服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- GitHub 10 月 7 日公告将本地沙箱列为 GA，覆盖 Copilot CLI、Copilot 应用及使用 Agent Host 的 VS Code 会话。模型选择与工具隔离是两件事。
- CLI 在会话中使用 /sandbox enable；应用通过项目设置管理新本地会话的默认值，也能单独调整当前会话，两端设置互不联动。
- 本地 MCP 与 LSP 默认随支持的工具进入沙箱，远程 MCP 服务器不在其中；CLI 内置文件工具依靠软件检查，缺少操作系统隔离兜底。
- 系统版本、网络控制和不支持时的行为各有差异。本地沙箱随 Copilot 席位提供，不额外收费；云沙箱另属公开预览并按用量计费。
先确认入口：GA 不代表已经开启
GitHub 于 2026 年 10 月 7 日宣布 Copilot 本地沙箱正式开放。它通过 Microsoft eXecution Container（MXC），把文件、网络和其他系统资源的访问策略落实到各操作系统。当前文档说明本地沙箱默认关闭；未开启时，代理运行的 shell 命令拥有当前用户可用的文件、网络和凭据访问能力。
公告覆盖 Copilot CLI、GitHub Copilot 应用，以及使用 Agent Host 的 VS Code 会话。VS Code 是单独的入口，不能把其设置或依赖直接套给 CLI、应用及其他代理集成；公告和已读概念文档也没有列出统一的最低客户端版本。
按顺序开启 CLI 或应用，再收窄访问范围
先确认当前使用的是 CLI 还是应用、任务实际在哪台机器执行，并查看组织是否下发了托管策略。两端的本地沙箱设置相互独立，在 CLI 开启后仍应单独检查应用。
使用 CLI 时，在 Copilot CLI 会话中运行 /sandbox enable。启用偏好会延续到后续会话，直到使用 /sandbox disable；企业要求和允许绕过的规则仍可能限制这个动作。使用应用时，在项目设置中选择新本地仓库或 working tree 会话的沙箱默认值；单独更改当前会话，不会改动项目默认值。
随后按任务需要检查可读、可写和禁止访问的路径，以及网络和 Git、gh 凭据权限。假设只需修改一个项目，就先围绕该项目分配权限；遇到额外目录或外部命令请求时，核对具体用途后再决定。应用可请求批准单条命令在沙箱外执行，因此还需留意例外提示。
系统条件以实际执行主机为准
GitHub 文档说明 macOS 使用 Seatbelt，建议使用 macOS 15 Sequoia 或更新版本。CLI 不会阻止在更旧系统上使用，但该后端未在那里测试。Windows 需要支持沙箱的近期 Windows 11 更新，禁止路径、localhost 和代理等能力还受具体版本影响，不能仅凭“Windows 11”判断条件齐备。
Linux 使用 bubblewrap 0.5.0 或更新版本，并要求 bwrap 位于 PATH。允许出站流量时，还需要 slirp4netns、支持相应用户映射能力的 util-linux 2.35 或更新版本中的 unshare 与 nsenter、iptables/ip6tables 及其 restore 程序，以及 /dev/net/tun 访问权限。文档推荐 nf_tables 后端；legacy 后端另需可写 /run/xtables.lock。先核对这些 CLI 条件，不要照搬另一种客户端的依赖清单。
哪些工具受限，哪些仍需单独检查
本地沙箱属于较轻量的进程和文件系统限制，不会把命令放进独立虚拟机或容器。支持的 shell 命令、文件搜索，以及默认配置下的本地 MCP 和 LSP 服务器可受限制；远程 MCP 服务器不会被这个本地沙箱包起来。
CLI 自身没有进入沙箱，其内置文件工具在 CLI 进程内执行，因此操作系统沙箱看不到这些文件操作。它们由工具自身按尽力而为的方式检查配置策略，不能视为与受操作系统约束的子进程具有相同保护。
凭据也有单独控制：CLI 可管理 Git、GitHub CLI 的认证，并遮蔽额外环境变量；沙箱内工具拿到占位值，由本地代理向获准 HTTPS 目标提供真实凭据。应用提供其中一部分设置。开启沙箱本身不代表全部凭据已禁用，仍要核对实际允许项。
网络规则在 Windows 与 Linux 上有不同边界
CLI 的目标主机规则与 HTTP 代理通过内置本地代理工作。macOS 和 Linux 会限制出站连接只能经该代理，忽略代理设置的程序不能直接改走外联。Windows 则依赖程序遵守代理设置，并要求支持相应能力的系统版本及启用 Allow local network，不能获得相同的防直接连接绕过保护。
Linux 的 bubblewrap 无法为 shell、本地 MCP、LSP 等新建进程独立控制本地网络与出站网络。CLI 和应用中的进程内网页请求、远程 MCP 连接仍会遵循本地网络设置。配置前先区分执行方式，不要将一个网络开关理解为对所有操作提供同样限制。
遇到不支持提示时，先查策略，再继续任务
CLI 在不支持的主机上，可能将用户保存的启用偏好仅对当前会话暂时关闭，并提示命令和服务将不带沙箱运行；保存值不变。若有效托管配置同时要求 sandbox.enabled 与 sandbox.failIfUnavailable 为 true，无法落实沙箱时会阻止模型请求及工具执行，不能把所有失败情况都理解成自动拒绝执行。
应用中要求本地沙箱的会话可能正常启动，但在尝试运行受限进程时失败。企业可通过服务器、MDM 或文件下发设置，并限制用户修改；是否可逐命令绕过也取决于有效策略。先阅读实际通知和组织规则，不通过放宽权限来消除提示。
本地沙箱包含在标准 Copilot 席位内，不另收沙箱费用，也不等于 Copilot 订阅或模型使用免费。云沙箱是另一种在 GitHub 托管临时 Linux 环境中运行会话的公开预览服务，按用量计费。可用客户端、系统能力与组织授权仍须分别满足，来源没有给出适用于所有账户和国家的保证。
资料来源
常见问题
更换模型，会改变本地沙箱的保护范围吗？
公告明确将模型执行与工具隔离分开：沙箱策略约束工具执行，不依赖选择哪个模型。它不据此保证模型请求的数据留存、处理地区或内容合规；这些仍应按所用产品和模型的相应条款判断。
允许远程 MCP 连接，是否意味着远程服务器也受我的文件规则限制？
不是。本地网络设置可以约束相应的进程内连接，但远程 MCP 服务器不在本地沙箱内。对端运行环境、访问能力和数据处理需要按该服务单独管理，不能用本机路径规则代替。
使用沙箱需要另建云账号或填写新的 API Key 吗？
GitHub 文档说明，沙箱沿用已有 Copilot 认证，无需另行配置云供应商、API Key 或基础设施，但仍需具有对应入口的 Copilot 访问权。若选择云沙箱，组织或企业还需要开启 Cloud Sandbox access；这不是本地沙箱开关，也不会免除云端用量费用。