OpenAI 更新 Agents SDK：AI 代理有了內建沙盒，能在受控環境改檔、跑指令

一句話看懂：OpenAI 更新了 Agents SDK，讓 AI 代理可以在「內建的受控小房間（沙盒）」裡讀寫檔案、跑指令，也把負責指揮的程式和負責跑程式的環境分開。

先用白話講：AI 代理的「沙盒」是什麼？

想像你請一位實習生幫你整理文件，但你不想讓他碰到公司所有的機密。於是你給他一間獨立的小辦公室，裡面只放他這次需要的資料和工具，做完把成果拿出來就好。

AI 代理（會自己規劃步驟、使用工具完成任務的 AI）也是一樣：它要打開檔案、改程式、跑指令，最好是在一個隔離的小房間裡做，這就是沙盒。

發生什麼事

OpenAI 在 4 月 15 日宣布更新 Agents SDK。這是它提供給開發者、用來做 AI 代理的工具包。官方說這次要給的是「標準化、容易上手、為 OpenAI 模型量身打造」的基礎設施，分成兩塊：

1. 更完整的代理框架（harness）：有可設定的記憶、能感知沙盒的調度、類似 Codex 的檔案工具，並整合 MCP、skills、AGENTS.md、shell 工具與 apply patch（改檔）工具。
2. 原生沙盒執行：代理可以在受控的電腦環境裡，用它需要的檔案、工具、套件完成工作。

沙盒怎麼接？

• 可以自備沙盒，也可以用內建支援的七家服務：Blaxel、Cloudflare、Daytona、E2B、Modal、Runloop、Vercel。
• 用 Manifest 描述代理的工作區：掛本機檔案、指定輸出資料夾，也能從 AWS S3、Google Cloud Storage、Azure Blob Storage、Cloudflare R2 帶入資料。
• 好處是從本機試做到正式上線，描述方式一致，模型也知道輸入放哪、輸出寫哪。

為什麼要把「框架」和「運算」分開？

官方的說法是：做代理系統時，要假設一定有人會嘗試提示詞注入（prompt injection）與外洩資料。把框架和運算環境分開，有三個好處：

• 安全：憑證可以不放在執行模型產生程式碼的環境裡。
• 耐用：代理的狀態存在外部，沙盒容器掛了也不會整輪重來，內建快照與還原，可以在新容器從最近的檢查點接著做。
• 可擴充：可以只用一個沙盒，也可以用很多個，把子代理分到各自隔離的環境、平行處理。

給開發者的技術細節

• 官方範例使用 openai-agents>=0.14.0，主要類別有 SandboxAgent、Manifest、SandboxRunConfig，範例用本機的 Unix 沙盒。
• 新的框架與沙盒功能先在 Python 推出，TypeScript 官方說之後才支援；程式碼模式（code mode）與子代理也預計補到兩種語言。
• 計價：全面開放，依標準 API 價格，以 token 與工具使用量計算。
• 官方列出協助測試新 SDK 的客戶，包含 Oscar Health、LexisNexis、Thomson Reuters、Zoom 等。

# 官方範例的核心概念（節錄，非完整程式）
agent = SandboxAgent(
    name="Dataroom Analyst",
    instructions="Answer using only files in data/.",
    default_manifest=Manifest(entries={"data": LocalDir(src=dataroom)}),
)

我的看法

這則更新我覺得最值得看的不是新功能多，而是「憑證不要跟模型產生的程式碼放在同一個地方」這個設計原則。我自己會用 AI 幫忙處理一些文件和資料，最擔心的就是它跑出來的指令碰到不該碰的東西。

對接案的人來說，這類工具讓「幫客戶做 AI 助理」比較有可能做得安全，但別忘了：沙盒不等於萬無一失，掛載什麼資料、給多大權限，還是要自己決定。另外目前只有 Python 有新功能，用 TypeScript 的人要等。

名詞小辭典

• Agents SDK：OpenAI 提供給開發者、用來建立 AI 代理的工具包。
• 沙盒（Sandbox）：隔離的執行環境，裡面出事不會直接影響外面的主系統。
• MCP：讓 AI 與外部工具溝通的通用規格，像是 AI 的萬用插座。
• 提示詞注入（Prompt injection）：在 AI 讀到的內容裡藏指令，誘騙它做不該做的事。

資料來源

• OpenAI：The next evolution of the Agents SDK（2026-04-15）