智能体权限提示的两难
让编码智能体直接操作代码库时，担忧几乎都集中在三件事：它会不会误改关键文件、会不会执行危险命令、会不会泄露敏感凭证。传统做法是依赖智能体自身的权限提示——每执行一步危险操作先弹窗问人。这套机制在演示里很优雅，落到日常却有两个老问题：一是频繁打断会把开发效率拖垮，人最终习惯性点「允许」；二是权限提示本质是「模型自我约束」，一旦提示注入或模型判断失误，边界就形同虚设。Trail of Bits 的 Coop 选择了一条相反的路：不靠智能体管好自己，而是把它关进一个它根本出不去的笼子。
Coop 怎么做：把 Agent 关进一次性虚拟机
Coop 是一个用 Rust 写的命令行工具，以 Apache-2.0 协议在 GitHub 开源（trailofbits/coop）。它的目标很纯粹：为 Claude Code 和 Codex 提供一次性、隔离、可复现的虚拟机环境。在 Linux 上，Coop 用基于 KVM 的 Firecracker 微虚拟机；在 macOS 上，通过 Lima 加 Apple 的 Virtualization.framework 实现。每个虚拟机拥有独立的文件系统、独立网络栈，以及独立的 Docker 守护进程——智能体的命令永远摸不到宿主机。开发者用 coop up 启动项目环境，默认把项目目录复制或同步进虚拟机的 /workspace，智能体只在这个目录内操作，由此形成一道物理隔离墙。仓库显示最近一次提交在 2026 年 9 月 9 日，版本线已推进到 v0.6.0，约 200 个 Star。
默认关闭权限提示：激进但有自洽逻辑
Coop 最引发讨论的设计，是它在启动 Claude Code 时，会往客户机内的 ~/.claude/settings.json 写入 defaultMode: bypassPermissions 与 skipDangerousModePermissionPrompt: true，让智能体默认不弹权限提示、自主执行命令。设计者的逻辑是自洽的：既然虚拟机已经提供了边界，智能体就算「破坏」也仅限于沙箱内，没必要再层层确认。它把安全模型的重心，从「每一步都让人否决」转移到「确保笼子够结实」。Coop 也保留了退路——如果团队更想要逐次掌控，可以用 --ask 参数把权限提示重新打开。换句话说，它把「信任智能体」和「信任沙箱」这对矛盾的取舍，明明白白交还给使用者。
隔离的边界：同步窗口与逃逸风险
激进默认下，风险模型也随之改变。默认关闭权限提示，等于把安全责任全压在虚拟机隔离的完整性上：一旦 Firecracker 出现逃逸漏洞，或者开发者在同步时误操作，损失可能比「逐次审批」更大。Coop 的同步机制也制造了一个现实窗口——它默认把宿主机项目复制进虚拟机，用 coop push 与 coop pull 手动同步变更，二者都以 coop up 记录的工作区路径为准。如果开发者忘了 pull，虚拟机里的修改可能丢失；忘了 push，宿主代码可能不是最新。在 macOS 的 Lima 上还提供 --mount 实时共享目录，但 Linux 的 Firecracker 仍是一次性同步，意味着 Linux 用户拿不到即时修改反馈。理解这些细节，才能避免把隔离当成免维护的容器。
工程含义：把安全模型从「逐次否决」改成「边界可信」
Coop 的核心贡献，是给编码智能体的安全提供了一个可替换的范式。传统权限提示提供的是「逐次否决控制」，代价是速度；Coop 提供的是「物理限制范围」，代价是必须信任沙箱。它配套的 coop resize 可不停机调整内存与 vCPU，coop commit 与 coop restore 可保存并回滚已停止虚拟机的文件系统状态，coop agent update 能刷新虚拟机内的 Claude Code 与 Codex，coop model 还能把智能体指向宿主机运行的本地模型（如 Ollama 或 vLLM），让代码处理完全离线。这些功能让隔离环境不至于成为开发流程的阻碍，反而成为一层灵活的安全边界。
适用场景与慎用之处
对哪些团队最有用？一是跑不可信或高风险智能体任务（比如让智能体批量重构陌生代码库），用 VM 兜住爆炸半径；二是需要干净、可复现环境的评测与基准测试；三是想在本地离线模型上跑智能体、又不愿把宿主机暴露出来的隐私场景。谨慎之处也同样明确：不要把 Coop 当作「智能体永远安全」的保证，它验证的是隔离边界而非智能体行为；生产数据库、真实密钥仍应通过挂载与转发规则严格控制，而非随意放进虚拟机；对监管严格的行业，逐次审批的审计价值可能无法被沙箱完全替代。官方与社区对 Firecracker 逃逸的具体防护强度暂未给出独立论证，后续将持续跟进。
结语
Coop 不声称让智能体更聪明，而是让智能体更可控——用虚拟机的物理边界，替代权限提示的软约束。这种「把安全交给沙箱」的激进路子，未必适合所有人，但它把行业拉到一个更诚实的问题上：当智能体越来越能自主执行，我们到底该信任它的每一次自我克制，还是该信任一道它出不去的墙。对做编码智能体的团队，这道题的答案，会直接决定你的隔离架构长什么样。