把 AI Agent 关进沙箱：terminal-mac 给桌面操作造一台隔离的虚拟 Mac

把 AI Agent 接到自己的电脑上干活，今天已经是很多人的日常。但有一个隐患一直没人认真解决：Agent 一旦能控制你的桌面，就等于能碰你的文件、剪贴板、摄像头，甚至在你不知情时乱点一气。有没有一种办法，让 Agent 像在独立沙箱里操作，既不污染你的真实环境，又能在出问题时一键隔离？最近冒头的一个开源项目 terminal-mac，给出的答案很干脆：给 Agent 一台真正隔离的虚拟 Mac。

它到底是什么

terminal-mac 的思路不是做一台假桌面，而是在 Apple 芯片 Mac 上用系统自带的虚拟化框架跑一台货真价实的 macOS 客户机。客户机里有一个常驻助手，负责抓取屏幕画面、回传输入事件；宿主终端通过 Kitty、iTerm2 或 Ghostty 把客户机画面以图形方式流式显示出来。换句话说，你看到的是一台"运行在终端里的 Mac"，而 Agent 对这台 Mac 的所有点击、输入、截图，都只发生在客户机内部，碰不到你本机的桌面、剪贴板和隐私权限。

它当前还是早期候选版本，面向 Apple 芯片 Mac，需要 macOS 14 及以上。维护者强调，这台客户机是一个完全独立的 Mac：有自己的应用、文件、账户和权限，不会继承你本机正在运行的程序和已登录的会话。当然，虚拟化仍会占用宿主的 CPU、内存和硬盘，一台默认虚拟机逻辑磁盘就有 64 GiB。

一条命令装好

安装走官方脚本，不需要任何开发工具，也不索取管理员权限：

1. 执行安装命令 curl -fsSL https://github.com/govijr/terminal-mac/releases/latest/download/get.sh | bash ，安装器会下载最新版本并校验 SHA-256 后再落盘；
2. 把 ~/.local/bin 加入 PATH，之后就能直接用 terminal-mac 命令；也可以解压发布包后运行 bash install.sh 自定义安装位置；
3. 在交互终端里输入 terminal-mac 或 terminal-mac up ，脚本会自动下载并缓存一份兼容的 Apple 恢复镜像、安装虚拟 Mac、启动客户机并自检助手；之后的启动会复用已有虚拟机并自动重连。

首次运行时，客户机窗口会打开，你需要像新机一样走完 macOS 设置向导、建好客户机账户，并在客户机内打开一次 TerminalMacGuest.app 授予"屏幕录制"和"辅助功能"两项隐私权限。这一步是引导式设置，不是无人值守安装，宿主本机并不需要任何隐私授权。

和 Agent 怎么配合

terminal-mac 给 Agent 提供了一套 MCP 工具：screenshot、click、drag、scroll、type、key、status，外加一个教 Agent 走"观察 → 行动 → 验证"循环的技能包。在 Claude Code 里可以直接装成插件：先 claude mcp add terminal-mac -- terminal-mac mcp 注册 MCP 服务，再 terminal-mac skills install 把技能装到 ~/.claude/skills/terminal-mac/SKILL.md；Cursor、VS Code、Codex、Windsurf 等其它客户端，把 terminal-mac mcp --config 的输出粘进各自的 MCP 配置即可。

这些工具只驱动客户机助手，绝不碰你自己的桌面。当客户机停在登录界面时，工具会如实说明，让你来决定是否登录。每条命令都返回 JSON，失败时非零退出；截图返回本机 PNG 路径，坐标从左上角起算，并统一用客户机显示点，保证 Retina 屏上输入坐标一致。坐标就是屏幕像素，比如 click 640 400 点击中心点，type 'hello' 输入文字，key cmd+space 唤出 Spotlight。

生命周期与资源管理

虚拟机的生命周期也很完整：用 terminal-mac ls 列出全部虚拟机，status 看状态，pause 暂停、resume 恢复，stop 正常关机，stop --force 立即断电（未保存工作会丢）。新建时可以按需配置资源，例如 terminal-mac up work --cpus 4 --memory 4 --disk 64 --width 1280 --height 800 造一台带 4 核 4G 内存、1280×800 显示的专属 Mac；所有虚拟机数据落在 ~/Library/Application Support/terminal-mac/machines/NAME/ 下。目前刻意没有提供销毁命令，避免误删。

隔离模型值得说几句

这个项目在隔离上做得相当克制：宿主的输入和屏幕 API 根本不参与 Agent 动作，助手还会校验硬件型号必须以 VirtualMac 开头，避免误连到真机；客户机只看见两个显式共享目录（控制通道和只读的工具目录），宿主的家目录、项目、剪贴板、麦克风、摄像头一律不挂载；也没有任何远程控制监听端口。默认是 NAT 上网，客户机能访问外网，也可能碰到宿主或局域网服务——这并非网络隔离环境，需要时加 --offline 可去掉这条网络路径。

我的一点看法

对需要让 Agent 长期、自动操作图形界面的团队，terminal-mac 把"安全沙箱"这件一直被将就的事认真补上了。它目前仍是早期候选、自签名未公证、首次下载 macOS 镜像较耗时，生产环境还需谨慎；但作为给 AI Agent 一台干净试验田的思路，已经相当完整。手上是 Apple 芯片 Mac、又想把 Agent 从"裸奔桌面"里解放出来的，可以趁早试一试。官方仓库：https://github.com/govijr/terminal-mac