2026 年最佳 AI 智能体沙箱与云虚拟机

简短结论

想要一个合理的默认选择就选 E2B；只有当某个约束是硬性的，才选别的。会写代码并运行代码的智能体，需要一个既不是你的笔记本、也不是你的生产服务器的地方来执行。 下面每个平台都在卖这样的地方，但它们对“沙箱”的定义不同：一次性代码运行器、常驻的 Linux 电脑， 或者更大云平台的一小块。形态选错，通常在第三周才暴露：你以为会一直保留的工作目录，在十分钟的时间点消失了。

截至 2026 年 11 月 11 日，格局大致如下。E2B、Vercel Sandbox 与 Fly.io 把每个沙箱放进 Firecracker microVM。 Modal 默认 gVisor。Daytona 默认 Linux 容器，并提供 VM 类型。Cloudflare 让每个 Container 实例在 Durable Object 之后运行在各自的 VM 中。Northflank 提供 microVM 与 gVisor。标价从每 vCPU 小时约 $0.017 到 $0.128 不等，但计费模型（按活跃 CPU 还是按完整墙钟时间）会让真实账单相差一个数量级。

E2B 联合创始人兼 CEO 讲解 E2B Embed，这是 E2B 运行时的单机打包方案，与 E2B Cloud 和自带云并列 （E2B 官方视频，2026 年 9 月）。

快速推荐

这些推荐遵循下文的证据。没有任何一项是赞助内容；评估方法一节说明了我们如何排序。

总对比表

价格为各厂商自家价格页上的标价，核对日期为 2026 年 11 月 11 日。按秒的费率已折算成按小时以便比较。 “未获取”表示我们抓取的页面没有给出该值，我们不做猜测。

第二个维度是持久化与快照。下表列出各平台在智能体安静下来之后如何处理状态：

AI 智能体沙箱之间真正的差异

四个属性把这些产品区分开来，而且这四点都写在参考文档里，而不是落地页上。

隔离原语。microVM 在虚拟化边界之后启动自己的客户机内核，因此沙箱内的内核漏洞利用 理应无法触及宿主机。gVisor 在中间插入一个用户态内核，自行回应租户的系统调用，把攻击面缩小到该组件。 普通容器通过命名空间与 cgroup 共享宿主机内核，对你自己写的代码没问题，对模型从不可信输入生成的代码则风险更高。 Cloudflare 的 Dynamic Workers 使用的 V8 isolate 能在毫秒级启动，但隔离只在进程级。隔离原语也给启动时间设定了下限： 启动内核的成本高于容器，容器又高于 isolate。

空闲期间保留什么。有些产品在沙箱停止时丢弃一切。另一些保留磁盘，少数还保留内存与运行中的进程。 如果你的智能体周一安装依赖、周四再回来，就需要后两种。

计时器。每个托管沙箱都有默认超时、空闲策略，有时还有硬性会话上限。比数字本身更重要的是计时归零时发生什么： E2B 在超时后会终止沙箱，除非你把动作设为暂停，而终止意味着状态丢失。

计费形态。完整墙钟计费会为沙箱等待模型的每一秒付费。按活跃 CPU 计费（Modal、Vercel）只为实际工作付费。 基准测试一节会展示这一差距能有多大。

E2B

E2B 是采用最广泛的专为智能体打造的沙箱。每个沙箱都是拥有独立内核的 Firecracker microVM；E2B 运行时是 Apache-2.0 的 Go 代码（e2b-dev/runtime），主 SDK 仓库 e2b-dev/E2B 截至 2026 年 11 月 11 日约有 14.8K GitHub star。创建过程是恢复一个快照，内存延迟加载，根文件系统为写时复制， VM 内一个名为 envd 的守护进程负责命令与文件。E2B 官网宣称有 100K+ 团队、财富 100 强中有 94 家已注册； 这两项都是厂商自述，我们未做核实。

