让 AI Agent 在隔离环境里跑：用 Koala 把 Linux 工作负载装进 Mac 虚拟机
给 AI Agent 一个终端，就等于让它接触工作目录、凭据和网络。容器可以隔离进程，但团队有时还希望每个任务拥有独立内核与文件系统。Koala 是一个面向 Apple 芯片 Mac 的命令行工具：它用 macOS 的 Virtualization framework 启动 ARM64 Linux 虚拟机，让任务在独立 guest 中运行，并由用户显式决定共享文件夹、端口和秘密。
先说边界：Koala 目前处于 preview，v0.1 仍在开发，项目明确提示安全工作尚未完成，只应用于可信工作负载和可信机器。仓库公开的是发布、Homebrew formula 与用户指南，源码尚未公开。因此它值得作为隔离方案评估，但不应被描述为已经完成安全审计的沙箱。
虚拟机和一次性任务
Koala 既能运行结束即删除的临时任务，也能创建持续运行的开发环境或服务。每个 VM 有自己的内核、磁盘和网络。它要求 Apple silicon Mac、macOS 26 或更新版本，且镜像必须是 linux/arm64；Intel x86-64 镜像不支持。
项目提供 Homebrew 安装方式：
brew install kunalkushwaha/koala/koala koala system install
第二条命令安装并启动当前用户的后台管理器，不需要 sudo。运行一个一次性 Alpine 任务可用：
koala run --image docker.io/library/alpine:3 -- /bin/sh -c 'echo hello from the guest; uname -m'
若要保留一个开发 VM，则可创建、启动、执行命令并停止：
koala create dev --image docker.io/library/alpine:3 --wait koala start dev --wait koala exec -it dev -- /bin/sh koala stop dev --wait
这些是项目 README 明确列出的命令，不代表 Alpine VM 已包含完整开发工具链。首次运行前，应先确认宿主环境满足系统要求，并用 koala --help 与 koala COMMAND --help 查看当前安装版本的参数。
把 Agent 的权限拆成显式授权
Koala 的安全模型重点不只是“VM 独立”，而是控制 guest 能看到哪些宿主资源。默认情况下，VM 看不到 Mac 文件（除非共享目录）、没有秘密凭据、不能访问 Mac 上的服务或局域网，也不能访问其他 VM。文件共享默认只读；端口默认只发布到 127.0.0.1。网络访问则默认可用，但可以关闭。
项目还提供 broker grant 思路：API 密钥留在 Mac 登录钥匙串，由宿主 broker 按策略向允许的请求附加密钥，而不是把密钥文本交给 VM。README 给出了面向 Hermes 的模板示例，例如：
koala create hermes --template hermes
该命令会在展示计划后创建 Agent VM、密钥策略、卷和安装设置。模板可更新，文档称模板签名由 release key 验证。实际启用前仍应检查计划内容、授权规则以及目标版本的发布说明；不要把“密钥不直接进入 VM”误解为 Agent 无法滥用被允许的 API。
部署前的核对清单
- 限制镜像与架构。 优先使用可信的 ARM64 镜像；不要假定 x86 镜像能在 Apple silicon VM 中运行。
- 逐项授权。 只共享必要目录，能只读就不授予写权限；秘密和端口同样按需开放。
- 检查生命周期。 VM 在用户登出或 Mac 重启后不会继续运行。需要长期服务时，应把这一行为纳入恢复与调度设计。
- 按版本验证安全边界。 README 说明默认隔离行为，但项目仍处于预览阶段；对高风险任务，要审查 release notes、limits 文档，并进行独立威胁建模和测试。
- 核验许可证及源码可见性。 README 声明软件按 Apache-2.0 许可，但当前仓库不发布源码。许可证许可使用与可审计源码是两个不同问题。
Koala 的价值在于把 AI Agent 的执行环境从宿主工作站中分离，并把文件、秘密、网络和端口访问转化为可见的授权决定。它适合想在 macOS 上试验 Linux Agent 工作负载的开发者；但预览状态、平台限制和非公开源码都必须进入采用评估。安全隔离不是单个工具开关，最小权限、可审计发布、监控和恢复流程仍需一并设计。尤其应把 Agent 的任务输入视为不可信内容，验证 VM 之外的控制面权限，并为 VM 结束、用户登出和系统重启准备清理与恢复步骤。初期可先用无敏感数据的临时任务验证网络、文件共享和异常退出行为，再决定是否迁移日常工作流。