Spring AI Playground：AI Agent 工具的安全本地执行沙盒

你花了两小时让 AI agent 帮你写了一个文件处理工具。它运行了，打印出一行成功日志——然后你发现它删掉了你桌面上所有 .txt 文件。执行结果和预期完全不符，原因是 agent 生成的工具代码根本没有经过任何本地验证就跑了。

这不是 agent 的问题，是工具发布流程缺失的问题。

Spring AI Playground 就是来解决这个问题的：它为 AI agent 工具建立了一套「先验证再运行」的本地安全执行层，让工具在进入生产环境之前，必须先在本地通过测试，才能被 agent 调用。

背景：为什么 AI 工具需要安全执行层

当前主流 AI agent 平台（Claude Desktop、Cursor、Claude Code 等）都支持通过 MCP（Model Context Protocol）协议加载外部工具。这些工具可以是本地脚本、云端 API，甚至是第三方服务提供的函数调用接口。问题在于：平台只负责「加载」工具，不负责「验证」工具安全不安全。

2024 年起，MCP 生态快速扩张，大量社区工具涌入，但工具质量参差不齐、行为不可预测、没有标准化的安全测试流程。Spring AI 社区在 2025 年初推出了 Spring AI Playground，将 Spring 生态的安全工程实践引入 AI agent 工具领域，核心作者是 Jemin Huh（hjm1980@gmail.com）。

核心设计理念：No Pass, No Run

这个项目最简洁的设计哲学就是这四个字：没有通过测试，就不允许运行。

在 Spring AI Playground 中，每一个工具必须经历完整的本地验证流程才能被发布到内置 MCP 服务器，供 Agentic Chat 调用。具体来说：

第一步：编写工具。 用户在 Tool Studio 中用 JavaScript 编写自定义工具函数，填写参数 schema 和返回值说明。不需要懂 Java、Spring 或 JVM 内部机制，只要会写 JS 就能上手。

第二步：本地测试（Local Pass）。 用示例参数对工具进行本地运行测试。如果测试失败，工具不会被发布；如果测试通过，获得一枚「Local Pass」徽章。

第三步：发布到内置 MCP 服务器。 通过测试的工具被发布到内置 MCP 服务器，此时才可被 Agentic Chat 调用。未通过测试的工具永远不会暴露给 agent。

图1：Spring AI Playground 桌面应用启动界面（来源：项目文档）

功能全景：不止是工具沙盒

Spring AI Playground 的功能远不止一个工具测试环境。它是一套完整的 agent 工具开发与运行平台，包含以下核心模块：

1. Tool Studio（工具工坊）

内置的工具编辑器，支持编写、测试、发布 MCP 工具。提供了完整的参数验证、日志输出和测试运行界面。工具以 JSON 格式的 Safe Tool Specification 定义，规范化了工具的输入输出 schema。

2. Agentic Chat（Agent 聊天）

内置的 AI 聊天界面，可以调用通过测试的工具进行真实操作。支持多轮对话、上下文管理和工具调用可视化。

3. MCP Inspector（MCP 检查器）

直接连接外部 MCP 服务器（如 Gmail、Slack、GitHub 等官方 MCP 服务器），浏览服务器提供的工具列表，并单独测试每个工具的行为，无需在 agent 中直接调用。

4. Observability Dashboard（可观测性仪表板）

覆盖 13 个维度的实时监控仪表板，包括：

• Token 消耗与成本追踪
• AI 模型调用分析
• 工具执行统计
• MCP 服务器调用记录
• RAG 向量数据库查询
• Agentic Chat 完整对话链路
• 安全事件日志
• 主机资源监控
• Ollama 本地模型状态

每条记录均可穿透到 trace 时间轴和原始 span，并支持跳转到对应会话上下文。数据通过环形缓冲区持久化到磁盘。

图2：Spring AI Playground 架构层次总览（来源：项目文档）

5. 内置默认工具目录

开箱即用内置 50+ 工具，覆盖：网络请求、日期时间、数学计算、安全编码、文件系统、GitHub API、维基百科、天气、金融数据、地理编码等。还包含韩国专区工具集（Upbit、Bithumb、Naver、Kakao 等韩国平台）。

6. 默认 MCP 服务器目录

预置了 Gmail、Notion、Slack、GitHub、Linear、Atlassian、Tavily、Firecrawl、Microsoft Teams、Sentry 等主流服务的 MCP 服务器配置模板，使用 ${ENV_VAR} 占位符保护未配置的密钥。

7. RAG 支持

内置向量数据库（Vector Database）集成，支持 RAG（检索增强生成） Advisor，配合 Spring AI 的向量存储抽象层，支持多种后端向量引擎。