价格（2026 年 11 月 11 日）。Hobby 免费。Pro 为每月 $150 加用量，并发 100 个沙箱，可扩展到 1,100。 用量按秒计费：1 vCPU 每秒 $0.000014（约每小时 $0.0504），1 GiB 内存每秒 $0.0000045（约每小时 $0.0162）。 磁盘在 Hobby 上免费至 10 GiB，在 Pro 上免费至 20 GiB。Enterprise 起步为每月 $2,000 承诺额度，并发 500 个沙箱。 Hobby 会话最长 1 小时，Pro 会话最长 24 小时；暂停会重置窗口。

优势。持久化是该类别中文档最完善的。暂停会同时保存文件系统和内存，每 GiB 内存约需 4 秒， 恢复约 1 秒，且暂停的沙箱会被无限期保留。你可以 fork 运行中的沙箱（每次请求最多 100 个，也有 CLI fork 命令）， 挂载持久卷，并用带域名允许与拒绝列表的出口防火墙。E2B 对自托管的说明很具体。2026 年 9 月 30 日发布的 E2B Embed 把运行时与控制台打包到一台带 KVM 的 Linux 主机上，提供面向 GCP、AWS 与 Azure 的 Terraform 以及 Kubernetes 清单， E2B 还向企业销售在 AWS、GCP 与 Azure 上的自带云方案。近期发布更偏向治理而不只是速度：E2B Secrets（10 月 7 日） 把凭证保留在沙箱之外，并注入你配置的 HTTPS 请求头；Workload Identity（11 月 3 日）为每个沙箱提供可签名验证的身份， 你的后端无需长期凭证即可校验。AI 智能体还可以通过 Stripe Projects（2026 年 6 月 10 日）预配 E2B 沙箱， 预置模板包括 Claude Code、Codex 与 Hermes Agent。

劣势。没有 GPU 选项（E2B 声明其沙箱仅提供 CPU）。Pro 每月 $150 的门槛对小项目不友好， 并且计费覆盖沙箱存活的全部时长，所以一个等待模型几分钟的沙箱与一个在计算的沙箱费用相同。 沙箱在超时后会被终止，除非你选择暂停，这会让以为默认就持久化的团队感到意外。其最新功能 （Secrets、Workload Identity、DNS 白名单）更偏治理控制而非速度，这暗示路线图瞄准的是企业买家。

最适合：编程智能体、数据分析智能体，以及任何需要强隔离、可恢复状态并保留自托管退路的产品。

# pip install e2b
from e2b import Sandbox

with Sandbox.create() as sandbox:
    result = sandbox.commands.run('echo "Hello from E2B!"')
    print(result.stdout)

// npm install e2b
import { Sandbox } from 'e2b'

const sandbox = await Sandbox.create({ timeoutMs: 60_000 })
// ... run commands, write files, pause if you need the state later ...
await sandbox.kill()

Daytona

Daytona 主打快速、有状态的沙箱，并拥有最广的 SDK 覆盖。其官网宣称沙箱创建低于 90 毫秒（厂商自述）， 文档则称每个沙箱拥有专用内核、文件系统、网络栈，以及 vCPU、内存与磁盘配额。需要留意的是默认值：除非你选择 VM 类型， 沙箱以 Linux 容器运行，文档还列出了 Windows、macOS 与 GPU 类型。这很重要，因为容器共享宿主机内核， 所以对不可信的多租户代码，你应当有意识地选择 VM 类型。

价格（2026 年 11 月 11 日）。每 vCPU 小时 $0.0504，内存每 GiB 小时 $0.0162，存储每 GiB 小时 $0.000108（前 5 GiB 免费），按秒计费。新账号获赠 $200 免费算力，初创公司可申请最高 $50,000 额度， 企业档增加 SSO、审计日志与自带云。价格页还列出了 GPU 容量，包括可抢占 H100 每小时 $2.27。默认快照为 daytona-small（1 vCPU、1 GiB、3 GiB 磁盘）、medium（2/4/8）与 large（4/8/10）。

优势。SDK 覆盖 Python、TypeScript、Ruby、Go 与 Java，外加 CLI 与 API，是本指南中最广的。 停止的沙箱保留其标识与文件系统，自动停止默认 15 分钟（设为 0 可关闭），且没有声明的硬性会话上限， 因此 Daytona 更像一台按秒租用的持久机器。GPU 类型以及 Windows 或 macOS 沙箱覆盖了需要操作桌面的智能体。 该公司完成了 6,000 万美元 B 轮融资，估值 10 亿美元（FirstMark），官网引用 Writer 一个月运行 300,000 个沙箱（厂商自述）。

