Lima AI 沙箱实战：在 VM 内运行 AI 智能体与通过 MCP 安全调用本地文件-北京尧图网络

Lima AI 沙箱实战在 VM 内运行 AI 智能体与通过 MCP 安全调用本地文件【免费下载链接】limaLinux virtual machines, with a focus on running containers项目地址: https://gitcode.com/GitHub_Trending/lim/lima本篇指南基于 Lima 官方文档AI 配置索引展开系统讲解 Lima 在 AI 场景下的两大核心用法把 AI 智能体Agent关进虚拟机内运行以及从宿主机外部通过 Model Context ProtocolMCP调用由 VM 沙箱包装的文件读写与命令执行工具。读完本文你将掌握如何为 Claude Code、Codex、Gemini 等智能体构建隔离的 VM 工作环境、如何用--sync双向同步工作目录以及如何配置limactl mcp让外部 AI 工具通过 MCP 安全地操作本地文件。Lima 官方将 AI 使用场景划分为两种见 config/ai/_index.mdAI 智能体在 Lima 内部运行insideAI 智能体跑在VM 里面AI 智能体在 Lima 外部运行outsideAI 智能体跑在VM 外面通过 Lima 提供的 MCP 工具访问文件。两种方案的本质目的是一致的防止 AI 智能体直接读取、写入或执行宿主机上的文件把不可控的代码操作隔离在虚拟机这一层沙箱里。一、场景一在 Lima VM 内运行 AI 智能体lima非常适合在 VM 内运行 AI 智能体例如 Claude Code、Codex、Gemini 等。其核心思路是智能体的所有命令都执行在客户机Guest内部宿主机Host文件默认不可见、不可写、不可执行只有你显式挂载进去的目录才会暴露给智能体。1.1 最佳实践只挂载项目目录为了运行 AI 智能体官方文档强烈建议只把项目目录当前工作目录挂载进 VM而不是整盘挂载主目录。这样智能体只能看到并操作这一个项目目录无法触碰宿主机上的其他文件。Lima v2.0 提供了便捷的--mount-only参数limactl start --mount-only .:w.:w表示把当前目录以**可写writable**方式挂载去掉:w后缀即为只读挂载模式智能体将无法修改宿主机的项目文件。如果你仍在使用 Lima v1.x则需通过--set修改配置中的mounts字段limactl start --set .mounts[{\location\:\$(pwd)\, \writable\:true}]将writable改为false即对应只读模式。Lima v2.0 的文档与配置说明见 examples/ai.md 与 mounts 默认模板。1.2 在 VM 内安装并运行常见 AI 智能体官方文档examples/ai.md为常见 AI 智能体给出了统一的安装套路先用 snap 安装 Node.jsAI 智能体通常要求很新的 Node.js 版本snap 比 apt 更合适再通过 npm 全局安装智能体 CLI最后在 VM 内启动。Aiderlima sudo apt install -y pipx lima pipx install aider-install lima sh -c echo export PATH$PATH:$HOME/.local/bin ~/.bash_profile lima aider-install lima aider首次会话会引导你完成认证也可以改用环境变量方式通过编辑客户机内的.bash_profile配置密钥lima vi /home/${USER}.linux/.bash_profileClaude Codelima sudo snap install node --classic lima sudo npm install -g anthropic-ai/claude-code lima claude首次会话按提示完成认证或用export ANTHROPIC_API_KEY...配置在.bash_profile中。Codexlima sudo snap install node --classic lima sudo npm install -g openai/codex lima codexGeminilima sudo snap install node --classic lima sudo npm install -g google/gemini-cli lima geminiGitHub Copilotlima sudo snap install node --classic lima sudo npm install -g github/copilot lima copilot首次会话中输入/login完成认证或用export GH_TOKEN...注入令牌。OpenCodelima sudo snap install node --classic lima sudo npm install -g opencode-ai lima opencode与其他智能体不同OpenCode 无需登录步骤如需登录可在会话中输入/connect。以上所有智能体所需的 Node.js 版本、认证流程等均为官方文档给出的通用实践具体版本的兼容性以各智能体官方发布为准。1.3 进阶用--sync双向同步工作目录Lima 2.1在 VM 内跑智能体的场景中Lima 2.1 还提供了limactl shell的--sync标志shell.go实现宿主工作目录与客户机 VM 的双向同步智能体在客户机里做的改动不会直接落到宿主机而是先汇聚到一个临时目录等你审查确认后才合并回宿主机。这对于 Claude、Copilot、Gemini 这类会大规模改动代码的智能体尤其有用。与 mount 的对比特性挂载--mount/--mount-only同步--sync目的让宿主机目录在客户机内可见写模式下双向工作目录的临时双向同步客户机改动在确认接受后合并回宿主机实时更新是否安全性较低AI 智能体可直接访问宿主机文件较高改动先审查再应用到宿主机依赖 rsync否是安全运行 AI 代码助手的完整流程创建一个不带任何宿主挂载的隔离实例--sync的前置条件limactl start --mount-none template:default进入你的项目目录cd ~/my-project让 AI 智能体在 VM 内修改代码并通过--sync同步limactl shell --sync . default claude Add error handling to all functions也可以只进入 shell 手动操作limactl shell --sync . default命令执行完毕后会出现交互式确认提示⚠️ Accept the changes? → Yes No View the changed contentsYes将改动同步回宿主机并清理客户机内的临时目录No丢弃全部改动并清理临时目录View the changed contents先查看智能体改动与原始内容的 diff。使用--sync的硬性要求对应 shell.go 中的校验逻辑宿主机与客户机都必须安装rsync缺少时会直接报错rsync is required for --sync宿主工作目录层级至少为 4 层例如/Users/username/projects/myproject即srcWdDepth 4会拒绝执行实例不能配置任何宿主挂载创建时必须使用--mount-none否则报错cannot use --sync when the instance has host mounts configured实例不能是 wsl2 类型因为 wsl2 中宿主目录本就可见沙箱隔离失效与--workdir互斥二者不可同时使用。1.4 配套能力GPU 加速当 AI 智能体涉及本地模型推理时可参考 GPU 加速配置。目前 Lima 的 GPU 加速支持 krunkit 这一 VM 类型具体使用方式见 config/gpu.md 及其子页面。二、场景二在 Lima 外部通过 MCP 调用沙箱工具从Lima v2.0开始Lima 提供了一套基于Model Context ProtocolMCP的工具让运行在 VM外部的 AI 智能体如 Gemini CLI也能以沙箱方式读取、写入、执行本地文件见 outside/_index.md。2.1 原理MCP Sandbox InterfaceLima 实现了一套称为MCP Sandbox Interface暂定名的 MCP 工具集合定义在 pkg/mcp/msi/msi.go 中。