本地沙箱和云沙箱都为 AI 智能体提供隔离环境，但它们依托不同的资源和存储后端。 这份对比能帮助你选择环境，并识别出哪些工作流需要云端特有的设置。
| 能力 | 本地沙箱 | 云沙箱 |
|---|---|---|
| 计算 | 使用来自宿主机的资源 | 使用 Docker 托管的云资源 |
| CPU 架构 | 使用本地运行时支持的平台 | 支持 linux/amd64 和 linux/arm64，取决于账户可用性；迁移时必须保留源平台 |
| 工作区 | 挂载宿主机路径，或使用以宿主机仓库为后端的私有 Git 克隆 | 无法访问宿主机路径；请传输文件或在沙箱内克隆仓库 |
| 硬件 | 可以使用受支持的宿主机集成，例如 GPU、USB、显示和嵌套虚拟化 | 无法访问宿主机硬件 |
| 端口 | 将沙箱端口绑定到宿主机地址和端口 | 通过公共 HTTPS URL 暴露沙箱端口 |
| 密钥 | 从本地 sbx 密钥存储中读取 | 从独立的 sbx --cloud 密钥存储中读取 |
| 网络策略 | 使用本地运行时支持的本地和组织策略来源 | 使用独立的、仅限网络的账户级和沙箱级策略；本地策略不会被复制 |
| MCP 服务器 | 使用注册在本地 MCP 存储中的服务器 | 使用通过 Docker Agentic Platform 连接的服务器 |
| 存储 | 在本地沙箱及其挂载的宿主机资源中持久化 | 在云沙箱和可选的云卷中持久化 |
| 生命周期 | 停止后仍保留，直到你删除它 | 按其生存时间和超时行为过期 |
| 计费 | 无按量计费的沙箱计算费用 | 按量付费的计算 |
如果你的工作流要在沙箱内运行 Docker，请查阅 Docker exec 和健康检查的限制。 它可能影响容器设置、调试和 Compose 服务的就绪状态。
依赖宿主机的功能
云沙箱没有回到你运行 sbx 的那台机器的路径。以下本地功能在云模式下不适用：
- 工作区路径、绑定挂载、
--clone，以及用--branch创建的 Git worktree - GPU、USB、显示和嵌套虚拟化选项
- 通过
--model和--provider选择模型 - 宿主机端口绑定
- 以宿主机为后端的智能体技能，以及完整的本地 MCP 管理流程
与 --cloud 一起使用的仅限本地的标志，CLI 会直接拒绝，而不是忽略它们。
你可以把环境文件与 sbx --cloud env 一起使用。云环境只支持本地 配置字段的一个子集，包括智能体、环境变量、资源上限和凭据。在云端使用本地环境文件 之前，请移除宿主机工作区和端口映射。
相互独立的资源
添加 --cloud 会改变命令所用的后端。sbx ls 中显示的沙箱不会出现在 sbx --cloud ls 中， 为一个后端创建的资源也不会自动对另一个后端可用。
这种隔离同样适用于沙箱、模板、密钥、卷和网络策略。当你需要在后端之间复制沙箱文件系统 时，使用 sbx move。迁移不会统一资源存储，也不会传输宿主机挂载的文件或托管 的密钥，保存在被复制文件中的凭据仍可能随沙箱一起迁移。
网络策略的差异
请单独配置并验证云网络策略。迁移沙箱不会把它的本地策略配置带入云端。 云端 CLI 支持账户级和沙箱级网络规则，但拒绝本地治理配置文件和 --protocol 选项。
HTTP 方法和路径限制（也称为 L7 过滤）在云沙箱中不受支持。如果本地沙箱适用这些规则， sbx move 会发出警告，并在把它迁移到云端之前请求确认。
迁移时会发生什么
sbx move 会复制一份文件系统快照，并创建一个独立的目标沙箱。它不会传输正在 运行的进程或内存，并且会把源沙箱保留在原处。较大的镜像可能需要较长时间上传或下载， 具体取决于镜像大小和可用带宽。对于从云端迁往本地的操作，还要预留 临时磁盘空间。
| 状态 | 从本地迁往云端 | 从云端迁往本地 | 需要做什么 |
|---|---|---|---|
| 网络策略 | 本地规则不会被复制；CLI 会警告将应用云端策略 | 云端规则不会被复制；CLI 提示会说明将适用宿主机的默认出站流量策略 | 配置目标端规则，并在继续工作前验证允许和阻止的连接 |
| 托管密钥 | 使用云密钥存储中适用的凭据 | 使用本地密钥存储中适用的凭据 | 在目标端存储中配置凭据；CLI 会警告密钥未被复制，你可能需要重新登录 |
| 工作区和附加存储 | 宿主机挂载和克隆模式的卷不会被复制；遇到工作区时会发出警告并请求确认 | 云卷不会被复制，也不会挂载任何宿主机文件夹 | 使用 sbx cp 单独传输所需文件 |
| 已发布端口 | TCP 端口会获得云端 URL；被拒绝的端口会跳过并给出警告 | 端口使用本地回环绑定；云端 URL 不予保留 | 检查目标端端口并更新客户端 |
| CPU 和内存 | 把记录的源上限向上取整到受支持的云端规格；缺少上限时使用默认值并给出警告 | 使用本地默认值 | 检查目标端资源和工作负载性能；sbx move 没有 CPU 或内存覆盖标志 |
| CPU 架构 | 云访问必须支持源平台 | 本地运行时必须支持源平台 | 匹配平台；CLI 在传输前检查兼容性 |
托管密钥的警告本身不会阻止迁移。在使用需要这些凭据的智能体之前，请先配置 云凭据或本地凭据。写入沙箱内部文件的 凭据可能被包含进快照；如果你不希望凭据被复制，请在迁移前删除这些文件。
从云端迁往本地的操作会显示提示并请求确认。从本地迁往云端的操作，在工作区文件或 L7 过滤会被丢弃时会请求确认。如果需要确认而标准输入不是终端，除非传入 --force，否则迁移 会失败。该标志会跳过确认，但保留警告，也不会改变传输的内容。
在删除源环境之前，请验证目标端的文件、凭据、网络访问、端口和 过期设置。