e2b-dev/runtime

解决的问题

E2B Runtime 为 AI 代理提供了一个安全、隔离的环境，用于执行不受信任的代码。它通过基于快照的恢复机制，消除了传统虚拟机的缓慢启动时间，使代理能够拥有自己的专用 Linux 机器，并可即时暂停、恢复和分叉。

工作原理

该系统利用 Firecracker microVM 和自定义架构，将控制平面（API）与数据平面（执行）分离。无需从头启动内核，而是从对象存储中恢复预启动的 VM 模板。它使用 userfaultfd 实现延迟内存加载，并使用写时复制（Copy-on-Write）覆盖层管理文件系统，确保仅加载必要数据。每个 VM 内部都运行一个名为 envd 的专用代理，提供 REST 和 Connect RPC API，用于管理进程、文件和端口。

适用人群

• AI 代理开发者：需要对沙箱环境进行精确控制，并确保本地与生产环境一致性的团队。
• 平台团队：希望在自有云基础设施中执行代理，避免使用“黑盒”解决方案的组织。
• 基础设施工程师：对高规模快照式调度、Firecracker microVM 和延迟内存恢复感兴趣的人员。

主要亮点

• 硬件隔离的沙箱：每个会话都在独立的 Firecracker microVM 中运行，拥有专用的网络命名空间和出口防火墙。
• 即时生命周期管理：通过内存和磁盘差异，可即时暂停、恢复和分叉正在运行的沙箱。
• 模板系统：基于 Docker 镜像的分层构建，支持缓存层和启动优化步骤。
• 集成 API：envd 允许 SDK 与 VM 的文件系统和进程交互，升级期间无需中断工作负载。
• 动态路由：任何打开端口的进程都会自动分配沙箱 URL，并通过边缘代理进行路由。