 部署 Server、Controller 与沙箱 Pod；使用自己的节点算力。基于 Kubernetes；沙箱使用 ACS 托管算力，Agent Server 可继续留在 ACK。无需把复用现有 ACK 节点作为硬门槛。沙箱运行在 FC 托管底座；Agent Server 可继续留在 ACK，通过 API 调用。沙箱运行在 FC 托管 MicroVM；Agent Server 可继续留在 ACK，通过 API 调用。可用 Kubernetes adapter；我们维护满足 KVM、btrfs 等要求的执行节点，ACK 部署待验证。
自定义镜像ACR 固定版本镜像；包含 ffmpeg、依赖、Skill 与初始文件必需支持自定义 OCI 镜像与镜像仓库认证，可配置 ACR 镜像及固定 digest。SandboxSet Pod 模板支持自定义镜像和拉取配置。一代兼容 OCI 镜像，可从自定义镜像构建环境。可从自定义镜像构建模板，但须使用兼容的 Ubuntu/Debian 系镜像并保留规定系统组件。使用专用 VM 模板发布流程；直接消费私有 ACR OCI 镜像的完整路径尚未确认，不能将模板支持等同于 ACR 镜像支持。
资源规格配置 CPU、内存、临时磁盘；限制单个沙箱资源必需K8s 后端传递 resource requests / limits，可配置 ephemeral-storage；它是 kubelet 资源计量与驱逐边界，不是即时磁盘硬配额。SandboxSet 支持 CPU、内存和 ephemeral-storage 规格；按 ACS 支持的算力组合配置。CPU / 内存可配；文档列临时磁盘默认 15GB，但完整可调范围未确认，不把整项视为满足。CPU / 内存可配且最少 1 Core；临时磁盘配置边界尚未确认。创建接口支持 vCPU、memory_mib、disk_mib；自定义 disk_mib 会绕过现有 warm pool。
PVC／NAS 挂载直接访问大视频与产物；支持只读／读写挂载必需普通 K8s 后端支持 PVC、readOnly 与 subPath；Pool 需模板提前挂卷，领取时不能追加卷。已有 CSI / NAS 动态挂载和 readOnly / subPath 配置。一代支持 NAS；需配置 VPC、挂载路径与读写权限。二代动态存储目前列 OSS / AgenticFS，未列普通 NAS；不能直接用 AgenticFS 替代现有 NAS。VM 到现有 NAS 的挂载通道与权限路径尚未验证，不能直接套用 K8s PVC。
任务目录隔离每任务独立目录；共享输入与独立输出权限明确必需可配置只读输入挂载和独立输出子目录；Pool 按预绑目录分配，run → sandbox → 目录映射由我们接入。cwd 本身不是权限边界。通过 CSI readOnly / subPath 或 Access Point 配置目录权限；任务与目录归属由我们绑定。通过 NAS 挂载范围、独立目录与文件权限配置；任务目录与产物归属由我们管理。尚未覆盖现有 NAS 上共享输入、独立输出的完整路径。每 VM 的 rootfs 独立，但不能据此认定现有 NAS 共享输入和独立输出权限已解决。
统一文件与命令接口Pi read／write／edit／bash 使用同一沙箱、同一目录必需已有文件与命令接口；Pi ExecutionEnv / provider 由我们正常接入，同一任务复用同一沙箱与 cwd。已有文件与命令接口；Pi ExecutionEnv / provider 由我们正常接入，同一任务复用同一沙箱与 cwd。已有文件与命令接口；Pi ExecutionEnv / provider 由我们正常接入，同一任务复用同一沙箱与 cwd。已有文件与命令接口；Pi ExecutionEnv / provider 由我们正常接入，同一任务复用同一沙箱与 cwd。SPACE 提供文件传输、进程与命令数据通道；Pi 工具统一连接同一 VM，edit 可通过受控命令适配。
长命令执行异步 ffmpeg；查询、日志、超时与终止进程必需execd / SDK 提供后台命令、输出、状态、超时与终止接口。E2B 命令与运行中进程管理接口。Commands 支持后台进程、流式输出、连接与 kill。Commands 支持后台进程、流式输出、连接与 kill。Process / Command Session 独立于创建请求，支持输出通道和进程控制；调用端超时不等于终止进程。
生命周期 API创建、领取、查询、释放／销毁；重复请求行为明确必需已有创建、连接或领取、查询、销毁接口；按 sandbox ID 管理，业务重复提交策略由接入层定义，不承诺重复创建自动去重。已有创建、连接或领取、查询、销毁接口；按 sandbox ID 管理，业务重复提交策略由接入层定义，不承诺重复创建自动去重。已有创建、连接或领取、查询、销毁接口；按 sandbox ID 管理，业务重复提交策略由接入层定义，不承诺重复创建自动去重。已有创建、连接或领取、查询、销毁接口；按 sandbox ID 管理，业务重复提交策略由接入层定义，不承诺重复创建自动去重。Sandbox 与异步 Operation 分开管理；创建、查询、wake、delete 等接口已有，业务请求去重仍需接入层定义。
Warm Pool池容量、补池、回收；可预挂 NAS高K8s Pool 支持预备 Pod 与补池；NAS / PVC 必须在模板中提前挂载。SandboxSet / PoolAutoscaler 提供热池容量、补充与伸缩；NAS 通过模板或 CSI 挂载配置。已有镜像预热；尚未确认同时覆盖可控实例池容量、补池与 NAS 预挂的完整要求。已有模板预热，但普通 NAS 挂载不在二代已确认能力中。已有 VM warm pool、目标容量与补池；NAS 预挂尚未确认，按完整要求不打勾。
启动就绪检查领取时工具、文件接口、挂载可用；测量可执行延迟高可配置 Pod readinessProbe 联检 execd、工具和预挂目录；Pool 依据 Pod Ready 分配。需实测领取到可执行延迟，挂载成功不代表视频已缓存。已有 Ready / Claim 状态；领取后动态挂载与工具就绪的完整联检路径仍需核实。镜像预热不等于业务工具与 NAS 均已就绪；完整就绪联检待确认。模板支持启动 / 就绪命令；现有 NAS 路径未覆盖，因此整项尚未满足。已有运行状态与进程端点就绪检查；NAS 就绪链路未验证。
