Jane Street内部AI扩到上千工具：沙箱、RPC身份与代码验证接成三层控制

2026年10月16日，Jane Street工程师John Crepezzi与Ron Minsky披露了内部AI的扩展情况。它已从聊天入口扩成平台，业务团队为它接入了超过1000个专用工具。这个规模把控制问题拆成三层：沙箱约束进程和网络，RPC身份决定具体业务调用能否执行，确定性脚手架与测试负责判断生成代码能否留下。原先需要修改的想法是，只要把Agent关进受限环境，再沿用员工权限和普通代码审查，风险就已经被接住。

Jane Street的路径支持一个更窄的判断：工具越多，单一安全边界越难同时理解机器动作、业务含义和代码质量。通俗地说，沙箱能拦住“碰哪台机器”，却不知道“在服务里办什么事”，更无法证明写出的代码可靠。公开材料能证明这套分层在Jane Street成立，但不能证明三层按严格先后顺序建成，也没有给出可外推的效率收益。

三天搭成的聊天页，四年后承载了上千种动作

这套分层首先来自入口用途的改变。

2022年底，ChatGPT刚发布时，Jane Street员工只能通过个人设备使用消费版服务。Crepezzi先用Rails做出JaneGPT原型，随后三名工程师用约三天把它做成全公司使用的内部聊天服务。Rails是一套用于快速搭建网页应用的开发框架。员工请求统一经过公司维护的凭证，几周后Claude出现，团队又在同一入口加入模型切换，并向内部应用提供不绑定模型厂商的客户端库。

早期网关解决的是数据、账号和供应商切换。到2026年，平台还提供OCaml和Python工具调用框架、内部知识库访问、命令执行、编辑器与Notebook入口。OCaml是一门强调类型检查的编程语言。超过1000个工具并非都由中央AI团队制作，而是各业务团队按自身任务接入。统一入口由此从“替员工问模型”变成“替模型调用内部能力”的底座。

采用深度也已超过试用。Jane Street披露，约45%的已发布代码变更从Slack里的异步Agent流程起步。这个数字指流程起点，不等于45%的生产代码由模型独立完成，也没有说明最终合并比例或节省工时。它仍然足以改变控制面：聊天失败通常只是答错，工具调用失败可能占用计算集群、读取研究数据或改动代码。

网关因此保留了价值，却不再等于完整控制。它适合集中凭证、模型路由、限流和审计；当请求穿过网关进入真实系统，决定“能否执行”的信息必须继续传下去。

沙箱管机器边界，AI用户把权限推进到具体RPC

Jane Street遇到的直接冲突，是安全覆盖与研究工作之间的摩擦。

团队先使用拒绝列表，随后改用允许列表。Bubblewrap限制文件系统，Pasta隔离网络。封闭编译和测试本来就追求可重复构建，允许列表在这类任务上运行良好。量化研究却要访问大型分布式数据系统，所需依赖无法都装进封闭环境；规则维护跟不上后，一些员工会直接关闭沙箱。

团队没有取消底层隔离，而是给未命中允许规则的动作增加第二道判断。分类器可判定允许、拒绝或交回员工确认。硬规则继续处理已知边界，模型只处理规则外的上下文。这种做法扩大了覆盖，但公开材料没有分类器误报率、人工确认量和关闭沙箱的变化，因此不能据此判断摩擦已经消失。

更关键的缺口位于业务调用。操作系统能看见进程访问了哪个文件、连向哪个服务，却读不懂网络包里调用的是哪个内部接口。Jane Street于是修改远程过程调用（RPC，即内部服务之间发起具体操作的请求）基础设施，让接口声明是否接受AI进程调用。

Jane Street在公开访谈中称，每名员工都有一个对应的“AI用户”。这里的“AI用户”是为员工对应的Agent设置的独立调用身份。这一覆盖范围来自公司自述，公开材料没有员工目录或部署统计，无法逐项核实。Agent代Ron Minsky执行任务时，通常以他的AI身份发起调用，下游RPC因而能应用AI专属规则，同时保留委托人的归属关系。相同身份也进入代码系统，按行区分人写与模型协助的内容。沙箱缩小机器层的失控半径，RPC身份才把“谁的Agent正在调用哪个业务动作”变成可执行策略；两层解决的是不同问题。

SPACE守住虚拟机，仍需单独验证网络和业务边界

同期的Perplexity SPACE提供了可比的另一半。

SPACE为Computer的任务创建独立Firecracker微型虚拟机，并把平台凭证和出站控制放在虚拟机外。这里的Computer是SPACE中负责执行任务的Agent环境。凭证只在任务访问获准服务时注入，Agent环境不长期保存密钥。它比Jane Street公开材料更集中地展示了执行隔离，却没有覆盖Jane Street内部RPC的业务语义。

Perplexity自己的红队结果进一步限定了“沙箱安全”。九个模型在108次尝试中没有从虚拟机逃到宿主机；但在允许访问部分软件源的条件下，修复前有11次穿过网络限制，完全断网条件下则为0次。Perplexity修复DNS与共享IP路径后，复测未再观察到这两类绕过。它证明的不是虚拟机无效，而是虚拟机隔离与网络策略必须分开测试；同理，网络获准也不代表某个RPC业务动作应当获准。

这组对照只支持架构分工，不支持效果排名。SPACE处理通用运行环境，Jane Street还要面对员工委托关系、内部服务含义和专有代码栈。主体、任务和披露指标不同，不能把108次测试与Jane Street未公开的内部事件率放在同一分数表里。

30秒变10分钟之后，瓶颈转到脚手架和验证

第三层控制处理的不是访问权限，而是模型输出的可信度。

Jane Street发现，模型用HTML和JavaScript做一次性页面约需30秒，换成内部OCaml/Bonsai技术栈后，完整流程约需10分钟。Bonsai是Jane Street内部用OCaml构建界面的框架。增加的时间不全来自冷门语言；创建代码分支、选择构建目标、启动编译并反复发现工具，都会让Agent像新手一样每次重走流程。

团队把可预先确定的部分固化下来。异步工作流自动创建变更分支并初始化构建环境，代码树也能提示推荐构建目标。AIDE则保留模型切换能力，并针对内部开发环境和沙箱做深度适配。确定性脚手架没有让模型更聪明，它只是减少重复探索，把随机性留在真正需要判断的部分。

验证仍然没有被省掉。Jane Street的Bonsai_term把终端界面状态输出为文本，Agent能运行测试并直接读取差异；属性测试、模糊测试和确定性模拟扩大可搜索的状态空间。2026年6月，公司还宣布组建形式化方法团队，希望用可证明的程序性质给Agent更强反馈。该团队仍处于建设阶段，公开材料没有证明任意生成代码已能自动验证并发布。

现有证据因此停在采用条件，而非效率结论。若AI用户只留下审计标签、下游服务并未普遍执行差异化规则，RPC层的意义就会明显收窄。若分类器误报和确认成本继续促使员工关闭沙箱，分级方案也没有形成有效覆盖。若模板只把10分钟缩短，却没有降低缺陷率或审查负担，脚手架只能算体验优化。

下一次公开披露中，四组配对数据比工具总数更有辨识力。它们包括沙箱关闭率与人工确认量，以及AI身份覆盖的RPC比例与拒绝事件。还包括脚手架前后的任务时长与缺陷率，以及Agent发起变更的合并率与回滚率。只有这些指标同时改善，Jane Street的三层控制才可从一套机构内架构，进一步被解释为可复用的生产收益。