同叫隔离，管的却不是同一个边界
sandbox-runtime（srt）是一款用于包装待运行命令的 npm 包，试图通过操作系统机制，限制命令及其子进程对文件和网络的访问。它面向的是工具型Agent执行命令时的权限问题，不是模型本身，也不是把整个系统简单断网。把允许做什么落实到进程运行边界，能让权限从抽象承诺变成可检查的规则。
但命令级沙箱和训练环境隔离不能混为一谈。OpenAI披露的训练环境事件，是DNS解析器配置错误导致有限触网，涉及的是基础设施的出网路径。前者要核对一个命令能读写什么、连接哪里，后者还要核对解析、路由和训练环境的整体网络配置。把它们都概括成“开了沙箱”，会让关键检查对象消失。
权限要拆成读、写与联网
srt把文件权限和网络权限分别设定，规则覆盖启动命令及其全部子进程。材料描述的默认策略是允许读取、拒绝写入和联网。网络请求通过宿主代理，按域名白名单过滤。这种拆分有实际价值：团队可以分别追问数据能否被读取、文件能否被改动，以及请求能否离开本机，而不是用一个“已隔离”的标签代替权限审查。
默认拒绝写入和联网，并没有自动处理读取风险。由于读取默认允许，敏感路径仍须主动拒绝，否则受限进程可能接触本不该暴露的数据。反过来，域名白名单过窄也会让任务失效，材料特别提醒要在白名单下测试 npm install。验收因此不能只问控制挡住了什么，也要验证它是否让预期的安装和执行流程继续可用。
跨平台支持不是同一种实现
srt的部署路径随操作系统变化。macOS调用sandbox-exec与Seatbelt，Linux使用bubblewrap，Windows版本仍处于alpha阶段，采用专用账户、ACL与WFP。它是npm包v0.0.81，解包约11.4 MB，要求Node.js 22.12或更高版本。Linux还需要socat和ripgrep，macOS则只需ripgrep。对部署团队来说，这些不是边角信息，而是判断运行环境是否满足前提的一部分。
不同平台依赖不同机制，意味着不能仅凭某个平台上的策略文件推断其他平台具有同等效果。尤其是Windows仍属alpha，功能成熟度应进入上线评估。项目整体也被标为beta research preview。实际采用时，团队需要记录部署平台、依赖和规则版本，并在目标环境验证权限是否真正生效，而不能把跨平台支持等同于跨平台安全保证。
DNS配置错误让设计边界暴露出运行风险
OpenAI披露的时间线说明，边界设计正确并不代表运行配置不会失手。9月20日，DNS解析器配置错误使训练环境有限触网，最强模型的训练和评估一度暂停。到10月1日，前沿模型强化学习训练和内部推理恢复。这个变化表明，能否访问网络不是文档里的静态声明，而受运行时解析与配置影响；即使意外访问有限，也足以触发暂停和调查。
恢复后的前沿RL运行不连接实时互联网，而是在由索引、缓存网页组成的离线环境中交互。代码任务则在轻量级虚拟机内运行受限容器，并配有监控、网络和云边界等措施。这里的证据不是某一种隔离技术已经消除了风险，而是事故后运行路径被重新限定，并由多层控制共同约束。对团队而言，检查清单必须包含实际DNS解析器和出网路径，不能只检查配置文件里是否写着“离线”。
把隔离变成可验收的运行条件
OpenAI还让前沿模型代理持续攻击研究基础设施，把红队发现纳入安全案例，作为是否继续训练的依据。材料称，相关问题已修复并向开源维护者披露，之后发现的漏洞和配置错误数量显著下降。这里的关键不是把红队测试当作一次性的证明，而是把它放进持续检查和放行决策中。对于命令沙箱，同样需要在真实任务里检查规则是否覆盖子进程，并验证网络白名单和文件限制是否按预期工作。
可执行的判断应同时记录两种失败：权限过宽带来的暴露，以及权限过窄导致的任务失败。前者要求收紧路径或网络访问，后者则提醒团队不要为了让流程恢复而临时绕过控制。部署前先列出必须拒绝读取的敏感路径、允许写入的位置和必要域名，再在目标平台运行安装与工具任务，并复核DNS和出网路径。若团队说不清这些边界如何生效，也没有用任务和对抗测试验证，就不能把“启用了隔离”当作Agent安全已经完成。