超时与自动回收任务结束或失联后回收，避免资源泄漏必需支持 sandbox 到期 / TTL 回收；任务完成时由业务显式释放，客户端断开不直接等同失联。生命周期超时与回收机制；业务结束时显式释放。Sandbox timeout / setTimeout / kill；业务结束时显式释放。Sandbox timeout / setTimeout / kill；业务结束时显式释放。执行租约与空闲回收机制；调用端超时不自动终止，按配置窗口与显式删除管理。
隔离方式可配置可选择容器、gVisor／Kata；NAS 兼容性明确必需，强度待定支持配置 RuntimeClass / 安全运行时；但 ACK 上 gVisor / Kata 与 NAS 的具体组合尚未实测，不能把整项标为已确认。使用 ACS 托管沙箱运行时，不能按当前要求自由切换普通容器 / gVisor / Kata。云侧固定运行时；不提供现有 ACK 的 RuntimeClass 选择。采用云侧 MicroVM；不提供普通容器 / gVisor / Kata 切换。以 Firecracker VM 为主；不是可自由切换 K8s 容器 / gVisor / Kata 的后端，NAS 组合待验证。
网络与凭证控制出网权限；按任务注入所需凭证必需已有 egress 网络策略、环境变量与镜像拉取凭证；任务凭证生命周期由我们接入。TrafficPolicy / SecurityProfile 与 CredentialProvider / Agent Identity 提供网络和凭证能力。支持 L7 网络策略、VPC 与凭证替换；规则和任务授权由我们配置。支持 L7 网络策略、VPC 与凭证替换；规则和任务授权由我们配置。已有 egress profile、NetworkPolicy、命令环境与凭证管理路径；按任务限定授权需我们配置。
环境模板／基础快照复用装好依赖的环境，减少准备时间增强固定 OCI 镜像 + Pool 模板即可复用环境；本行不代表支持完整 VM 内存快照。SandboxSet 模板、镜像和预热环境可复用。支持自定义环境镜像及镜像预热。支持模板构建、启动 / 就绪配置与预热。支持发布版本化 VM 模板；单节点基础快照与 K8s warm pool 分别优化启动。
NAS 文件恢复重建沙箱后挂回任务目录；保留输入、工作文件与产物必需独立管理的 NAS / PVC 不随沙箱删除。新沙箱重新挂载同一任务目录；我们保存 run 与目录绑定。无需 rootfs 或内存快照，运行中命令需重启。低 · 重新挂载使用外部 NAS，销毁与重建不删除文件；配置 CSI / NAS 并重新绑定任务目录。低 · 重新挂载一代支持 NAS；配置 VPC、目录与权限后，新实例重新挂载原目录。低 · 重新挂载二代已列 OSS / AgenticFS，普通 NAS 的挂载路径未确认；不能将其他持久存储直接当作 NAS。接入路径待确认VM 到现有 NAS 的挂载、权限与重建路径未确认；自身 VM 快照不等于 NAS 文件恢复。挂载适配待验证
rootfs 快照保留运行期间系统盘变更；不要求内存续跑增强普通 K8s 已有 rootfs-v1：提交为 OCI 镜像并恢复。配置 Snapshot CRD / Controller、同节点 commit Job、镜像仓库与推拉凭证；需访问节点 containerd。单副本，不保存进程内存，也不包含 NAS 内容；不兼容 runsc，其他运行时需核实。中 · 快照组件 / 仓库已有云盘休眠、快照休眠与 Checkpoint；配置受支持组件和休眠策略。NAS 数据独立保留，不由 rootfs 快照回滚。低—中 · 策略 / API通过 Pause / Resume 保留实例文件系统；需要开通权限。一代没有二代独立 Snapshot / Fork 接口，不能据此理解为可任意克隆。低—中 · 开通 / API支持 Pause / Resume 与 Snapshot / Fork；Snapshot / Fork 需开通。模板、镜像兼容与恢复行为需验证，二代仍为 Beta。低—中 · 开通 / APIsuspend 保存 VM 文件系统及运行状态，wake 恢复；需部署 worker、快照对象存储并验证上传与恢复。中 · 快照存储 / 流程
内存恢复恢复进程内存与执行位置；外部连接仍需重连本期降权普通 rootfs-v1 不保存内存。已有额外的实验性 QEMU-in-runc VMState 路线，保存 Guest 内存 / vCPU / 设备状态；需改 VM 镜像、QMP 启动与恢复协议并验证节点兼容。不是给现有普通容器加一个开关，外层进程仍重启；NAS 内容不随 VMState 回滚。高 · 实验 QEMU 路线支持内存级休眠唤醒与 Checkpoint / Restore；使用支持的 ACS 算力、组件和策略，验证实际进程与外部连接恢复。低—中 · 策略 / 验证深休眠保留内存、文件系统和进程；需账号开通并验证工具与连接恢复。一代无独立 Snapshot / Fork。低—中 · 开通 / 验证支持暂停恢复及 Snapshot / Fork；按权限开通并验证 Guest、工具及外部连接，二代仍为 Beta。低—中 · 开通 / 验证suspend 持久化 VM 内存 / 状态并释放资源，wake 恢复；pause 仅冻结并保留驻留内存，不能代替持久快照。需验证兼容节点与恢复流程。中—高 · VM 恢复运维
OpenSandbox PVC / Pool OpenSandbox rootfs 恢复 OpenSandbox QEMU 内存恢复 ACS 休眠策略 ACS 内存与 Checkpoint OpenSandbox 隔离配置 ACS 组件 / 热池 ACS 权限与存储 FC 两代差异 FC 资源限制 SPACE 生命周期 SPACE 热池
蓝框：我们部署配置 · 橙框：云侧托管 · 红字：能力限制 / 需补写功能 / 待验证

