沙箱 Runtime 概览

每个 LaunchKit 智能体任务都在隔离的沙箱虚拟机中执行。沙箱 Runtime 是工作区级的记录，用于标明这些沙箱的运行位置。默认使用 LaunchKit 托管的沙箱平台；对数据驻留或网络环境有约束的企业也可以自带（BYO）E2B 兼容的沙箱平台，支持两种接入模式。

直连与桥接

	直连模式	桥接模式
你的沙箱平台	LaunchKit 云可通过 HTTPS 访问	仅内网可达，外部无法访问
连接方向	LaunchKit 调用你的沙箱平台	你的网络仅发起出站调用
平台 API 密钥由谁持有	LaunchKit 加密存储（AWS KMS 信封加密，绑定到你的工作区与 runtime）	你自己。密钥永不离开你的网络，LaunchKit 无法获取
你需要运维什么	无	沙箱平台侧的 `launchkit-worker` 守护进程
你侧需要开放的入站端口	沙箱平台已有的 HTTPS 端点	无

当沙箱平台已有云端可达的端点，且你接受 LaunchKit 加密存储其 API 密钥时，选择直连；当沙箱平台必须留在内网，或密钥不得离开你的网络时，选择桥接。

怎样才算 E2B 兼容

只要沙箱平台实现了 E2B 控制面 API，无论是 E2B 官方云，还是兼容实现（如腾讯 CubeSandbox），均视为 E2B 兼容。暂停支持、密钥校验、私有 CA 等兼容性细节请参考兼容性。

接入流程

runtime 记录由你的 LaunchKit 对接人在部署阶段创建；你负责提供连接信息（直连）或运行 worker（桥接）。

你                                      LaunchKit
──────────────────────────              ─────────────────────────────
选择直连或桥接              ──────────► 创建 runtime 记录
直连: 提供 URL + 密钥       ──────────► 录入密钥,执行一致性探测
桥接: 安装并启动 worker     ──────────► 签发 runtime worker 密钥,
      守护进程                          确认 worker 在线
                            ◄────────  runtime 显示 "connected"

Runtime 状态

状态	含义
`connected`	最近一次探测成功；任务可使用该 runtime
`needs_credentials`	直连模式：记录已创建，但尚未录入 API 密钥
`error`	最近一次探测失败；状态信息说明原因

runtime 未处于 connected 状态时，失败即拒绝（fail closed）：任务不会静默回退到其他沙箱平台，而是直接失败。

自带沙箱平台

沙箱 Runtime 概览

直连与桥接

怎样才算 E2B 兼容

接入流程

Runtime 状态

下一步

​直连与桥接

​怎样才算 E2B 兼容

​接入流程

​Runtime 状态

​下一步

直连与桥接

怎样才算 E2B 兼容

接入流程

Runtime 状态

下一步