Iowa大学团队直接向OpenAI递了封信

有意思的是，他们不是只喊口号，而是给出了一套具体的隔离方案。思路是把模型推理层和工具执行层物理分开，模型只能生成结构化指令，真正的代码执行和网络请求由一个独立的环境承接。这个环境要能拦截危险操作，比如文件系统写入、对外发包、改配置。听起来像老生常谈，但说实话，市面上绝大多数基于LLM搭建的自动化workflow根本没做到这点。

我看完之后第一个想法是：这事儿Claude Code和Cursor们怎么看待。Claude Code本身就在本地终端跑命令，如果用户把敏感项目的权限给它，它到底能不能被真正限制住？Iowa的论文里专门提了这层担忧——工具调用链一旦超出预期范围，后果可能是数据泄露甚至代码投毒。

另一个让我犹豫的地方是"沙箱粒度"的问题。把整个执行环境都隔离了确实安全，但也意味着模型很多能力被废了。比如让它查实时信息、写临时文件调试代码，这些在严格沙箱里都得靠代理层中转，延迟和可靠性都会打折扣。论文作者自己也没给出完美的平衡点，只是强调了"默认隔离、按需放行"的原则。

OpenAI那边目前没有公开回应这个请求。但从他们最近的o系列模型发布策略看，似乎一直在朝"更强能力、更少限制"的方向走。Iowa团队大概也知道这个矛盾——能力越强，越需要沙箱；沙箱越严，能力体验越弱。这是个没有标准答案的trade-off，但至少他们把问题摆到了桌面上。

对我个人而言，最受用的不是论文结论本身，而是一个具体的实操启发：搭建任何基于大模型的自动化系统时，第一步就该设计隔离边界，而不是等出了事再补。这套思路对本地部署的agent、工作流自动化、甚至测试环境里的模型调用都适用。