OpenSandbox + ACK

复用现有 ACK、ACR 和 NAS；安装现成沙箱管理组件，执行实例是 ACK 节点上的 Pod。

查看部署图与托管边界
OpenSandbox + ACK：部署实体与托管边界七个实体在四个方案中保持坐标一致；蓝色区域由我们部署配置，橙色区域由云侧托管。箭头展示环境发布、领取、工具调用、文件挂载及执行算力。普通安装配置不标红。我们部署与配置 · 现有 ACK、Agent 服务与 OpenSandbox云侧托管 · 环境制品与持久文件存储配置 / 领取 / 释放发布环境保存制品预热 / 分配运行在文件与命令调用加载镜像 / 模板挂载工作目录我们的产品控制面与 Agent 服务Agent 定义、会话与任务派发包含沙箱适配、任务目录绑定和产物管理环境构建任务发布时打包工具、Skill 与初始文件模板构建版本化镜像，再推送环境制品仓库沙箱管理服务 · OpenSandbox在 ACK 部署 API、Controller 与入口组件配置镜像、规格、挂载和 Pool 容量工具沙箱实例 · Pod × Nexecd 提供文件与命令接口统一执行 read / write / edit / bash执行算力 · ACK 节点 / ECS我们配置执行节点池与隔离方式强化隔离与 NAS 组合待验证环境制品存储 · 阿里云 ACR保存发布后的环境镜像预热或创建实例时拉取持久文件存储 · 阿里云 NASPool 提前挂卷；领取时不能追加卷任务目录隔离与产物保留需验证

ACS Agent Sandbox · 容器版

管理组件仍由我们安装，执行算力由 ACS 托管；Agent 服务可以继续留在现有 ACK。

查看部署图与托管边界
ACS Agent Sandbox · 容器版：部署实体与托管边界七个实体在四个方案中保持坐标一致；蓝色区域由我们部署配置，橙色区域由云侧托管。箭头展示环境发布、领取、工具调用、文件挂载及执行算力。普通安装配置不标红。我们部署 · Agent 服务与环境构建我们部署 · ACS 管理组件云侧托管 · ACS 执行实例与算力云侧托管 · 环境制品与持久文件存储配置 / 领取 / 释放发布环境保存制品预热 / 分配运行在文件与命令调用加载镜像 / 模板挂载工作目录我们的产品控制面与 Agent 服务Agent 定义、会话与任务派发包含沙箱适配、任务目录绑定和产物管理环境构建任务发布时打包工具、Skill 与初始文件模板构建版本化镜像，再推送环境制品仓库沙箱管理服务 · ACS 管理组件我们在 ACS 集群安装 Controller / Manager / 入口配置 SandboxSet 热池、规格和挂载工具沙箱实例 · ACS 容器实例管理组件分配执行实例文件和命令通过沙箱 API 调用执行算力 · ACS 托管算力云侧调度和运行执行实例执行实例不能使用现有 ACK 节点池环境制品存储 · 阿里云 ACR我们构建环境镜像并推送仓库执行实例启动时加载持久文件存储 · 阿里云 NAS / OSS官方提供动态挂载配置路径视频 I/O 与任务目录隔离待验证

