sandboxed.sh

最小权限：README 建议 Docker 下启用 privileged: true，原生模式用 systemd-nspawn，容器隔离有一定设计但 privileged 容器实质上放弃了隔离，扣分严重。用户确认：自治 mission 可开 PR、SSH 到家用 GPU、无人值守多天运行，未见到强制人工确认点。数据流透明：架构图与 docs/AGENT_CONTROL_PLANE.md 把项目/任务/回执/证据结构描述得较清楚，给 2。敏感数据：Cargo.toml 显示 AES-GCM/PBKDF2 加密密钥，README 强调本地推理与隔离，但加密实现本身未在样本中可见，给 2。依赖安全：Cargo.toml 版本声明常规，无锁定策略或审计说明，1 分偏上给 2 不够——未见 cargo audit/deny，扣为 2。外部影响：mission 可写代码开 PR、SSH 远程主机，影响面大但文档有 grant（merge authority、budget）概念，部分缓解。回滚：仅提到 zip 备份/恢复依赖，无明确回滚流程。来源归属：作者为 'sandboxed.sh Contributors'，未验证发行方，引用上游 hermes-agent 有 FORK.md 说明，给 1。

自洽性：README 与 Cargo.toml 描述一致（版本 1.3.0、多个 MCP 二进制、Hermes 协同），无内部矛盾。依赖可用性：核心依赖 tokio/axum 均为主流维护版本，但 rust-version 1.91 与 Cargo.toml 中注释提到的 MSRV 1.75 存在张力，扣分。失败信息：测试文件显示测试大量使用 waitForTimeout 和宽泛的 catch 忽略，错误路径覆盖薄弱，样本中未见结构化错误文档。

受众与场景：README 明确面向自托管开发自动化（交接开发周期、GPU 训练、本地数据分析），场景描述具体。能力边界：明确区分 coordinator 与 sandbox 职责、in-conversation 子代理与 mission 的分工规则，边界陈述清晰。触发精度：controller cron 触发机制只有概念性描述，样本中无配置示例，给 1。环境适配：Docker 与 Ubuntu 24.04 原生双路径，Xvfb/X11 桌面自动化说明，环境覆盖良好。

信息架构：README 组织优秀，文档索引覆盖安装/架构/API/调试，导航清晰，给 3。安装说明：双安装指南+首次设置指南存在，但 Docker 默认非 privileged 与'建议取消注释 privileged'的顺序安排令人担忧。命名稳定性：项目'formerly known as Open Agent'更名，历史名称仍在代码/文档中可能残留，给 1。示例与 FAQ：无 FAQ，示例主要为安装命令，缺实际使用示例。已知局限：明确标注 'Work in Progress'。许可证：README 声明 MIT，但无 LICENSE 文件出现在样本中，且元数据'unknown'，给 2。版本与变更日志：Cargo.toml 有版本号 1.3.0，但未见 CHANGELOG，发布依赖 GitHub 自动生成 notes。维护责任：'active development, contributions welcome'，无具体维护者承诺或更新路径，给 1。

输出可用性：结构化回执/证据/SSE 流式结果的设计表明输出被认真考虑，多端（web/desktop/iOS）呈现一致 roster。边际价值：将多运行时 agent 沙箱化编排+项目控制面组合是真实差异化，但生态依赖自家 Hermes fork，扣分。成本收益：部署成本（privileged Docker、Ubuntu 24.04、自托管）与自治收益之间的权衡未量化，~5/30 分钟的设置时间估计是唯一数据点，给 1。

主张可追溯性：README 的许多主张（mission 隔离、加密、健康检查路由）引用了文档文件但样本中无法核实这些文档的实际内容，给 1。跨源印证：CI workflow、测试文件与 README 描述的 dashboard 功能部分印证，但核心安全主张（隔离、加密）在提供的文件中无法交叉验证。事实与推断分离：README 将 'Work in Progress' 与功能列表区分较清楚，愿景部分以'What if'明示为愿景，给 2。