临时 VPS 沙箱：让 AI 代理自己开机、运行不受信任的代码，然后销毁

新功能：代码沙箱。 只是运行 AI 生成的代码，已经不需要一整台 VPS：EQVPS 代码沙箱 是约一秒启动、按秒计费、开箱即可作为 MCP 沙箱使用的 Firecracker microVM — SDK pip install eqvps · npm i @eqvps/sdk（文档）。新账户的第一个沙箱免费赠送 $1。需要 root、公网 IP 或运行数周的机器时，下面的整台 VPS 方案依然是正确选择。

当一个 AI 代理写出你没审过的代码时，你就有了一个问题：在哪里运行它？ 不该在你的笔记本上，紧挨着你的 SSH 密钥和文件。通常的答案是容器——但容器共享你的内核，住在你的机器上。有一条更干净的边界，几乎没人用，因为过去搭建它太慢：一整台由代理自己创建、使用并销毁的一次性 VPS。

这正是本文所讲——也是 EQVPS 独具的模式，因为代理可以通过 MCP 自己完成整个生命周期。

为什么一次性 VPS 胜过本地容器

对于运行你不信任的代码，问题在于爆炸半径——如果它行为不端，能碰到什么？

• 本地容器共享你的内核、位于你的网络上，一个配置失误就能到你的宿主机。对你写的代码没问题；对 AI 刚生成的代码有风险。
• 一次性 VPS是一台单独的机器，有自己的操作系统、自己的 IP，上面没有任何你的东西。不受信任的代码在那里运行。完成后，机器被销毁，上面的一切随之而去。

人们过去不这么做的原因是摩擦：创建和拆除一台服务器意味着一个面板、一张卡、一个人。去掉它，一次性 VPS 沙箱就成了显而易见的选择。

由代理拥有的生命周期

这是只有在这里才成立的部分。通过我们的 MCP 服务器，代理无需人就跑完整个循环：

order_vps({ product: "nano", os_id: 1 })      // 全新机器，从预付余额扣款
get_vps_status({ service_id })                // → ip、ssh_port、一次性 root 密码
// 代理 SSH 进入，运行不受信任的代码，读回结果
cancel_service({ service_id, type: "immediate", confirm: "<hostname>" })
//    → VM 被销毁

四次调用：创建、读取访问、运行、销毁。没有面板，没人批准购买。代理买下并运行了自己的服务器；现在它也处置它。

让这变得实用的经济学

两个设计选择把它从"贵"变成"理所当然"：

• 预付余额 = 硬性支出上限。 代理从你用加密货币一次性充值的余额付款。它绝不能花超过那里的钱——所以一个疯狂创建机器的循环被余额所限，而不是你的整个钱包。
• 立即取消当场结束。 在周期中途销毁机器立即生效；已付费期间如何处理，见条款。

两者一起，让"每任务一次性"沙箱在经济上合理，而不是烧钱坑。

诚实的范围

• 这是 VPS 隔离，不是安全研究飞地。 每个沙箱是一整台 VM——远强于本地容器，但它是标准虚拟化，不是形式化加固的沙箱。对于运行 AI 刚写的代码而不拿你自己的机器冒险，恰到好处；对于对抗性恶意软件分析，请用专用工具。
• 开通约需一分钟。 全新 VM 启动并让 SSH 应答约需 60 秒——快，但不像热容器那样即时。对于按任务隔离没问题；对于亚秒级函数调用，它不是那个工具。
• AUP 仍然适用。 用一次性沙箱跑你自己不受信任的代码没问题；用一次性机器搞滥用、攻击或垃圾邮件不行，会导致账户终止。

为什么偏偏在这里

没有别的主机能让代理端到端拥有这个循环：创建、付款、运行、销毁——无需人、无需卡、无需 KYC。邮箱注册，USDC 或 USDT 充值余额，代理就能自己管理一队一次性沙箱。如果你在构建一个写代码并运行代码的代理，这就是那条不把你机器搭进去的隔离边界。把它指向 MCP 端点，让它去开通。