Agent Sandbox 极速版 · FC

沙箱管理和执行底座交给云侧，我们提供环境与 API 接入；视频存储路径需按运行时代际选择。

查看部署图与托管边界
Agent Sandbox 极速版 · FC：部署实体与托管边界七个实体在四个方案中保持坐标一致；蓝色区域由我们部署配置，橙色区域由云侧托管。箭头展示环境发布、领取、工具调用、文件挂载及执行算力。普通安装配置不标红。我们部署 · Agent 服务与环境构建云侧托管 · 沙箱管理与执行底座云侧托管 · 环境制品与持久文件存储配置 / 领取 / 释放发布环境保存制品预热 / 分配运行在文件与命令调用加载镜像 / 模板挂载工作目录我们的产品控制面与 Agent 服务Agent 定义、会话与任务派发包含沙箱适配、任务目录绑定和产物管理环境构建任务发布时打包工具、Skill 与初始文件模板构建版本化镜像，再推送环境制品仓库沙箱管理服务 · 阿里云托管 API云侧提供生命周期与预热能力我们配置环境版本、规格与使用额度工具沙箱实例 · FC 托管实例云侧提供文件与命令接口二代 MicroVM（Beta）；支持快照 / Fork执行算力 · FC 托管底座云侧负责执行资源的调度和运行我们选择规格、并发和预热配置环境制品存储 · 镜像 / 模板一代使用环境镜像；二代使用自定义模板云侧按所选运行时提供环境预热持久文件存储 · NAS / OSS 等一代可挂 NAS；二代动态存储未列 NAS二代列 OSS / AgenticFS；视频路径需验证

Perplexity SPACE

自行部署完整 VM 沙箱平台，已有热池与基础快照优化；需准备 VM 宿主环境并验证 NAS 接入。

查看部署图与托管边界
Perplexity SPACE：部署实体与托管边界七个实体在四个方案中保持坐标一致；蓝色区域由我们部署配置，橙色区域由云侧托管。箭头展示环境发布、领取、工具调用、文件挂载及执行算力。普通安装配置不标红。我们部署与配置 · Agent 服务、SPACE 与 VM 宿主云侧托管 · 环境制品与持久文件存储配置 / 领取 / 释放发布环境保存制品预热 / 分配运行在文件与命令调用加载镜像 / 模板挂载工作目录我们的产品控制面与 Agent 服务Agent 定义、会话与任务派发包含沙箱适配、任务目录绑定和产物管理环境构建任务发布时打包工具、Skill 与初始文件模板准备 VM 模板，交给 Builder 构建沙箱管理服务 · SPACE我们部署 API、Controller、PG 与相关组件K8s 热池；单节点另有基础快照启动工具沙箱实例 · Firecracker VM × N我们部署 Worker 与执行数据通道在 VM 中执行文件读写和命令执行算力 · VM 宿主节点我们准备 KVM / btrfs / 特权宿主环境执行实例运行在这些宿主节点上环境制品存储 · 对象存储Builder 生成 VM 模板与快照使用外部对象桶保存环境制品持久文件存储 · NAS（待接入）VM 挂载通道、权限与视频 I/O 待验证不能直接照搬 K8s PVC 挂载配置
ACS 容器版 / 热池 极速版两代运行时 / NAS SPACE 热池 SPACE 基础快照 SPACE 安装要求
接入与验证
已支持普通 K8s PVC / subPath；Pool 模板静态预挂 RWX PVC。领取时不能追加卷。
正常开发provider 接入；按 Pod 身份预绑 NAS 子目录（候选：subPathExpr）；run → sandbox → 目录；确认产物后销毁补池与目录清理。
待实测ACK + NAS + 隔离 runtime；目录可见范围、销毁后产物保留；领取到工具就绪、视频首读 / seek、并发吞吐与池耗尽。
降权暂停 / 恢复、进程内存快照；主负载为后台 Agent 跑完结束、保留产物。
OpenSandbox PVC / Pool K8s subPathExpr ACK NAS

