サンドボックス設定

Box の設定は LangBot メインプロセスが管理し、Box Runtime が実際の実行を担当します。通常のデプロイでは、バックエンド、ワークスペースディレクトリ、セキュリティプロファイルだけを決めれば十分です。Docker、nsjail、E2B はサンドボックス環境を提供し、Host バックエンドは Box Runtime のホスト上でコマンドを直接実行します。

推奨設定

box:
  enabled: true
  backend: 'local'        # Docker / Nsjail から利用可能なものを自動選択
  local:
    profile: 'default'
    host_root: './data/box'
    skills_root: 'skills'
  docker:
    cpu_limit_enabled: true

• enabled：サンドボックスのマスタースイッチ。false にすると、サンドボックス組み込みツール、Skill の追加 / 編集、stdio MCP のホスティングなど Box 依存の機能はすべて無効になります。
• backend：下記「バックエンドの選択」を参照。
• local.profile：セキュリティプロファイル。ネットワーク、マウント、リソース制限を制御。
• local.host_root：ホスト側のサンドボックス作業ディレクトリ。サンドボックス内では /workspace にマウントされます。
• local.skills_root：Skill パッケージのディレクトリ。相対パスは host_root 配下に解決され、デフォルトは host_root/skills。
• docker.cpu_limit_enabled：Docker サンドボックスコンテナに CPU 制限を付けるかどうか。false にすると docker run --cpus を省略し、メモリと PID 制限は維持します。

バックエンドの選択

Box はローカルコンテナ、クラウドサンドボックス、または Box Runtime ホスト上のプロセスとして動作させられます。box.backend で使用する方式を指定します：

local は「自動選択」のショートハンドであり、docker / nsjail と並列の 4 つ目のバックエンドではありません。試行対象は Docker と Nsjail だけで、host が自動選択されることはありません。ローカル系バックエンドは box.local.* のワークスペース設定を使い、クラウドバックエンドは box.e2b.* を使います。

セキュリティプロファイル

box.local.profile は Docker / Nsjail ローカルサンドボックスバックエンドのネットワーク、マウント、リソース制限を制御します：

最小権限を優先：ネットワークが不要なら default または offline_readonly；allowed_mount_roots には必要なディレクトリのみを追加。

ローカルワークスペース設定（box.local.*）

Docker、Nsjail、Host はワークスペースパス設定を共有します。隔離とリソース設定は、選択したサンドボックスバックエンドが実施できる場合にのみ有効です：

Host バックエンド（信頼できるローカル開発）

Host は依存関係が最も少ないローカルオプションで、Docker や Nsjail は不要です。必ず明示的に選択します：

box:
  enabled: true
  backend: 'host'
  local:
    host_root: './data/box'
    skills_root: 'skills'

WebUI、Agent ツール、呼び出し方法は変わりません。セッションスコープ、exec/read/write/edit/glob/grep、Skills、stdio MCP は既存の Box API をそのまま使います。違いは実行層だけです：

• /workspace、workdir、Skill のマウントパスは Box Runtime ホスト上の実パスに変換されます。
• 子プロセスは最小限のパス、ロケール、端末環境と、リクエストで明示的に渡された変数だけを継承します。LangBot / Box の制御シークレットは自動継承されません。これは意図しない漏えいを減らしますが、ファイルシステム隔離を提供するものではありません。
• exec と管理対象プロセスは個別のプロセスグループで起動します。タイムアウト、キャンセル、プロセス停止、セッション削除、Runtime 終了時には対応するプロセスツリーを終了します。
• アイドルクリーンアップ、管理対象プロセスによる維持、persistent のルールは他のバックエンドと同じです。
• ステータスレスポンスには unsafe_direct_execution: true が含まれ、サンドボックス隔離がないことを運用側で識別できます。

Host MVP は sh を備えた POSIX システム（Linux / macOS）をサポートします。Windows では WSL を使用してください。Windows ネイティブのプロセスバックエンドはまだサポートされていません。

外部 WebSocket Box Runtime で Host を使う場合、LangBot と Box Runtime の両方に同じ強力なランダム値の LANGBOT_BOX_CONTROL_TOKEN を設定してください。ローカル管理の stdio Runtime では追加のトークン設定は不要です。管理サンドボックス admission を有効にした Cloud 環境では、隔離能力と必須バックエンドの検証が継続され、Host がこれらを迂回することはありません。

Docker バックエンド設定（box.docker.*）

クラウドバックエンド設定（box.e2b.*）

backend: 'e2b' を指定したうえで設定します：

E2B はホスト側に Docker や Nsjail を必要とせず、毎回の実行をリモートサンドボックスで行います。

Docker Compose デプロイ

Docker Compose では、サンドボックス設定は langbot サービス側に記述します。LangBot は起動時に INIT RPC で設定を langbot_box に転送します。

services:
  langbot_box:
    image: rockchin/langbot:latest
    container_name: langbot_box
    profiles: ["box", "all"]
    volumes:
      - ${LANGBOT_BOX_ROOT:-${PWD}/data/box}:${LANGBOT_BOX_ROOT:-${PWD}/data/box}
      - /var/run/docker.sock:/var/run/docker.sock
    command: ["uv", "run", "--no-sync", "-m", "langbot_plugin.cli.__init__", "box"]

  langbot:
    image: rockchin/langbot:latest
    volumes:
      - ./data:/app/data
    environment:
      - BOX__LOCAL__HOST_ROOT=${LANGBOT_BOX_ROOT:-${PWD}/data/box}
      - BOX__LOCAL__SKILLS_ROOT=skills
      - BOX__LOCAL__ALLOWED_MOUNT_ROOTS=${LANGBOT_BOX_ROOT:-${PWD}/data/box}
      - BOX__DOCKER__CPU_LIMIT_ENABLED=${LANGBOT_BOX_DOCKER_CPU_LIMIT_ENABLED:-true}

外部の Box Runtime（リモートホストなど）に接続する場合は box.runtime.endpoint で URL を指定します：

box:
  runtime:
    endpoint: 'ws://192.168.1.10:5410'

環境変数