**Show HN：Drop —— 支持 gVisor 的无 root Linux 沙箱**

_Show HN: Drop – a rootless Linux sandbox with gVisor support_

> Drop 是一款面向开发者的无 root Linux 沙箱，用于隔离编程智能体和第三方程序，同时保留原有工作环境。它基于用户命名空间，自带独立的进程、挂载、网络、IPC 和 cgroup 命名空间，并在执行前丢弃用户命名空间能力；直接复用现有发行版，无需像 Docker/Podman 那样做容器化配置，已安装的程序在沙箱内仍可用。用户可通过高层 TOML 配置指定向沙箱暴露的文件、目录和本地网络服务，并共享基础配置。典型用途包括：以 --dangerously-skip-permissions 运行编码智能体，由 Drop 在操作系统层面强制权限，防止误删家目录、提示注入读取 ~/.ssh 或访问 localhost 服务；以及隔离 PyPI、npm 等来源的第三方包，将供应链攻击的损害限制在沙箱内。此外，Drop 可选支持在 gVisor 用户态内核上运行程序，作为额外隔离层，避免程序直接访问宿主内核，降低内核漏洞被利用的风险。

**来源信息**
- **来源**：Hacker News：AI 热帖
- **分类**：ai-products
- **发布时间**：2026-09-22 21:52（北京时间）
- **原文**：[打开原文](https://droprun.sh/)