产品职责参考

绿框：职责覆盖（含接入） · 灰：外部依赖 / 未确认

Rivet

Actor / Pi 会话与调度；外接工具沙箱。

职责覆盖图
Rivet 职责覆盖固定节点位置；绿色区域包含原生能力、部分子能力和适配接口，边界见节点说明。发布构建推送拉取镜像预热 / 分配 / 回收首次领取 / 结束释放文件 / 命令挂载资源配置会话 / 状态配置 / 版本模型 / API 调用UI / API / 消息 / WebhookAgent 托管控制面Agent 定义与发布Environment 定义Workspace 模板与绑定Agent Runtime APITrigger / Cron / 批量派发Session / Run / subagentAgent Harness会话与执行状态环境构建任务沙箱管理服务工具沙箱实例 × N模型 / 可信 API持久文件存储镜像仓库会话与配置存储
UI / API / 消息 / Webhook由外部组件补齐。
Agent 托管控制面由外部组件补齐。
Agent 定义与发布代码定义 Agent 与工具；声明式项目发布仍需上层补齐。
Environment 定义通过 SandboxProvider 承接环境；默认 Docker provider 没有完整 CPU / 内存配置。
Workspace 模板与绑定由外部组件补齐。
Agent Runtime API已有 Actor / Pi 的调用与订阅基础；平台统一的发起、查询和终止接口由我们封装。
Trigger / Cron / 批量派发提供 Cron；业务批量队列与并发额度需补齐。
Session / Run / subagentActor、会话与 subagent；业务父子关系和取消策略需明确。
Agent HarnessPi Durable 在 Actor 中运行；完整 Pi 在 Pod 内可使用 Sandbox Agent 接口。
会话与执行状态Actor SQLite 保留对话与执行状态；引擎部署按 2.3 / 3.0 分别核验。
环境构建任务由外部组件补齐。
沙箱管理服务提供生命周期接口；OpenSandbox provider 是正常接入开发，不作为选型阻塞。
工具沙箱实例 × N文件和 shell 工具通过执行环境进入沙箱。
模型 / 可信 API由外部组件补齐。
持久文件存储文件保存依赖执行环境；NAS 挂载需要 provider 适配，不由 Actor 状态自动兜底。
镜像仓库使用外部镜像仓库；支持拉取环境镜像不等于提供镜像仓库服务。
会话与配置存储Actor SQLite 保留对话与执行状态；引擎部署按 2.3 / 3.0 分别核验。

OpenSandbox

环境、热池、文件与命令执行；独立于 Agent Harness。

职责覆盖图
OpenSandbox 职责覆盖固定节点位置；绿色区域包含原生能力、部分子能力和适配接口，边界见节点说明。发布构建推送拉取镜像预热 / 分配 / 回收首次领取 / 结束释放文件 / 命令挂载资源配置会话 / 状态配置 / 版本模型 / API 调用UI / API / 消息 / WebhookAgent 托管控制面Agent 定义与发布Environment 定义Workspace 模板与绑定Agent Runtime APITrigger / Cron / 批量派发Session / Run / subagentAgent Harness会话与执行状态环境构建任务沙箱管理服务工具沙箱实例 × N模型 / 可信 API持久文件存储镜像仓库会话与配置存储
UI / API / 消息 / Webhook由外部组件补齐。
Agent 托管控制面由外部组件补齐。
Agent 定义与发布由外部组件补齐。
Environment 定义支持镜像与资源规格；普通 K8s 后端传递 requests / limits。
Workspace 模板与绑定由外部组件补齐。
Agent Runtime API由外部组件补齐。
Trigger / Cron / 批量派发由外部组件补齐。
Session / Run / subagent由外部组件补齐。
Agent Harness由外部组件补齐。
会话与执行状态由外部组件补齐。
环境构建任务由外部组件补齐。
沙箱管理服务已支持：普通 K8s Pool 预热与模板预挂 PVC；正常开发包括领取、目录关联与销毁补池；POC 测热池命中/耗尽延迟。暂停恢复本期降权。
工具沙箱实例 × N提供命令、文件与进程接口；ffmpeg / 浏览器依赖需装入镜像。 隔离配置：接入具体 RuntimeClass / 后端；NAS 和快照兼容性需逐一核验。
模型 / 可信 API由外部组件补齐。
持久文件存储已支持：普通 K8s PVC/subPath、Pool 模板静态挂卷；需适配按 Pod 预绑定目录和产物发布。待测 ACK+NAS+隔离 runtime 的可见范围与视频 I/O。领取时不能追加卷。
镜像仓库使用外部镜像仓库；支持拉取环境镜像不等于提供镜像仓库服务。
会话与配置存储由外部组件补齐。

