libkrun

深入探讨为何本地编码代理（如Claude Code和Codex）正逐渐转向libkrun而非Firecracker进行沙盒隔离，原因是Firecracker无法在macOS上原生运行。本文还介绍了iii-sandbox，一个基于libkrun构建的开源硬件隔离执行层。