劣势。Daytona 的开源状态发生了变化。GitHub 上的 daytonaio/daytona 仓库已归档， 其 README 声明自 2026 年 6 月起核心开发已转入私有代码库；仓库仍按其许可证公开，star 数约 71K。 如果“开源”或自托管是硬性要求，请在承诺之前向 Daytona 确认当前路径。LogRocket 测得其恢复（1,254 毫秒） 慢于创建（742 毫秒），因为 Daytona 的停止再启动流程比保留内存的暂停重建了更多内容。

最适合：长期存活的智能体工作区、需要多语言 SDK 的场景，以及想要便宜、持久且可选 GPU 的机器的团队。

# pip install daytona
from daytona import Daytona

daytona = Daytona()  # uses DAYTONA_API_KEY from the environment
sandbox = daytona.create()

response = sandbox.process.exec("echo 'Hello, World!'")
print(response.result)

Modal Sandboxes

当你的沙箱和 Python 流水线、批处理任务或 GPU 工作负载放在一起时，Modal 是首选。Sandboxes 共用 Modal 的容器运行时， 所以沙箱可以使用与 Modal Functions 相同的镜像、卷与密钥。默认隔离是 gVisor（用户态内核）； Modal 的安全文档也提到 microVM，快照文档则暴露了 runtime="vm" 选项。 SDK 覆盖 Python、JavaScript 与 Go。

价格（2026 年 11 月 11 日）。Sandboxes 按不可抢占费率计费，为可抢占 Functions 标价的三倍： 每物理 core 秒 $0.00003942（一个物理 core 等于 2 vCPU，约每 vCPU 小时 $0.071），每 GiB 秒 $0.00000667 （约每 GiB 小时 $0.024）。计费遵循 max(请求量, 实际用量)，对大多数沙箱 Modal 建议不要设置请求量， 此时默认预留 0.125 core 与 128 MiB。Starter 套餐含每月 $30 算力额度与 100 个容器；Team 为每月 $250 加算力， 含 $100 额度与 5,000 个容器。

优势。空闲沙箱几乎不花钱，这也是按活跃资源计费的模式在 LogRocket 成本场景中赢下突发型负载的原因。 GPU 预留是 Sandbox 参数，网络控制包括 block_network、出站 CIDR 白名单与域名白名单。 文件系统与目录快照保留 30 天。

劣势。Sandboxes 默认生命周期为 5 分钟，最长 24 小时，之后需要快照再恢复。它没有原地暂停： LogRocket 指出 Modal 的 2,347 毫秒是快照启动时间而非恢复时间，其创建时间（2,437 毫秒）在它测试的五个平台中， 仅快于 Blaxel。内存快照 7 天后过期，不能使用 GPU，只能在相同实例类型上恢复，也不能固定区域。Modal 仅提供托管服务。

最适合：已在使用 Modal 的数据与 ML 智能体、空闲时间占主导的突发型负载，以及沙箱内需要 GPU 的任何场景。

# pip install modal
import modal

app = modal.App.lookup("agent-sandboxes", create_if_missing=True)
sb = modal.Sandbox.create(app=app)

p = sb.exec("python", "-c", "print('hello')", timeout=3)
print(p.stdout.read())
sb.terminate()

Vercel Sandbox

Vercel Sandbox 已正式发布（GA），每个沙箱运行在 Firecracker microVM 中，拥有自己的文件系统与网络。 它覆盖 19 个区域，默认镜像（vercel/sandbox/universal）自带 Node LTS 与 Python 3.14， 沙箱规格从 1 vCPU 到 2 至 32 个偶数 vCPU，每个 vCPU 配 2 GB 内存。SDK 提供 JavaScript 与 Python，外加 CLI。 持久化 Drives 处于 beta。

