dsh-code-runtime-container

DeepSeek Harness 的 code-execution seam 目前只内置了 worker-thread 后端，模型生成的代码直接运行在 agent 进程内部，共享宿主网络、文件系统和全部环境变量。seam 自身的文档也承认这只是"bash 级别信任"，并非真正安全边界。dsh-code-runtime-container 补上了 seam 声明却从未实现的 container 隔离层：每次执行启动一个全新容器，--network=none 切断网络、只读根文件系统、--cap-drop=ALL 移除全部能力、内核级 CPU 与内存上限、PID 上限抵御 fork 炸弹，并通过每次运行独立的 nonce 机制防止伪造控制帧或 patch 内建函数。适合对"模型代码不应触达宿主"有硬性要求的部署场景——生产环境 agent、多租户平台、合规审计要求的机构。代价是每次运行约 200 ms 的容器冷启动，且当前仅支持 TypeScript；若威胁模型还包含内核或容器运行时逃逸，可将 dockerPath 指向 Kata 或 Firecracker 兼容引擎以获得更高隔离等级。