Drop 是一個開源的 Linux 沙箱工具，讓使用者能在隔離環境中執行程式，特別適合拿來跑 AI 代理（agent）或安裝來路不明的第三方套件，例如從 PyPI、npm 下載的程式庫。它要解決的問題很直接：萬一這些程式碼藏有惡意指令，像是刪除檔案或偷 SSH 金鑰，也不會傷到使用者的主要系統。
技術上，Drop 利用 Linux 的使用者命名空間（user namespace）建立隔離環境，不需要 root 權限就能運作，並把行程、掛載、網路、IPC 與 cgroup 都放進獨立的命名空間中，執行前還會拿掉所有特權能力。設定方式採用 TOML 格式，讓使用者用簡單的設定檔決定哪些檔案、資料夾與本機網路服務可以被存取，另外也整合 gVisor，多一層防止程式直接碰到主機核心的保護。
這則 Show HN 貼文在 Hacker News 上獲得一百多個讚，討論度不低。它與常見的 Docker 容器做法不同，不需要另外設定容器環境，而是直接沿用既有的 Linux 發行版，設定門檻相對低，這也是社群關注的重點之一——在大家愈來愈常用 AI 代理自動執行程式碼的情況下，如何安全地把它們關進「盒子」裡執行，是實際存在的資安需求。
對正在學程式的孩子與家長來說，這則新聞比較偏系統與資安面的進階主題，不算是入門內容。不過可以藉此讓孩子知道，寫程式除了讓功能動起來，「安全地執行陌生的程式碼」也是工程師需要認真看待的一環，尤其現在愈來愈多人會用 AI 幫忙寫程式或自動執行任務。
開源資安開發工具Linux