Как запустить тысячи AI-агентов на одном сервере без риска для безопасности

Представьте, что вы создаете платформу для AI-агентов. Ваш LLM-помощник должен уметь писать и исполнять код, ходить в интернет и работать с файлами. Тут же возникает головная боль: как разрешить нейросети выполнять произвольный код на вашем сервере и при этом не проснуться от уведомления, что кто-то удалил базу данных или майнит крипту на ваших мощностях?

Обычно мы выбираем между Docker и полноценными виртуалками. Docker быстрый, но дырявый — изоляция на уровне неймспейсов ядра часто позволяет «выпрыгнуть» из контейнера. Виртуалки (VM) надежные, но тяжелые: они долго грузятся и съедают гигабайты памяти на старте. Ребята из Tencent Cloud выложили в опенсорс CubeSandbox, который пытается усидеть на двух стульях сразу.

Что это такое

CubeSandbox — это легковесный сервис песочниц, построенный на RustVMM и KVM. Если упростить, это микро-виртуалки, которые запускаются быстрее, чем вы успеете моргнуть. Проект ориентирован именно на AI-агентов, которым нужно мгновенно создать среду, выполнить задачу и исчезнуть.

Интересно, что проект полностью совместим с API популярного сервиса E2B. Если вы уже используете E2B, но хотите переехать на свое железо или сэкономить, CubeSandbox позиционируется как drop-in замена.

Почему это работает быстрее обычных виртуалок

Разработчики заявляют о холодном старте менее чем за 60 миллисекунд. Для сравнения: обычная ОС в виртуалке грузится секунды. Секрет кроется в паре технических хитростей.

Во-первых, используется технология снимков (snapshots) и Copy-on-Write (CoW). Вместо того чтобы каждый раз грузить ядро и инициализировать систему, CubeSandbox клонирует уже запущенное состояние из пула.

Во-вторых, рантайм на Rust максимально вычищен от всего лишнего. Накладные расходы памяти на одну инстанцию составляют меньше 5 МБ. Это позволяет запускать тысячи таких песочниц на одном узле. В моей практике это критично, когда нужно масштабировать сервис на сотни одновременных пользователей, не арендуя при этом целый дата-центр.

Безопасность без компромиссов

В отличие от Docker, где контейнеры делят одно ядро с хостом, здесь у каждого агента свое собственное гостевое ядро ОС. Это аппаратная изоляция. Даже если сгенерированный нейросетью код окажется вредоносным и попытается эксплуатировать уязвимость ядра, он останется заперт внутри микро-VM.

Для сетевой безопасности используется CubeVS на базе eBPF. Это виртуальный коммутатор, который на уровне ядра фильтрует трафик. Можно гибко настроить, куда агенту можно ходить, а куда — категорически нельзя. В версии 0.4.0 добавили CubeEgress — прокси для аудита доступа и инъекции учетных данных, что удобно для работы с внешними API.

Как это устроено внутри

Архитектура проекта выглядит логично для распределенной системы:

• CubeAPI: шлюз на Rust, который принимает запросы.
• CubeMaster: оркестратор, который следит за состоянием кластера и распределяет задачи.
• Cubelet: агент на конкретном вычислительном узле, управляющий жизненным циклом песочниц.
• CubeHypervisor: прослойка над KVM для управления микро-виртуалками.

Кому стоит попробовать

Проект явно не для пет-проекта на Raspberry Pi (нужен x86_64 и поддержка KVM). Но он станет спасением, если вы:

1. Строите платформу для обучения или запуска AI-агентов (типа AutoGPT или OpenDevin).
2. Запускаете сервис проверки кода (Online Judge).
3. Хотите автоматизировать браузеры в изолированной среде.

Кстати, в репозитории есть отличный раздел с примерами, где показывают, как интегрировать песочницу для RL-тренировок или автоматизации браузера.

С чего начать

Быстрый старт выглядит действительно быстрым. Если у вас есть Linux-сервер с поддержкой виртуализации, развернуть систему можно буквально за пару команд. Разработчики предлагают три пути деплоя: на обычные облачные виртуалки (PVM), на голое железо (Bare Metal) или в среду разработки через QEMU.

# Пример логики работы через CLI (условно)
cubecli cubebox create --template python-3.10
cubecli cubebox run "print('Hello from secure sandbox')"

CubeSandbox — это мощный ответ проприетарным решениям. Он дает ту самую «магию» мгновенных песочниц, за которую любят E2B, но с открытым исходным кодом и возможностью хостить всё у себя.

Конечно, проект еще молодой (версия 0.4.0), и документация местами может быть лаконичной, но участие Tencent Cloud и попадание в CNCF Landscape внушают доверие. Если ваша задача — безопасно исполнять чужой код в промышленных масштабах, это определенно тот инструмент, который стоит покрутить в руках.