eve

声明式 Agent 项目；参考定义与发布格式。

职责覆盖图
eve 职责覆盖固定节点位置；绿色区域包含原生能力、部分子能力和适配接口，边界见节点说明。发布构建推送拉取镜像预热 / 分配 / 回收首次领取 / 结束释放文件 / 命令挂载资源配置会话 / 状态配置 / 版本模型 / API 调用UI / API / 消息 / WebhookAgent 托管控制面Agent 定义与发布Environment 定义Workspace 模板与绑定Agent Runtime APITrigger / Cron / 批量派发Session / Run / subagentAgent Harness会话与执行状态环境构建任务沙箱管理服务工具沙箱实例 × N模型 / 可信 API持久文件存储镜像仓库会话与配置存储
UI / API / 消息 / Webhook提供 API、消息渠道与开发入口；业务 UI 可自行接入。
Agent 托管控制面提供 Agent 项目开发与运行能力；业务租户、资源管理需补齐。
Agent 定义与发布目录声明 instructions、tools、skills、channels 和 schedules。
Environment 定义镜像和 Dockerfile 通过 sandbox provider 配置。
Workspace 模板与绑定由外部组件补齐。
Agent Runtime API提供 Session 运行与查询接口；平台统一 Runtime API 按业务接入，具体操作边界沿用已有会话能力。
Trigger / Cron / 批量派发支持 schedules；多副本需控制单一 Cron runner。
Session / Run / subagent提供 Session 与 subagents；多副本需共享 world。
Agent Harness使用 eve 自带 harness，不是直接替换为 Pi 的配置项。
会话与执行状态持久执行依赖 Workflow world；升级可能使旧 run 无法继续。
环境构建任务由外部组件补齐。
沙箱管理服务可用 Docker、Vercel 或自建 provider；接 OpenSandbox 需适配。
工具沙箱实例 × N通过沙箱后端运行工具。
模型 / 可信 API由外部组件补齐。
持久文件存储工作文件默认留在会话容器；独立持久 Workspace 需要后端补齐。
镜像仓库使用外部镜像仓库；支持拉取环境镜像不等于提供镜像仓库服务。
会话与配置存储持久执行依赖 Workflow world；升级可能使旧 run 无法继续。
Agent 定义格式与理念

Agent 定义与发布

agent/
├── agent.ts
├── instructions.md
├── tools/inspect_video.ts
├── skills/video/SKILL.md
├── connections/media.ts
├── hooks/check.ts
├── schedules/daily.md
├── subagents/editor/agent.ts
└── sandbox/
    ├── sandbox.ts
    └── workspace/
目录即契约
路径决定工具、技能、渠道、定时任务和 subagent 如何被发现。
文本写意图，代码写行为
Markdown 保存指令与技能；TypeScript 定义模型、工具、hook 和外部连接。
项目即构建单元
发现与校验 → 编译 Manifest 和代码 → 构建产物 → 部署。
agent/agent.ts
import { defineAgent } from "eve";

export default defineAgent({
  model: "anthropic/claude-opus-5.5",
});

我们的接入：参考目录组织；工具与 hook 采用 Pi Durable 原生接口，Environment 另行绑定镜像与资源。

目录与发现规范defineAgent 配置构建与 Manifest

Centaur

完整团队 Agent 平台；Harness 在沙箱内运行。

职责覆盖图
Centaur 职责覆盖固定节点位置；绿色区域包含原生能力、部分子能力和适配接口，边界见节点说明。发布构建推送拉取镜像预热 / 分配 / 回收首次领取 / 结束释放文件 / 命令挂载资源配置会话 / 状态配置 / 版本模型 / API 调用UI / API / 消息 / WebhookAgent 托管控制面Agent 定义与发布Environment 定义Workspace 模板与绑定Agent Runtime APITrigger / Cron / 批量派发Session / Run / subagentAgent Harness会话与执行状态环境构建任务沙箱管理服务工具沙箱实例 × N模型 / 可信 API持久文件存储镜像仓库会话与配置存储
UI / API / 消息 / Webhook提供 API、Slack 与 Console。
Agent 托管控制面提供团队 Agent 平台；业务入口和模板仍需适配。
Agent 定义与发布提供 Agent 与 harness 配置；完整产品契约按业务扩展。
Environment 定义支持镜像、资源、卷和 RuntimeClass。
Workspace 模板与绑定可启用持久卷保存工作目录和会话，stateVolume 默认关闭；初始文件模板按业务补齐。
Agent Runtime APIAPI 提供会话与执行管理；统一 Runtime API 需要适配，终止与恢复语义逐项核验。
Trigger / Cron / 批量派发有消息触发和持久执行；通用 Cron 与批量额度需核验。
Session / Run / subagent管理消息、会话和执行；subagent 业务契约仍需核验。
Agent Harness本产品 harness 在沙箱内运行；已有 Pi RPC 适配，已审查文档限定 Slack 选择。
会话与执行状态PostgreSQL 保存消息与执行事件；原生会话依赖持久卷。
环境构建任务由外部组件补齐。
沙箱管理服务使用 SIG Agent Sandbox 控制器。
工具沙箱实例 × N工具与完整 harness 位于执行沙箱。 隔离配置：隔离依赖配置的运行时。
模型 / 可信 API由外部组件补齐。
持久文件存储开启 stateVolume 后 PVC 可保存工作与会话；最终删除沙箱会清理，产物需另存；暂停不等于内存快照。
镜像仓库使用外部镜像仓库；支持拉取环境镜像不等于提供镜像仓库服务。
会话与配置存储PostgreSQL 保存消息与执行事件；原生会话依赖持久卷。

