vivek1504/agent-sandbox

Безопасная, аппаратно-изолированная песочница исполнения для агентов ИИ с использованием микроВМ Firecracker

Если вам нравится этот проект, снимайте его на GitHub!

Обзор • Архитектура • Возможности • Начало работы • Интеграция и SDKs • Модель безопасности • Производительность • Конфигурация

Обзор

Агенты ИИ должны выполнять реальные действия: генерировать и выполнять код, устанавливать сторонние зависимости, запрашивать удаленные API, запускать фоновые процессы и манипулировать файлами. Запуск ненадежного кода, генерируемого агентами, на хост-машине опасен, в то время как обычная контейнерная песочница разделяет ядро хоста, оставляя системы уязвимыми для эксплойтов ядра, грязных сикстлов и истощения ресурсов.

Agent Sandbox предоставляет каждому сеансу AI-агента выделенную микроVM Firecracker. Загрузка сеансов в миллисекундах от предварительно сделанных снимков, работа в полной аппаратной изоляции с собственным ядром Linux и автоматически срывается при завершении выполнения.

[!ПРИМЕЧАНИЕ] ** Холодные старты на 100 мс**: Объединив восстановление снимка Firecracker с предустановленными корневыми файловыми системами, состояние клиента microVM восстанавливается в **~2.

---

Overview

AI agents need to perform real-world actions: generate and execute code, install third-party dependencies, query remote APIs, run background processes, and manipulate files. Running untrusted, agent-generated code on the host machine is dangerous, while conventional container sandboxing shares the host kernel—leaving systems vulnerable to kernel exploits, dirty sysctls, and resource exhaustion.

Agent Sandbox provides each AI agent session with a dedicated Firecracker microVM. Sessions boot in milliseconds from pre-baked snapshots, run in complete hardware isolation with their own Linux kernel, and are automatically torn down when execution completes.

[!NOTE] Sub-100ms Cold Starts: By combining Firecracker snapshot restoration with pre-provisioned root filesystems, microVM guest state restores in ~2.6ms (total end-to-end cold start is ~90ms including dedicated Linux network namespace, veth pair, TAP device, and NAT egress provisioning).

---

Architecture

Agent Sandbox separates untrusted guest execution from the host control plane through strict virtualization and network boundaries.

┌─────────────────────────────────────────────────────────────────────────┐
│                           Host (Linux + KVM)                            │
│                                                                         │