技术架构：Spring Boot + Electron 的混合设计

从架构上看，Spring AI Playground 是一个典型的「前端 Electron + 后端 Spring Boot」混合桌面应用。

后端核心：Spring Boot 4.1.0 + Spring AI

• 基于 Spring Boot 4.1.0，构建工具为 Maven（pom.xml）
• 集成 Spring AI 框架（版本 0.2.0-M12，孵化阶段版本），负责 ChatClient、MCP client/server、RAG Advisor、Vector Store 等 AI 能力
• 支持 Ollama 本地模型管理（内置 Ollama Manager）
• 支持 Whisper 语音识别（内置 Whisper Manager）
• 支持多种 LLM 提供商（OpenAI、Anthropic、本地 Ollama 等）

前端：Electron + Vaadin

• 使用 Electron 构建跨平台桌面应用（支持 Windows/macOS/Linux）
• 前端 UI 框架为 Vaadin（基于 Java 的 Web 组件框架），构建时通过 Maven 的 build-frontend goal 调用 Node.js/npm 编译
• Electron 层负责窗口管理、系统托盘、自动更新（内置 Updater）、遥测等桌面功能

Dockerfile 设计（多阶段构建）

Dockerfile 采用了高度工程化的两阶段构建流程：

• Builder Stage：使用 ghcr.io/graalvm/jdk-community:21 基础镜像，安装 Node.js，执行 mvn package 打包 Spring Boot JAR
• Runtime Stage：基于精简的运行时镜像，使用 jlink 生成定制化 JRE，镜像大小经过优化
• CI 加速机制：GitHub Actions 的 build-jar job 预先构建 JAR 文件，Dockerfile 检测到 target/*.jar 存在时跳过 Maven 阶段，大幅缩短 CI 构建时间（约 3-5 分钟）

安全架构：多层隔离

Spring AI Playground 提供了完整的安全架构文档（OWASP MCP Top 10 对应）：

• JS 沙盒：内置工具在进程内 JavaScript 沙盒中执行，非对抗级隔离但足够防御本地开发误操作
• MCP 服务器安全：外部 MCP 服务器的工具重新暴露前经过风险评估
• Human-in-the-Loop 审批：每次工具执行前可配置人工审批确认
• 隔离层级：支持从进程内沙盒到容器/微 VM 的多级隔离策略

图3：Spring AI Playground 启动器 Ollama 配置界面（来源：项目文档）

上手体验

桌面应用（推荐）

下载对应平台的安装包（Windows NSIS / macOS DMG / Linux DEB/RPM），安装后直接运行，无需配置任何环境。对于大多数用户，这是最省心的入口。

macOS 用户需注意 Gatekeeper 签名验证问题（可通过 xattr -dr com.apple.quarantine 绕过），Windows 用户需处理 SmartScreen 警告——两者均为正常的安全提示，确认来源可信后放行即可。

Docker 部署

项目提供 Dockerfile 支持容器运行，但需注意：没有官方 docker-compose.yml，需要手动编写 docker run 命令或自行编排 Docker Compose。对于已经熟悉 Docker 的用户，这是替代桌面应用的可行方案。

源码构建

要求 JDK 21+ 和 Node.js/npm，执行 mvn package 打包。首次构建会从 Maven Central 和 npm 下载依赖，耗时较长。Dockerfile 中配置了缓存挂载（--mount=type=cache），本地重复构建可获得缓存加速。

局限与注意事项

孵化阶段，版本不稳定。 当前版本为 0.2.0-M12，距离 1.0 稳定版还有一定距离，API 和功能可能在后续版本中发生变化。

文档为英文。 虽然 Spring AI 社区有中文维护者，但核心文档仍以英文为主，对英文阅读能力有一定要求。

JS 沙盒隔离深度有限。 项目明确声明内置沙盒是「纵深防御」级别的本地开发保护，而非对抗级隔离。对于真正不可信的工具代码，建议使用容器或微 VM 隔离。

对 Spring 生态有学习曲线。 虽然 Tool Studio 屏蔽了 Java/Spring 细节，但扩展功能（如自定义 MCP 服务器、RAG 后端配置）仍需要 Spring Boot 知识。

仅支持 JDK 21+。 如果本地环境是旧版本 JDK，需要额外安装或使用 Docker 运行时。

行业意义与未来

Spring AI Playground 代表了一种趋势：从「让 AI 生成工具」到「让 AI 生成可验证的工具」。 随着 AI agent 在生产环境中的普及，工具的安全性与可验证性将成为刚需，而不是加分项。

项目还提供了完整的 Spring AI 参考实现，包括 MCP client/server 集成、RAG Advisor、向量存储、Observation API 等，是 Spring 开发者学习 AI 集成的良好范本。2025 年底的路线图显示即将支持更多 LLM 提供商和更丰富的可观测性功能。

如果你正在使用 Claude Desktop、Cursor、Claude Code 或其他 MCP 兼容环境，Spring AI Playground 提供了一个值得信赖的本地工具执行层；如果你是 Spring 开发者，它同时也是学习 Spring AI 生态的最佳实践入口。