У командной строки своя песочница и свои флаги автономности, и вместе они образуют пару, которую важно понимать целиком. Флаг песочницы включает изоляцию выполнения; флаг форсирования, наоборот, снимает подтверждения. Первый ограничивает возможности, второй ускоряет работу. Опасность возникает не от каждого по отдельности, а от их сочетания с широкими разрешениями на запись и сеть.

Отдельная группа команд управляет песочницей явно: включить, выключить, сбросить состояние и запустить в ней произвольную команду. Последнее полезнее, чем кажется. Запуск конкретной команды в песочнице с указанием путей только на чтение и правил сети - это способ проверить, что политика действительно работает, ещё до того, как вы отдадите агенту реальную задачу.

Полезно один раз увидеть эти команды рядом. Ниже - включение изоляции, запуск тестов с доступом только на чтение к соседнему каталогу схем и выключение. Такой прогон - тот самый негативный тест: если тесты проходят при закрытой записи туда, куда писать не должны, политика доказана поведением, а не текстом конфигурации.

У изоляции есть своя цена, и первыми её платят проверки. Закрытая сеть ломает установку зависимостей, закрытые пути ломают доступ к общему кэшу сборки, а падение при этом выглядит как поломка кода, хотя код ни при чём. Отсюда правило: список путей на чтение и правила сети формируют по реальным потребностям прогона, а первый запуск в песочнице делают на заведомо зелёном состоянии - чтобы отличить эффект изоляции от эффекта правок.

Особое внимание - флагу форсирования в неинтерактивном режиме. Он разрешает применять изменения файлов без подтверждения, и в скрипте это ровно то, что нужно: спрашивать некого. Но именно поэтому его нельзя соединять с широкими правами на запись и сеть на общем исполнителе. Сочетание без подтверждений и с широкими правами превращает любой недоверенный ввод в потенциальное действие, а на общем исполнителе рядом лежат чужие секреты.

Правильная форма для такого прогона - внешняя одноразовая среда и учётные данные с узкой областью. Контейнер, который создаётся под задачу и уничтожается после, лишает ошибку последствий: сломать в нём нечего, унести нечего. Это дешевле любой попытки сделать безопасным прогон с широкими правами на машине, где есть что терять, и проще объясняется тому, кто будет разбирать инцидент.