价格（2026 年 11 月 11 日）。活跃 CPU 每小时 $0.128，预配内存每 GB 小时 $0.0212， 沙箱创建每百万次 $0.60，快照存储每 GB 月 $0.08。Hobby 含 5 小时活跃 CPU、420 GB 小时内存与 5,000 次创建； Pro 增加每月 $20 额度。Hobby 允许 10 个并发沙箱、4 vCPU 与 8 GB、45 分钟会话；Pro 允许 10,000 个并发、 8 vCPU 与 16 GB、24 小时会话。存储为 64 GB NVMe。

优势。沙箱默认持久：停止时生成文件系统快照，新会话按名称从快照启动，快照在最后一次使用 30 天后过期，除非你更改。网络策略可以设到全部拒绝。对已在 Vercel 上的团队，账号、计费、可观测性与 AI Gateway 的体验是统一的；模型侧请参阅我们的 Vercel AI Gateway 指南（英文）。

劣势。因为内存在预配的整个期间都计费，长期常驻的沙箱会很贵：LogRocket 的 50 个常驻智能体场景中， Vercel 约每月 $3,800，而 E2B 与 Daytona 约 $533。在 LogRocket 的测试里，Vercel 的恢复也慢于创建 （3,333 毫秒对 1,852 毫秒），并且后台进程必须从 onResume 钩子重新启动，因为只保存了文件系统。 Vercel Sandbox 仅提供托管服务。

最适合：托管在 Vercel 上、在应用旁运行短时智能体任务、预览或代码评测的产品。

// npm install @vercel/sandbox
import { Sandbox } from '@vercel/sandbox'

const sandbox = await Sandbox.create()
await sandbox.runCommand('echo', ['Hello from Vercel Sandbox!'])

Cloudflare Sandbox 与 Containers

Cloudflare 提供两种沙箱环境。Containers 让每个实例在各自的 microVM 中拥有完整的 Linux 环境， 具备独立内核与网络，由 Durable Object 启动并寻址。Dynamic Workers 在 V8 isolate 中运行 JavaScript、 Python 或 WebAssembly，适合更轻量的代码。@cloudflare/sandbox SDK 封装了容器路径， 编程智能体指南涵盖 Claude Code、Codex 与 Devin。一切都需要每月 $5 的 Workers Paid 套餐。

价格（2026 年 11 月 11 日）。Containers 每 vCPU 秒 $0.000020（约每小时 $0.072）， 内存每 GiB 秒 $0.0000025（约每小时 $0.009），磁盘每 GB 秒 $0.00000007。Workers Paid 套餐每月含 25 GiB 小时内存、375 vCPU 分钟与 200 GB 小时磁盘。出口流量在北美与欧洲每 GB $0.025，含 1 TB。 实例类型从 lite（1/16 vCPU、256 MiB）到 standard-4（4 vCPU、12 GiB、20 GB 磁盘），账号上限为 1,500 个并发 vCPU 与 6 TiB 内存。

优势。内存是本指南中最便宜的，每 GiB 小时 $0.009，边缘网络位于沙箱前端， 出站 HTTP 可以被阻止、允许或拦截，并在 Worker 中注入 Authorization 头。官方快速入门展示了这种模型的形态： Durable Object 调用 container.start() 并传入镜像与 enableInternet: false， 然后 container.exec() 执行命令。

劣势。容器磁盘是临时的，容器停止后文件会丢失，除非使用带 durable_object 调度策略的快照 （该功能处于公开 beta）。冷启动通常为 1 到 3 秒，取决于镜像大小（厂商文档）。它以 TypeScript 优先，并绑定在 Workers 平台上；wrangler dev 在本地 Docker 而非 microVM 中运行实例，因此本地与线上的隔离不同。 我们检查的页面没有给出 GPU 选项与会话上限。

最适合：已经以 Workers 方式编写的智能体、靠近边缘的工具，以及希望不离开 Cloudflare 就能执行沙箱命令的产品。

// Durable Object that starts a container and runs a command
import { DurableObject } from "cloudflare:workers";

export class MyContainer extends DurableObject<Env> {
  async exec(argv: string[]) {
    const container = this.ctx.container;
    if (!container) throw new Error("No container is configured");
    if (!container.running) {
      container.start({
        image: "cloudflare/debian-trixie",
        entrypoint: ["sleep", "infinity"],
        enableInternet: false, // block outbound traffic from the sandbox
      });
    }
    const process = await container.exec(argv);
    const output = await process.output();
    return { stdout: new TextDecoder().decode(output.stdout), exitCode: output.exitCode };
  }
}

