Bash

官方 Pi 扩展 pi-guard-sandbox 实战:把 Agent Bash 装进 OS 级沙箱(bwrap/sandbox-exec),配置 readonly/workspace-write 模式、敏感路径保护、危险命令策略与网络开关,含完整实验步骤。