AMPLIFIER / J-SYSTEM16 SEP 2026
人类 × AI⑦｜AI 的「不许做」，是谁在说这个「不」
现在的 AI 不只会聊天，还会自己动手：读文件、改文件、在电脑上跑命令。所以每个 AI 工具都给它划了一道线：这件事不许做。这道线有个行话，叫沙箱。主流的几个 AI 工具都有沙箱，差别不在有没有，而在于：是谁在说那个「不」。
「不」卡在哪一层，决定了它是下限还是策略：要么靠有人想对，要么谁都绕不过。
KERNEL 01 内核·谁都绕不过 |
PROGRAM 02 程序·写对才管用 |
PLUGIN 03 插件·看怎么配 |
AMPLIFIER / 01
一、沙箱是什么
沙箱，就是一道「这件事不许做」的边界。
比如：不许改工作目录以外的文件，不许连外网，不许删东西。
划一道线不难，难的是这个问题：如果第一道判断被绕过了，还剩下什么？ 答案取决于是谁在说「不」。
AMPLIFIER / 02
二、有三个地方可以说「不」
从外往里数：
—操作系统。电脑最底下那一层，也叫内核。程序真的去碰一个文件的那一刻，内核检查：允许吗？不允许就拒绝。它不管程序为什么要碰，只看它碰的是什么。—AI 程序自己。AI 决定动手之前，它自己的代码先过一遍规则：这个工具在允许的名单里吗？这个文件在工作目录里吗？—插件。把沙箱做成一个可以换的部件，装哪个就是哪个，由配置决定。
据公开资料，这三种做法都有人用：有的工具直接请操作系统来管，比如在苹果电脑上调用系统自带的 Seatbelt 机制；有的在程序里设允许名单和检查；也有的把沙箱做成可以替换的插件。同一个工具也常常几层都有。
AMPLIFIER / 03
三、为什么程序自己说「不」不够牢
有三条原因，一条比一条要紧。
第一条：自己管自己
程序层的检查，和它要管的那个程序跑在一起。检查写错了一行，没有第二个人发现。
内核在程序外面。程序怎么想，它不知道，也不在乎，它只看程序真正碰到了什么。
第二条：一条命令，能做任何事
只要允许 AI 跑命令，它就能启动电脑上的任何程序。
程序层看到的，只是一串文字。要知道这串文字最后会碰哪些文件，就得把它读懂。可里面可能有变量、通配符、命令里套命令，还可能把一段文字再交给另一个程序去执行。这些组合读不完，所以按文字去拦，必然有漏网的。
内核那一层没有这个问题：命令绕了几道弯都没关系，最后总得去碰真实的文件，内核就守在那一刻。
第三条：坏掉的时候，一个吵，一个静
内核拦住一个动作，动作当场报错，人马上知道。
程序层的规则写错了，它不会报错，只会悄悄放过去。放过了什么，没有人知道。
AMPLIFIER / 04
四、下限和策略
把上面三条合起来：
两样都需要。策略可以很细，知道「这件事为什么不许做」；下限不懂道理，但出了事兜得住。
本质是：把「要靠谁想对」，换成「谁都绕不过」。
AMPLIFIER / 05
五、跳出 AI，是同一件事
家里的电就是这样。
墙上贴一张「别同时开太多电器」，这是策略：要靠每个人记得，记错了没人提醒，电线只是悄悄发热。
配电箱里的保险丝是下限：电流真的太大的那一刻，它就熔断，不管谁怎么想。它出事的方式也是「吵」的：一停电，全家人立刻知道。
好的制度设计，都在做同一件事：不是要求人更小心，而是让不小心也出不了大事。
AMPLIFIER / 06
六、下限也有它管不到的地方
这个判断也有它的边界，至少三条：
—内核也会坏。据公开资料，这类沙箱和电脑共用同一个内核，内核本身有漏洞时，理论上可以被突破。下限比策略牢，不等于绝对牢。—下限只管它看得见的东西。它管得住「碰了不该碰的文件」，管不住「在允许的范围里做错事」，比如在允许改的目录里把文件改坏。这一块只能靠策略和人。—如果程序层的检查被搬到程序外面，放进另一个进程、另一台机器，它就成了外部的裁判，第三节第一条「自己管自己」就不再成立。所以真正的分界不是「内核还是程序」，而是「检查者和被检查者是不是同一个」。
下次看到一个 AI 工具说它「很安全」，可以只问一句：那个「不」，是谁在说？