沙箱执行依赖可选的 vibe-sandbox 系统用户与 CAP_SETUID/CAP_SETGID 能力；可通过环境变量 VIBE_TRADING_SANDBOX_RLIMIT_AS_MB 调整虚拟地址空间上限（默认 4096 MB）。非 POSIX 平台会降级为无 UID drop 模式但保留 AST 静态防护。