TencentCloud/CubeSandbox

Instant, Concurrent, Secure & Lightweight Sandbox for AI Agents.

解决的问题

AI Agent 通常需要执行由 LLM 生成的代码，如果这些代码在宿主系统上运行，会带来巨大的安全风险。CubeSandbox 提供了一个安全、隔离的环境来运行这些不可信的代码，而不会危及底层基础设施。

工作原理

该服务基于 RustVMM 和 KVM 构建，可创建硬件隔离的 MicroVM，启动时间不足 60ms 且内存开销极低。它采用专门的架构，包括 REST API 网关、集群编排器以及用于内核级网络隔离的基于 eBPF 的虚拟交换机。它还具有凭据库（credential vault）以确保 API 密钥不进入沙箱，以及用于即时快照和回滚的 Copy-on-Write 引擎。

适用对象

需要代码执行能力的 AI Agent 开发人员，以及需要为 Agent 工作负载提供可扩展、高密度沙箱基础设施的平台工程师。

亮点

  • 极致隔离： 为每个沙箱提供带有专用 Guest OS 内核的硬件级隔离。
  • 高性能： 低于 60ms 的冷启动时间和极低的内存开销（每个实例 <5MB）。
  • 兼容 E2B： 通过原生的 E2B SDK 兼容性提供无缝迁移。
  • 高级状态管理： 支持快照、克隆和回滚的百毫秒级粒度。
  • 安全出口： 包括域名白名单和审计功能，以防止沙箱进行未经授权的网络访问。