Fly.io Machines 与 Sprites

Fly.io 提供两样适合智能体的东西。Machines 是由 API 控制的 Firecracker microVM， 按 Fly 文档可在一秒内启动与停止，按秒计费。Sprites 是较新的产品：持久、硬件隔离的 Linux 电脑， 空闲时休眠，检查点约一秒，拥有自己的 HTTPS URL，并保留 100 GB 卷。

价格（2026 年 11 月 11 日）。Sprites 每 CPU 小时 $0.0385，内存每 GB 小时 $0.021875， 热存储每 GB 小时 $0.000683（约每 GB 月 $0.50），冷存储约每 GB 月 $0.02。含 $1 试用额度，带宽不计量。 Machines 按实例定价：256 MB 的 shared-cpu-1x 为每月 $2.19，2 GB 的 performance-1x 为每月 $33。 已停止 Machine 的根文件系统每 GB 月 $0.15，卷每 GB 月 $0.15。

优势。Sprite 是这里最接近“给智能体一台笔记本”的东西：安装一次，几天后回来仓库还在原处， 休眠期间不计费。按 Fly 自己的对比文章，网络策略在 Sprite 内部是只读的，所以智能体无法改写自己的规则， 凭证可通过 Connectors 代理而不是存放在磁盘上。SDK 覆盖 JavaScript、Go、Python 与 Elixir。 Machines 适合想要完全控制的团队：Fly 的架构文档确认使用 Firecracker，Machines API 让你可以搭建自己的沙箱池。

劣势。Machines 是原语而不是沙箱产品：没有代码解释器 API、快照工作流或每沙箱的网络策略层， 这些都要你自己搭。Sprites 还很年轻，进程在空闲时休眠（Fly 称 Sprite 在约 30 秒无活动后暂停， 服务从冷启动重新拉起）。Fly 的对比文章由厂商撰写，请把其表格当作文档的索引，而不是中立评测。 两款产品都不能自托管。

最适合：拥有长期工作区的编程智能体（Sprites），或基于 microVM API 构建自有沙箱集群（Machines）。

// npm install @fly/sprites
import { SpritesClient } from "@fly/sprites";

const client = new SpritesClient(process.env.SPRITES_TOKEN!);
const sprite = client.sprite("my-sprite");
await sprite.exec("echo hello");

Northflank

Northflank 是通用的容器与工作负载平台，上面叠加了沙箱产品。它用 microVM（Cloud Hypervisor，提到了 Kata 运行时） 或 gVisor 隔离工作负载，GPU 工作负载使用 gVisor，并且在每个套餐上都应用沙箱隔离。

价格（2026 年 11 月 11 日）。按量付费起步为每 vCPU 小时 $0.01667、内存每 GB 小时 $0.00833， 是本指南中最低的公开费率。自带云节点每 vCPU 小时 $0.02083，出口流量每 GB $0.06，免费 Sandbox 档含每月 $20 资源 与一个最高 12 vCPU、48 GB 的 BYOC 集群。

优势。最低的标价、无会话时间限制、沙箱最高可达 288 vCPU 与 2 TB 内存、支持 GPU， 以及 BYOC 选项，让你把工作负载留在自己的 AWS、GCP 或 Azure 账号里。因为它是完整平台， 同一账号可以在沙箱旁运行你的数据库、任务与 API。

劣势。沙箱 SDK 的覆盖面小于 E2B 或 Daytona（JS SDK 与 REST API），其启动速度宣称 我们只能通过二手来源得知：LogRocket 概括为亚秒级，但我们没有找到厂商发布的精确数字或独立实测。 部分 Northflank 功能假设你会使用更广的平台。