Claude Managed Agents

闭源托管参考；Harness 与工具沙箱分离。

职责覆盖图
Claude Managed Agents 职责覆盖固定节点位置；绿色区域包含原生能力、部分子能力和适配接口，边界见节点说明。发布构建推送拉取镜像预热 / 分配 / 回收首次领取 / 结束释放文件 / 命令挂载资源配置会话 / 状态配置 / 版本模型 / API 调用UI / API / 消息 / WebhookAgent 托管控制面Agent 定义与发布Environment 定义Workspace 模板与绑定Agent Runtime APITrigger / Cron / 批量派发Session / Run / subagentAgent Harness会话与执行状态环境构建任务沙箱管理服务工具沙箱实例 × N模型 / 可信 API持久文件存储镜像仓库会话与配置存储
UI / API / 消息 / Webhook提供 Console 与 API；业务入口自行接入。
Agent 托管控制面托管 Agent 定义、Session 与执行。
Agent 定义与发布提供模型、工具、Skills 等 Agent 配置。
Environment 定义提供托管环境配置；不能据此认定开放任意镜像、CPU / 内存规格。
Workspace 模板与绑定提供环境文件和附件；不是任意 NAS 挂载服务。
Agent Runtime API平台提供 Session 运行控制与状态查询；业务入口通过托管 API 接入。
Trigger / Cron / 批量派发提供 Scheduled Deployments。
Session / Run / subagent托管 Session 与长时任务；高级编排能力按开放状态核验。
Agent Harness由平台托管 harness，与工具沙箱分离。
会话与执行状态平台托管会话和执行状态。
环境构建任务平台准备与管理执行环境；底层模板构建实现未公开。
沙箱管理服务平台提供沙箱生命周期。
工具沙箱实例 × N托管工具执行沙箱。 隔离配置：平台提供隔离；底层内核实现未公开。
模型 / 可信 APIAnthropic 提供 Claude 模型；自定义工具的第三方 API 仍由外部服务提供。
持久文件存储平台托管工作文件和附件；不等于分支 FS 或 NAS 大视频直挂能力。
镜像仓库托管平台内部的环境制品实现未公开；此处未确认独立镜像仓库能力，不表示用户必须自行部署仓库。
会话与配置存储平台托管会话和执行状态。

Agent Substrate

有状态 Actor 执行底座；关注激活、隔离与快照。

职责覆盖图
Agent Substrate 职责覆盖固定节点位置；绿色区域包含原生能力、部分子能力和适配接口，边界见节点说明。发布构建推送拉取镜像预热 / 分配 / 回收首次领取 / 结束释放文件 / 命令挂载资源配置会话 / 状态配置 / 版本模型 / API 调用UI / API / 消息 / WebhookAgent 托管控制面Agent 定义与发布Environment 定义Workspace 模板与绑定Agent Runtime APITrigger / Cron / 批量派发Session / Run / subagentAgent Harness会话与执行状态环境构建任务沙箱管理服务工具沙箱实例 × N模型 / 可信 API持久文件存储镜像仓库会话与配置存储
UI / API / 消息 / Webhook由外部组件补齐。
Agent 托管控制面由外部组件补齐。
Agent 定义与发布由外部组件补齐。
Environment 定义Actor / WorkerPool 定义镜像与执行规格。
Workspace 模板与绑定由外部组件补齐。
Agent Runtime API由外部组件补齐。
Trigger / Cron / 批量派发由外部组件补齐。
Session / Run / subagent由外部组件补齐。
Agent Harness由外部组件补齐。
会话与执行状态由外部组件补齐。
环境构建任务由外部组件补齐。
沙箱管理服务管理 Actor 激活、预热容量、快照与恢复。
工具沙箱实例 × N承载镜像内的执行进程；不负责 Agent 工具契约。 隔离配置：接入隔离 worker runtime；按部署后端核验。
模型 / 可信 API由外部组件补齐。
持久文件存储保存 RAM 与根文件系统快照；NAS 外部卷与分支 FS 需另外核验。
镜像仓库使用外部镜像仓库；支持拉取环境镜像不等于提供镜像仓库服务。
会话与配置存储由外部组件补齐。

Perplexity SPACE

Firecracker 沙箱控制面；热池与 VM 快照。

职责覆盖图
Perplexity SPACE 职责覆盖固定节点位置；绿色区域包含原生能力、部分子能力和适配接口，边界见节点说明。发布构建推送拉取镜像预热 / 分配 / 回收首次领取 / 结束释放文件 / 命令挂载资源配置会话 / 状态配置 / 版本模型 / API 调用UI / API / 消息 / WebhookAgent 托管控制面Agent 定义与发布Environment 定义Workspace 模板与绑定Agent Runtime APITrigger / Cron / 批量派发Session / Run / subagentAgent Harness会话与执行状态环境构建任务沙箱管理服务工具沙箱实例 × N模型 / 可信 API持久文件存储镜像仓库会话与配置存储
UI / API / 消息 / Webhook由外部组件补齐。
Agent 托管控制面由外部组件补齐。
Agent 定义与发布由外部组件补齐。
Environment 定义通过 Template 定义 VM 执行环境。
Workspace 模板与绑定由外部组件补齐。
Agent Runtime API由外部组件补齐。
Trigger / Cron / 批量派发由外部组件补齐。
Session / Run / subagent由外部组件补齐。
Agent Harness由外部组件补齐。
会话与执行状态由外部组件补齐。
环境构建任务提供模板；单节点基础快照保存已启动模板的内存与 VM 状态，用于加速新建。
沙箱管理服务已有 Kubernetes warm pool：领取预启动 VM，无匹配容量则回退冷启动；单节点有基础快照与节点池路径。运行中任务的 suspend 快照是另一种用途。部分 checkpoint API 仍在孵化。
工具沙箱实例 × N提供独立命令执行与数据通道。 隔离配置：基于 Firecracker microVM；官方安装路径涉及 KVM、tun、loop 与 btrfs，需要节点配置。
模型 / 可信 API由外部组件补齐。
持久文件存储根文件系统属于 VM 状态；ACK NAS 的直挂、权限与恢复尚未验证，不据此判定不支持。
镜像仓库使用外部镜像仓库；支持拉取环境镜像不等于提供镜像仓库服务。
会话与配置存储由外部组件补齐。