它的设计初衷源码注释原文要点是定义一组可用于读取、写入、执行本地文件的 MCP 工具并搭配合适的沙箱技术如 Lima VM相比 AI 智能体自带的默认工具沙箱方案更安全且/或更高效该设计受 Google Gemini CLI 内置工具启发但与 Gemini 内置工具存在若干差异输出格式为 JSON 而非纯文本search_file_content的输出始终对应git grep -n --no-indexrun_shell_command的command是字符串切片而非单个字符串directory必须是绝对路径且不能为空。整套工具由 pkg/mcp/toolset/toolset.go 中的ToolSet.RegisterServer注册到 MCP 服务器上具体包括 6 个工具定义见 pkg/mcp/msi/filesystem.go 与 pkg/mcp/msi/shell.go工具名说明取自源码 Descriptionlist_directory列出指定目录下直接包含的文件与子目录名称结果含name、size、mode、mod_time、is_dir等字段read_file读取并返回指定文件的内容write_file写入内容到指定文件文件已存在则覆盖不存在则连同父目录一起创建glob按 glob 模式查找文件如src/**/*.ts、*.mdsearch_file_content在指定目录内按正则搜索文件内容内部调用git grep -n --no-indexrun_shell_command执行给定的 shell 命令返回stdout、stderr、error、exit_code从实现上看list_directory、read_file、write_file、glob等文件类工具通过 SFTP 连接到客户机执行toolset.go 中建立了基于 SSH 的 SFTP 客户端而命令执行类工具借助limactl shell --workdir运行。工具注册时若实例未运行会报错expected status of instance ... to be Running若实例没有任何挂载会打印警告这意味着建议实例至少挂载项目目录。2.2limactl mcp插件机制limactl mcp在实现上是一个外部插件。Lima 会在PATH、自身所在目录以及 libexec 目录中扫描所有以limactl-前缀命名的可执行文件并将其注册为limactl的子命令见 pkg/plugins/plugins.go 与 cmd/limactl/main.go。因此二进制limactl-mcp就是limactl mcp子命令背后的可执行程序。limactl-mcp的主程序位于 cmd/limactl-mcp/main.go提供以下子命令limactl mcp info打印 MCP 服务器的信息包括向客户端暴露的全部工具清单内部通过内存传输模拟一次 MCP 会话并调用ListTools实现limactl mcp serve INSTANCE通过stdio提供 MCP 服务默认实例名为default。源码注释明确说明它预期由 AI 智能体调用而非人类直接执行limactl mcp generate-doc DIR隐藏命令用于生成 MCP 工具文档页面。服务启动时mcpServeAction会先limactlutil.Inspect检查实例状态要求实例处于Running随后把 6 个工具注册到 MCP 服务器并监听 stdio 传输main.go。服务器自述信息为Lima VM, for sandboxing local command executions and file I/O operations项目还提供了针对 MCP 协议行为的端到端测试hack/bats/tests/mcp.bats测试会启动limactl mcp serve按 JSON-RPC 2.0 逐条验证 initialize、工具调用等请求的响应并断言服务器名称为lima、响应中无error对象。2.3 实战把 Gemini CLI 接入 Lima MCP 沙箱官方文档outside/gemini.md给出了使用 Gemini CLI 的具体步骤。⚡ 要求Lima 2.0⚡ 要求已安装 Gemini 与 Lima且limactl mcp插件可用前置检查Lima 自 v2.0 起捆绑了limactl mcp插件但根据安装方式不同它可能并未被安装。先确认插件可用$ limactl mcp -v limactl-mcp version 2.0.0-alpha.1如果该命令不可用请检查安装方式是否包含插件详见安装文档。第 1 步启动带项目挂载的默认实例以可写方式挂载当前项目目录limactl start --mount-only $(pwd):w default如果不想允许智能体写入该目录去掉:w后缀即可只读挂载。第 2 步注册 Lima 的 MCP 服务器扩展创建.gemini/extensions/lima/gemini-extension.json{ name: lima, version: 2.0.0, mcpServers: { lima: { command: limactl, args: [ mcp, serve, default ] } } }这里的关键在于mcpServers.lima指定了以limactl mcp serve default作为 MCP 服务器的启动命令Gemini 会通过 stdio 与该进程通信。第 3 步禁用 Gemini 内置的本地执行/文件工具修改.gemini/settings.json只保留与本地命令执行和文件 I/O 无关的内置工具如网络抓取、网页搜索、记忆等强制 Gemini 使用 Lima 提供的沙箱工具处理本地操作{ coreTools: [WebFetchTool, WebSearchTool, MemoryTool] }使用一切就绪后直接在项目目录中运行geminiGemini 会自动识别 Lima 提供的 MCP 工具所有文件读写与命令执行都将被导向 VM 内的沙箱而不是直接作用在宿主机上。三、两种场景如何选择维度场景一智能体在 VM 内场景二智能体在 VM 外MCP智能体位置客户机内lima claude等宿主机上如gemini文件访问方式通过挂载或--sync暴露的目录通过 MCP 工具的沙箱调用核心优势所有命令天然运行在 VM 内隔离彻底智能体仍驻留宿主机但本地 I/O 被 MCP 工具接管前置要求Lima 基本可用即可Lima 2.0且limactl mcp插件可用适用示例Claude Code、Codex、Aider、OpenCode 等 CLI 智能体Gemini CLI通过 MCP 扩展接入两者并不互斥如果你希望智能体 CLI 本身也在隔离环境中运行选择场景一如果你希望保留宿主机上的智能体工作流仅让读文件、写文件、执行命令这类的危险操作进入沙箱场景二的 MCP 方案是更轻量的选择。四、总结Lima 为 AI 智能体提供了两层防护思路官方文档将其归纳为内部运行与外部通过 MCP 调用两种场景config/ai/_index.md内部运行用limactl start --mount-only .:w只挂载项目目录把 Claude Code、Codex、Gemini、Copilot、Aider、OpenCode 等智能体关进 VM进阶可用limactl shell --syncLima 2.1在先审查、后合并的模式下双向同步代码改动兼顾安全与效率。外部 MCP 调用Lima 2.0 通过limactl mcp插件提供 6 个 MCP 沙箱工具list_directory、read_file、write_file、glob、search_file_content、run_shell_command外部智能体如 Gemini CLI只需配置一个扩展 JSON 即可把所有本地文件操作收拢进 VM 沙箱。无论选择哪种方式核心原则始终一致尽可能缩小暴露给 AI 的宿主机文件面——只挂载项目目录、只读优先、改动先审查再落盘。想要深入验证或二次开发可以继续阅读 limactl-mcp 主程序、MCP Sandbox Interface 定义、工具注册实现以及 MCP 集成测试。【免费下载链接】limaLinux virtual machines, with a focus on running containers项目地址: https://gitcode.com/GitHub_Trending/lim/lima创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考