最适合：对成本敏感的集群、想要 BYOC 但不想自己运行控制平面的团队，以及 GPU 沙箱。

Runloop

Runloop 销售 Devboxes，即为智能体工作负载（如编程智能体与评测框架）打造的云开发环境。其文档称 Devboxes 使用虚拟机技术，但没有点名具体的 hypervisor，所以我们在此不做断言。SDK 覆盖 Python 与 TypeScript， 功能包括用于可复用镜像的 blueprints、快照、挂起与恢复、网络策略、Agent Gateway 与 MCP Hub。

价格（2026 年 11 月 11 日）。每 CPU 小时 $0.108，内存每 GB 小时 $0.0252， 存储每 GB 小时 $0.00034236。Basic 档免费加用量，含 100 GB；Pro 为每月 $250 加用量，增加挂起与恢复及仓库连接； Enterprise 部署到你的 VPC。新账号获赠 $50 试用额度与三个运行中的 Devbox。

优势。重点是基准测试与评测工作流，blueprints 与快照让启动大量相同环境变得简单。 挂起与恢复（厂商自述，据 LogRocket 概括约 25 毫秒）以及 VPC 部署适合更大的团队。

劣势。它的算力费率在专用沙箱中仅次于 Vercel 的活跃 CPU 价格，是最高的一档； 隔离技术未公开，关键生命周期功能位于每月 $250 的档位之后，并且除企业版 VPC 外仅提供托管服务。

最适合：构建编程智能体产品或评测流水线、想要托管 devbox 抽象而不是原始沙箱 API 的团队。

# pip install runloop_api_client
import asyncio
from runloop_api_client import AsyncRunloopSDK

runloop = AsyncRunloopSDK()  # RUNLOOP_API_KEY from the environment

async def main():
    devbox = await runloop.devbox.create()
    result = await devbox.cmd.exec(command="echo 'Hello from Runloop!'")
    print(await result.stdout())
    await devbox.shutdown()

asyncio.run(main())

CodeSandbox SDK

CodeSandbox 通过 @codesandbox/sdk 包开放其云开发环境。其文档把基于浏览器的 IDE、代码解释与 AI 智能体运行环境列为使用场景。LogRocket 把这些沙箱描述为带内存快照与实时克隆的 Firecracker microVM， 这在智能体想从某个已知良好状态分支时很有用。SDK 以 TypeScript 优先，CodeSandbox 列出了 SOC 2 Type II 合规。

价格（2026 年 11 月 11 日）。VM 额度每份 $0.015，付费套餐为每工作区每月 $170，含 40 小时 VM 额度。 我们无法抓取 SDK 发布博客（返回 403），所以冷启动数字（VM 克隆 1 到 3 秒）来自 LogRocket 对厂商宣称的转述， 仍未经核实。

优势。内存快照与实时克隆（厂商自述，据 LogRocket）让分支实验成本很低， 而其开发环境的渊源体现在 Hosts 文档中，涵盖暴露端口与用于预览的自定义域名。

劣势。仅支持 TypeScript，额度制计费比按秒计费的算力更难预测，每工作区每月 $170 的入门门槛， 且没有自托管选项。

最适合：需要 fork 与分支环境，或需要预览由智能体构建的 Web 应用的 TypeScript 团队。

// npm install @codesandbox/sdk
import { CodeSandbox } from "@codesandbox/sdk";

const sdk = new CodeSandbox();
const sandbox = await sdk.sandboxes.create();
const client = await sandbox.connect();
const output = await client.commands.run("echo 'Hello World'");

OpenSandbox

OpenSandbox（opensandbox-group/OpenSandbox）是你自己托管的 Apache-2.0 沙箱运行时。 该仓库创建于 2025 年 12 月 17 日，截至 2026 年 11 月 11 日约有 17K GitHub star，是 AAIF 项目。 它在本地用 Docker 运行，在生产环境用 Kubernetes，支持可插拔后端（gVisor、Kata 或 Firecracker）， 提供 Python、Java 与 Kotlin、TypeScript、C# 与 Go 的 SDK，名为 osb 的 CLI、MCP 支持、 出口策略与 Credential Vault，并支持带内存与磁盘的暂停与恢复。项目 README 报告 Firecracker 创建串行 P50 为 64 毫秒， 10 并发创建的 P99 为 125.4 毫秒；这是厂商自述，来自项目自己的硬件。