LayerFS

可分叉的工作目录；本期不引入独立 FS 层。

职责覆盖图
LayerFS 职责覆盖固定节点位置；绿色区域包含原生能力、部分子能力和适配接口，边界见节点说明。发布构建推送拉取镜像预热 / 分配 / 回收首次领取 / 结束释放文件 / 命令挂载资源配置会话 / 状态配置 / 版本模型 / API 调用UI / API / 消息 / WebhookAgent 托管控制面Agent 定义与发布Environment 定义Workspace 模板与绑定Agent Runtime APITrigger / Cron / 批量派发Session / Run / subagentAgent Harness会话与执行状态环境构建任务沙箱管理服务工具沙箱实例 × N模型 / 可信 API持久文件存储镜像仓库会话与配置存储
UI / API / 消息 / Webhook由外部组件补齐。
Agent 托管控制面由外部组件补齐。
Agent 定义与发布由外部组件补齐。
Environment 定义可选 Docker 镜像；没有完整 CPU / 内存资源规格。
Workspace 模板与绑定从同一快照分叉，未修改内容共享，各分支独立记录文件增量；支持提交与合并，对话 fork 需 Harness 配对。
Agent Runtime API由外部组件补齐。
Trigger / Cron / 批量派发由外部组件补齐。
Session / Run / subagent由外部组件补齐。
Agent Harness由外部组件补齐。
会话与执行状态由外部组件补齐。
环境构建任务由外部组件补齐。
沙箱管理服务自带单机 Docker 沙箱管理；不提供集群调度。
工具沙箱实例 × N可在挂载 Workspace 后 exec / bash。
模型 / 可信 API由外部组件补齐。
持久文件存储保存代码、依赖、缓存、忽略文件的历史，不保存进程或内存。Store 依赖同一 Linux 内核和本地磁盘，不能直接当成 NAS 上的多节点分支 FS。
镜像仓库使用外部镜像仓库；支持拉取环境镜像不等于提供镜像仓库服务。
会话与配置存储由外部组件补齐。
Workspace 分叉如何工作
LayerFS：共享快照与独立增量分支两个 Agent 从同一文件快照分叉，共享未修改的文件内容，分别提交自己的增量；Harness 负责配对对话与文件分支，运行中的进程和内存不属于文件历史。共享基础快照 C0代码 / 依赖 / 缓存 / 忽略文件未修改的内容共享，不复制完整目录Agent A · 分支 AC0 + ΔA · 独立可写尝试方案一Agent B · 分支 BC0 + ΔB · 独立可写尝试方案二提交检查点 / 选择或显式合并保留结果，也可从历史快照再分叉对话 fork ↔ Workspace fork：Harness 配对；不含进程 / 内存Δ 是文件增量，不只文本 diff；父分支后续修改不会自动进入子分支并行试验 → 分支 FS；共享视频 / 独立产物 → NAS
共享基础快照 C0LayerFS Init 纳入整个项目目录，不受 Git ignore 过滤。fork 记录起点，不复制文件；内容按块压缩去重。图中的 C0 是不可变的快照引用，分支 A/B 从同一状态出发。
Agent A · 分支 A每个 Workspace 有自己的可写 overlay；提交保存新的文件树与内容增量。Δ 是逻辑上的文件增量，包括二进制内容，不限于文本 diff。父分支之后的新修改不会自动进入该分支。
Agent B · 分支 B与分支 A 共用未改动内容，但写入互不影响。分支引用的是 fork 时的快照；需要其他分支的更新时显式合并。
提交检查点 / 选择或显式合并LayerFS 保存提交与文件历史。合并和发布是显式操作，不会自动选择最优结果，也不自动解决所有文件冲突。对话 fork 与 Workspace fork 的对应关系仍由 Harness 管理。
LayerFS · 分支 / Workspace / 历史 LayerFS · 存储实现

参考资料

Claude Managed Agents
Harness / Sandbox 分离
Agent Substrate
Actor / 快照恢复
SPACE
microVM 控制面
LayerFS
Workspace 分叉与合并