结合你之前长期深耕的.NET工控SCADA/MES系统边界划分、AI Agent沙箱安全执行环境、金融级生产

环境风险管控的相关实践背景，在对合规性、稳定性要求近乎苛刻的全栈交易系统中，AI能力绝对不能以

“无边界助手”的形态直接接入核心链路，netcorespot这套.NET 9技术栈的交易系统，通过三层递进的

隔离管控体系，把AI的所有操作权限完全锁死在可控范围内，从根源上规避大模型幻觉、提示词注入带来

的交易风险。

第一层：底层执行沙箱，从系统层切断越权路径

netcorespot完全没有把AI生成的代码、指令直接放在宿主交易服务进程里执行，而是基于.NET 9原生的

System.Transactions事务机制+动态隔离容器，搭建了专属的轻量沙箱执行环境：

所有AI生成的Python脚本、C#动态代码、SQL查询语句，全部被投递到独立的、无外网访问权限的动态容

器中执行，容器生命周期严格限制在单次任务的执行时长内，执行完毕立刻销毁回收，不会留下任何持久化

的后门。

基于Seccomp-BPF+操作系统用户权限裁剪，沙箱进程被限制为最低权限账号，禁止访问交易系统的核心

数据库主库，禁止修改任何持久化配置文件，所有文件读写只能在沙箱内部的临时挂载目录中进行，从底层

杜绝容器逃逸的可能性。

所有AI执行的操作默认开启事务快照，任何涉及数据修改的操作，执行前自动生成数据快照，一旦出现异常

操作可以毫秒级回滚，完全不会影响交易系统的核心数据一致性。

第二层：Skill层白名单机制，把AI的能力锁死在预设边界内

netcorespot没有给AI开放任意工具调用权限，所有AI能调用的能力全部被封装成经过严格审计的.NET Skill

白名单，完全对齐你之前研究的“好Skill与坏Skill的四个维度”判定标准：

所有Skill的输入输出全部做强类型约束，基于.NET 9的原生强类型系统，禁止AI传入任何未定义的参数，比如

查询交易数据的Skill，强制限定查询时间范围不能超过7天，单次返回结果行数不能超过1000条，从参数层面杜

绝全表扫描拖垮数据库的风险。

高危操作二次校验机制：所有涉及交易数据修改、配置变更的Skill，执行前自动触发规则引擎校验，比如AI生成

的批量修改订单状态的操作，必须自动匹配预设的风控规则，命中任何一条风险规则就直接拦截，同时推送人工

审核流程，AI没有权限直接执行这类高风险操作。

操作全链路留痕：AI的每一次工具调用、参数输入、返回结果全部写入独立的不可篡改审计日志，和交易系统的

核心日志完全隔离，所有操作全程可追溯、可审计，完全满足金融级合规要求。

第三层：结果层校验拦截，从业务逻辑层面兜底风险

哪怕前面两层管控都被绕过，netcorespot还在AI输出结果接入核心系统的最后一道关口，设置了业务逻辑校验层：

AI生成的所有交易统计报表、数据分析结果，必须经过多维度交叉校验，和交易系统的核心对账数据做比对，误差

超过0.01%就直接判定结果异常，拒绝输出到业务端。

针对AI生成的SQL语句，自动做语法解析和风险检测，识别出DROP TABLE、全表UPDATE这类高危语句直接拦截，

同时自动替换为只读查询版本，完全杜绝AI幻觉生成的高危SQL对核心数据库造成损伤。

基于.NET 9的原生限流能力，AI的所有接口调用频率被严格限制，避免大模型批量调用接口把交易系统的带宽打满，

影响正常的交易业务运行。

这套三层管控体系完全贴合.NET 9的原生技术特性，没有引入多余的第三方组件，在不损失AI辅助分析效率的前提下，

把AI的所有操作完全关进了可控的“笼子”里，完全适配交易系统的金融级安全要求。

需要我为你生成‌netcorespot AI沙箱Skill层的.NET 9最小可运行实现代码框架‌吗？直接复制就能在你的.NET项目中快速落地。