它没有价格，因为没有平台费：你为主机以及运维它们的工程时间付费。代价是自托管的常见问题， 隔离、补丁与容量都变成你的工作。安装与安全模型请见专门的 OpenSandbox 安全智能体运行时指南（英文）。 当数据不能离开你的网络、需要在 Docker 与 Kubernetes 上使用同一运行时，或高吞吐下每沙箱成本超过运维成本时， 它是正确的选择。

其他值得关注的方案

LogRocket 2026 年 8 月的对比涵盖了几个我们没有排名的平台，以下细节均为二手转述。Blaxel（microVM、永久休眠） 在其测量中创建 2,824 毫秒、恢复 1,924 毫秒。AWS Lambda MicroVMs 使用 Firecracker，支持快照恢复与最长 8 小时的挂起。 Google Agent Sandbox 基于 GKE 与 gVisor，有状态存活期最长 14 天。Microsandbox 是基于 libkrun 的自托管选项， AIO Sandbox 是基于 Docker 的自托管选项。请把这些当作待核实的线索，而不是推荐。如果你的智能体需要的是浏览器而不是 shell， 请参阅我们的 智能体浏览器基础设施指南（英文）。

基准测试与独立数据

截至 2026 年 11 月 11 日，不存在中立、标准化的沙箱冷启动排行榜。厂商数字是在预热、同区域和有利条件下测得的， 且各家对“就绪”的定义不同。我们找到的最好的独立数据点是 LogRocket 2026 年 8 月 4 日的测试：创建沙箱、运行命令、 确认命令在沙箱内执行、暂停沙箱，然后计时恢复到第一条命令。这是单个作者的测试框架，不是经同行评审的基准测试， 表中只有 Blaxel 是我们没有覆盖的平台。

同一篇文章里的两点提醒：“恢复”在各处并不是同一个操作（E2B 与 Daytona 原地暂停与恢复，Modal 没有原地恢复）， 而且实测数字高于厂商宣称，因为真实的智能体要承担初始化、距离与往返的开销。我们找到的厂商自述数字如下， 其中没有一项可以与上表直接比较。

成本也需要同样的谨慎。下表是对公开标价的简单算术：一个 2 vCPU、4 GB 内存的沙箱运行一小时。 这只是粗略指数而不是报价，因为各平台计费的对象不同：Modal 与 Vercel 计量活跃 CPU，Fly Sprites 休眠时不计费，Cloudflare 使用固定实例档位。

LogRocket 对两种工作负载建模，说明了为什么标价会误导。对于每月 30,000 次会话的突发式交互智能体， 每个会话存活约五分钟、CPU 用 30 秒、2 vCPU 与 4 GB，它估算 Modal 约 $36、Vercel 约 $276、 E2B、Daytona 与 Blaxel 约 $414。对于 50 个智能体各持有一个常驻沙箱（每天活跃两小时、空闲 22 小时）并保留状态的场景， Modal 看起来最便宜，约 $426，但这只是因为它忽略了重建状态的成本；E2B、Daytona 与 Blaxel 约 $533； Vercel 则成为最贵的，约 $3,800，因为内存在全部 24 小时都计费。这些是 LogRocket 的建模数字，不是实际账单。

隔离并不等于全部安全

强大的算力边界保护不了一个拥有开放网络访问和高权限凭证的智能体。LogRocket 引用了 BeyondTrust 对 AWS AgentCore 的研究： Firecracker 隔离本身没有被突破，但承诺“无外部访问”的“Sandbox”模式仍允许出站 DNS 查询。研究人员基于 DNS 构建了命令与控制通道， 并利用解释器权限过宽的 IAM 角色读取了 S3 数据；AWS 于 2026 年 4 月 15 日修复了 DNS 隧道问题。 这里的每个产品都需要对出口与凭证做同样的检查。