Lima AI 沙箱实战：在 VM 内运行 AI 智能体与通过 MCP 安全调用本地文件

相关推荐

雷达遮挡检测全解析：从回波特征到ROS2工程落地

Label Studio Redact Annotator PII 插件:基于 whoami 角色鉴权的标注者身份脱敏方案

Ubuntu、RHEL、OEL谁更适合AI服务器？从GPU生态到实战踩坑分析

更多资讯

Refine + Ant Design useTable 列过滤实战：FilterDropdown 与 Radio 组件的完整实现

蓝牙无线遥控器实现指南：SPP透传、AT指令与帧协议设计

嵌入式软件架构实战：轻量级模块化设计与事件驱动方法

嵌入式硬件调试三支柱：示波器验证、设备树电路化、寄存器探针

基于机器学习的恶意URL检测：从特征工程到模型调优全解析

Zola 多语言站点搭建完全指南：配置、内容组织与输出路径

今日更新

AI驱动的自动化专利分析平台技术解析

LeetCode-Go 题解：1252. Cells with Odd Values in a Matrix（奇数值单元格计数）双解法剖析

在线答疑系统Java毕设实战：Spring Boot前后端分离与状态流转

本周精选

AI驱动的自动化专利分析平台技术解析

LeetCode-Go 题解：1252. Cells with Odd Values in a Matrix（奇数值单元格计数）双解法剖析

在线答疑系统Java毕设实战：Spring Boot前后端分离与状态流转

本月热门

基于YOLO的焊缝缺陷检测：从数据标注到工业部署全流程实践

分布式服务的决策记录

创业产品的首版范围

读完文章，想聊聊您的网站？