vivek1504/agent-sandbox

Firecracker microVMsを用いたAIエージェントのセキュリティ、ハードウェア遮断のサンドボックス*

ぜひこのプロジェクトを好きなら、GitHubで見ましょう!

概要 • アーキテクチャ • 機能 • 開始する • 統合&SDK • セキュリティモデル • パフォーマンス • 構成

お問い合わせ

概要

AIエージェントは、コードを生成し、実行し、サードパーティの依存関係をインストールし、リモートAPIをクエリし、背景プロセスを実行し、ファイルを操作する必要があります。 ホストマシンで信頼できない、エージェント生成されたコードを実行することは危険です。従来のコンテナサンドボックスはホストカーネルを共有します。システムは、カーネルの悪用、汚れたsysctls、およびリソース排気に脆弱です。

Agent Sandboxは、各AIエージェントセッションに専用のFirecracker microVMを提供します。 セッションは、あらかじめ焼いたスナップショットからミリ秒で起動し、独自のLinuxカーネルで完全なハードウェア分離で実行し、実行が完了したときに自動的に引き裂されます。

[!NOTE] サブ-100msコールドスタート: Firecracker のスナップショット復元と、あらかじめプロビジョンしたルートファイルシステムと組み合わせることで、microVM のゲスト状態は **~2 で復元します.

---

Overview

AI agents need to perform real-world actions: generate and execute code, install third-party dependencies, query remote APIs, run background processes, and manipulate files. Running untrusted, agent-generated code on the host machine is dangerous, while conventional container sandboxing shares the host kernel—leaving systems vulnerable to kernel exploits, dirty sysctls, and resource exhaustion.

Agent Sandbox provides each AI agent session with a dedicated Firecracker microVM. Sessions boot in milliseconds from pre-baked snapshots, run in complete hardware isolation with their own Linux kernel, and are automatically torn down when execution completes.

[!NOTE] Sub-100ms Cold Starts: By combining Firecracker snapshot restoration with pre-provisioned root filesystems, microVM guest state restores in ~2.6ms (total end-to-end cold start is ~90ms including dedicated Linux network namespace, veth pair, TAP device, and NAT egress provisioning).

---

Architecture

Agent Sandbox separates untrusted guest execution from the host control plane through strict virtualization and network boundaries.

┌─────────────────────────────────────────────────────────────────────────┐
│                           Host (Linux + KVM)                            │
│                                                                         │