• 出口控制。E2B 默认开放，支持 IP、CIDR 与域名的允许和拒绝列表，并且自 2026 年 10 月 26 日起可选择沙箱访问哪些 DNS 服务器。Modal 提供 block_network 以及 CIDR 与域名白名单。Daytona 对每个沙箱应用防火墙，在较低档位默认受限。Vercel 的策略可以设到全部拒绝。Cloudflare 可以阻止、允许或拦截出站 HTTP。
• 密钥。优先在网络层注入：E2B Secrets 与 Cloudflare 在 Worker 中注入请求头，都让令牌不进入 VM，Fly 则通过 Connectors 为 Sprites 代理凭证。
• 身份。E2B Workload Identity 为每个沙箱提供可签名验证的身份，让你的后端能验证调用者是谁并决定其访问范围。
• 最小权限。给沙箱尽可能窄的角色，并且永远不要把 Docker socket 挂载进基于容器的沙箱。

DeepLearning.AI 的 E2B 编程智能体课程讲解了从本地执行、容器到 microVM 沙箱的演进， 如果你的团队正在决定需要多强的隔离，这是一份不错的入门材料。

课程介绍，对比智能体代码的本地执行、容器与 microVM 沙箱（DeepLearning.AI 与 E2B；E2B 是该课程的合作方， 因此请把它当作利益相关厂商提供的教学介绍）。

如何选择

找到那个选错就会让智能体、安全模型或预算出问题的维度。该维度构成你的候选名单，其余维度则变成筛选条件。

沙箱只是智能体技术栈的一层。关于智能体进程本身运行在哪里，请阅读我们的配套指南： AI 智能体最佳 VPS 与 最佳 AI 智能体托管平台。 如果你在构建智能体本身， 最佳 AI 智能体框架 一文介绍了哪些框架提供沙箱集成，OpenAI Agents SDK 的文章则解释了 该 SDK 中的沙箱执行与记忆（英文）。 编程智能体用户可以在 2026 年最佳 AI 编程智能体（英文） 中比较工具，如果你还需要原始 GPU 算力， 最佳 GPU 云指南（英文） 有相应内容。想把沙箱工具接入编辑器智能体，请参阅 Claude Code 最佳 MCP 服务器（英文）。

评估方法

我们在 2026 年 11 月 11 日抓取了各厂商自己的价格页与文档，本指南中的每个价格、限制与日期都来自这些页面， 或来自文中点名的来源。厂商没有公布某个值时（Runloop 的隔离技术、CodeSandbox 的会话上限、Cloudflare 的会话上限）， 我们明说而不是填补空白。厂商数字都标注为厂商自述。每小时价格由按秒标价通过简单算术换算，并四舍五入到四位小数。 排名依据隔离强度、有文档记录的持久化、会话限制、标价、SDK 广度与自托管选项的证据。本榜单没有付费位、联盟链接或赞助， 我们也没有自己运行冷启动测试；唯一的独立计时来自 LogRocket。

价格变化频繁，其中几款产品在最近两个月发布了重要变更（E2B Embed、Secrets 与 Workload Identity；Daytona 仓库转为私有； Cloudflare 快速入门更新）。在投入预算之前请重新核对厂商页面。

常见问题

来源

除特别注明外，所有页面均抓取于 2026 年 11 月 11 日。

• E2B 价格、沙箱持久化文档、产品更新、GitHub 上的 e2b-dev/runtime
• E2B：通过 Stripe Projects 提供沙箱（2026 年 6 月 10 日）
• Daytona 价格、沙箱文档、GitHub 上的 daytonaio/daytona
• Modal 价格、Sandboxes 指南、Sandbox 快照、安全
• Vercel Sandbox 文档与价格
• Cloudflare Sandbox 文档、运行 Linux 命令快速入门（2026 年 10 月 22 日更新）、Containers 价格
• Fly.io 价格、Machines 文档、架构、Sprites
• Northflank 价格与沙箱产品页
• Runloop 价格与Devboxes 文档
• CodeSandbox 价格与SDK 文档
• GitHub 上的 OpenSandbox
• LogRocket：AI 智能体沙箱平台对比（2026 年 8 月 4 日，独立测量与成本场景）
• Fly.io：AI 智能体沙箱提供商对比（2026 年 9 月 9 日，厂商自撰，用于引用各厂商文档的会话与持久化细节）
• E2B Embed: a new way to run E2B与New course with E2B（YouTube）