简短回答

当沙箱默认完全无网络时，K-12 AI Agent 可以安全地运行学生代码。在 ibl.ai 上，每个聊天会话都拥有自己独立的 Linux 虚拟机，默认出站流量为零，仅对允许列表中精确的 host:port 对开放——而且所有代码和数据都归你所有。

学生请辅导 AI 调试一个 Python 函数。为了提供帮助，AI Agent 必须运行它——看到真实的报错堆栈，找出差一错误，展示修复方法。这正是辅导型 AI 与“关于辅导的聊天机器人”之间的区别，也是大多数学区部署停滞不前的地方。

为什么代码执行会阻碍那些仅靠辅导功能本可通过审核的 K-12 AI 部署？

因为问题从“内容是否合适”变成了“这个进程能访问什么”，而大多数平台无法回答第二个问题。

一个能执行 shell 命令的 AI Agent，原则上可以调用外部 API、读取挂载的凭据，或访问一个从未被纳入权限评估范围的系统。

对于受 FERPA 和 COPPA 约束的学区来说，这不是一个可以用政策来管理的假设性问题。架构允许它发生，而“允许它发生”本身就是审查结论。

内容审核在这里帮不上忙。学区可以对双向的每一条消息进行筛查，但仍然无法说清某个子进程把输出发到了哪里。

ibl.ai AI Agent 的虚拟机在网络上能访问什么？

什么都访问不了，除非学区另行配置。每个聊天会话都在自己隔离的 Linux 虚拟机中运行——一台拥有独立内核的真实机器，而不是容器或 WASM 垫片——并且初始状态为无网络。然后每个 AI Agent 会采用四种出站配置之一。

出站配置虚拟机能访问什么典型学区用途
无（默认）完全无网络运行和评分学生代码
注册表仅限软件包注册表——PyPI、npm、apt、apk需要安装库的课程作业
公共公共互联网，但拒绝私有地址段、回环地址和云元数据极少适用于未成年人
自定义默认拒绝；仅限指定网络策略中的主机SIS 或 LMS 集成

网络策略是一个由管理员编写一次并可在多个 AI Agent 之间复用的命名允许列表——但绝不能跨组织复用。条目必须是精确的

host:port

host:port 对，不允许使用通配符，每个策略最多

100

条；回环地址、链路本地地址和云元数据地址会被直接拒绝。

AI Agent 如何使用它无法读取的 SIS 凭据？

通过虚拟机密钥机制。在虚拟机内部，密钥的环境变量保存的是一个占位符。真实值仅在向该密钥被允许访问的主机发起加密请求时才会被替换——因此 AI Agent 可以调用 API，却无法打印、记录或泄露密钥。

对学区而言，这意味着 PowerSchool、Infinite Campus 或 Skyward 的凭据，以及 Canvas 或 Google Classroom 的令牌，可以被 AI Agent 使用，但它永远无法将其提取出来。

密钥还可以指向组织已为某个集成存储的凭据，因此只需轮换一次，即可更新使用它的每一个 Agent。

平台还会校验组合：密钥要求 Public 或 Custom 配置文件，而在 Custom 下，密钥可访问的每台主机也必须出现在该 Agent 的网络策略中——密钥永远无法打开策略未允许的路径。

这能让学区实际教授什么？

那些需要动手执行而非口头描述的东西。

  • 实时调试——Agent 复现学生的错误，并在终端中逐步演示修复过程
  • 编程测评——提交的代码在沙箱内针对测试用例运行
  • 数据分析——学生使用真实数据集，同时虚拟机防止他们离开该环境

全部十二个预构建的 K-12 agents 都可以在沙箱模式下运行，并配合平台的双层审核机制——每条学生消息在到达模型前都会被筛查，每条回复在到达学生前都会被过滤——规则可按年级段（K-2、3-5、6-8、9-12）进行配置。

这如何对应 FERPA 的实际要求？

FERPA 并非仅仅假定机构拥有控制权——根据“学校官员”例外条款，它以机构控制为前提条件。

34 CFR 99.31(a)(1)(i)(B) 规定，学区只有在承包方“在使用和维护教育记录方面处于该机构或院校的直接控制之下”时，才能与其共享教育记录。

对于一个你无法窥视内部的过程，要主张直接控制是很困难的。沙箱将其变成了系统的一种属性，而非合同中的一个条款。

COPPA 是另一部法规，不应与之混为一谈。

它监管面向13 岁以下儿童服务的商业运营者，其机制是可验证的家长同意、直接通知、数据最小化以及保留期限限制——而非对记录的机构控制。

学校只能为了学校的使用和利益而作为家长的代理人。而且它对 13 岁及以上的学生只字未提，而这占学区中学阶段人口的绝大多数。

学区必须回答的问题回答该问题的控制措施
学生的工作能否离开其运行的环境？默认没有任何出站访问；只有管理员创建了路径时才存在路径
它究竟可以去往哪里？一份明确的 host:port 对列表，无通配符，上限为 100 个
被入侵的 Agent 能否提取我们的 SIS 密钥？密钥从不进入虚拟机——虚拟机内只有占位符
一个学生的会话能否影响另一个学生的会话？每个聊天都在各自独立的虚拟机中运行，拥有各自的内核
谁可以更改这些设置？策略和密钥拥有独立的权限，默认由管理员持有

成本也是有上限的：虚拟机时间按秒计费，从聊天者的额度中扣除，默认每十分钟 1 美元——这一数字由各机构自行设定，也可以设为零。

为什么拥有所有权会改变学区（school district）的答案？

因为大多数 K-12 AI 工具是托管服务，执行环境归供应商所有。数据处理协议可以描述供应商的承诺，却无法让学区检查边界。

在 ibl.ai 上，你拥有所有代码和数据。该平台以永久许可的方式运行在学区或州的基础设施上。

它是模型无关的，因此学区可以在自己的网络内完全运行开放权重模型，不进行任何外部推理调用——而且没有按席位定价，当另一种选择是为每个学生购买许可时，这一点很重要。

随处部署：你的云、你的 VPC、本地部署，或完全物理隔离的网络。

超过 160 万用户在 400 多个机构中以这种方式运行该平台，包括 NVIDIA、MIT 和雪城大学。

ibl.ai 是一家位于纽约市的家族拥有和经营的企业——一家总部位于美国、由本土持有的长期合作伙伴，而不是卖完许可就一走了之的供应商。

一个能运行代码的辅导工具是真正更好的辅导工具。沙盒正是让学区能够对它说“是”，同时还能回应家长的关键。

相关：为什么 K-12 的 AI Agent 安全需要不同的策略 —— 同一问题的治理层面，用户是未成年人，并且漏洞率是可测量的。

相关：Agent 隔离已进入硅芯片。你还拥有什么。 —— NVIDIA 的带外看门狗，以及为什么软件策略层仍然必须属于你。

相关：前沿部署工程：四层 Agent 技术栈 —— 每个生产级 Agent 部署都有的四层，以及每层归谁所有 · Nubank 在上线前筛查了 16,000 次模拟对话 —— 在客户看到之前，先在模拟中筛查模型配置。