你让 AI Agent 自己下载代码、运行脚本，甚至关闭权限确认，麻烦就来了：它需要足够自由才能干活，但你又不希望陌生代码碰到电脑里的文件。ArcBox 的解法像是给 Agent 临时开一间独立工作室——任务在一次性虚拟机里完成，宿主机不挂载进去，用完即可丢弃。
这个面向 macOS 的开源项目单日新增 511 星，说明开发者正在寻找比普通容器更适合自治任务的执行环境。不过，本文信息全部来自 arcboxlabs 官方 GitHub 仓库，尚无第三方测试；标题所说的“百毫秒启动”也没有对应数据，不能视为已经证实的性能。
Agent 得到的不是容器，而是一台小机器
容器通常共享宿主系统的内核，因此更轻。虚拟机则带有独立内核，边界更清楚。对于可能执行陌生代码的 Agent，这个区别很实际：出问题时，受影响的是隔离环境，而不是直接把风险留给 Mac。
官方称，ArcBox 的 sandbox 是一次性 microVM——一种体量较小的虚拟机。每个实例都有自己的内核，由 guest 内部嵌套运行的 Firecracker 启动。宿主机目录不会自动挂载，/workspace 起初为空；Agent 要自己拉取所需内容，用户再把结果复制出来。abctl claude 则把 Claude Code 放进这种环境，并关闭 Agent 的权限确认，因为项目把 microVM 本身当作安全边界。
项目支持从模板、现有 Docker 镜像或 Dockerfile 创建 sandbox，也能保存已经启动并处于空闲状态的快照，下次直接恢复。官方把这种恢复描述为“near-zero boot”，但没有给出计时方法和硬件数据。材料只明确称，abctl claude 首次运行需要构建镜像，后续启动约 1 秒。因此，“百毫秒启动”更适合作为标题方向，而不是实测结论。
一套运行时，装下四类工作
ArcBox 从零用 Rust 编写，并自建 VMM、VirtIO 设备、文件共享和网络数据通路。VMM 是负责启动内核、分配资源和管理虚拟机的软件层。它用一个守护进程和一个 CLI——也就是终端命令工具——统一管理四类工作负载：Containers、Agent 或不可信代码的 Sandboxes、完整 Linux machines，以及可随时丢弃的 macOS guests。
它还兼容 OCI。OCI 是容器镜像与运行时的通用规范，这意味着开发者可以继续使用 Docker 生态里常见的镜像。ArcBox 提供 Docker-compatible socket，并把请求转给 guest 中的 dockerd。官方称，Docker CLI、Compose 文件和既有脚本无需修改即可使用；目前宣称支持镜像、BuildKit/Buildx 构建、端口转发、目录挂载、命名卷和交互式执行。
Apple Silicon 用户还可以在原生 arm64 镜像旁运行 linux/amd64 镜像，由 guest 内的 FEX 完成架构转换。ArcBox 也能管理本地 k3s 集群，并接入 kubectl 与 kubeconfig。这些能力让它不只是一只 Agent 沙箱，也试图承担日常容器与本地 Kubernetes 环境。
为什么值得现在看
Agent 与传统应用不同。它会连续调用工具、运行未知代码，还可能同时开出多个任务。开发者需要的因此不只是“把程序装起来”，而是能快速创建、复制、回收，并具有清晰隔离边界的执行单元。ArcBox 把容器兼容性与独立内核的 sandbox 放进同一套本地运行时，正面回应了这个变化。
自建 VMM 也不只是技术偏好。据 ArcBox Blog 2026 年 8 月的调查，Linux 虚拟机释放内存后，macOS 主机未必能真正收回相应页面；团队称 Apple 的 balloon device 存在这一限制。这解释了 ArcBox 为什么选择维护自己的 VMM、设备模型和数据通路。不过，这仍是项目方自己的测试结论。
局限与未知
- ArcBox 仍处于 public beta，稳定性和边缘兼容性尚无独立验证。
- “无需修改”“可从本地扩展到云端 fleet”均为官方表述；Docker API、网络、卷和插件等细节可能影响实际兼容性。
- 项目以达到 OrbStack 的速度和低开销为目标，但材料没有提供启动延迟、资源占用或与 Docker Desktop、OrbStack 的基准对比。