Sandbox para agentes de IA: ejecuta código no confiable en una microVM que arranca en un segundo

Todo agente que escribe código tarde o temprano tiene que ejecutarlo. Para eso existe un agente así, y esa es también la parte incómoda. El modelo acaba de producir un script que nunca ha ejecutado: instala paquetes que nadie revisó y toca archivos que nadie enumeró. Ejecutarlo junto a tus claves SSH y al .env de producción es una apuesta que haces muchas veces al día.

Una sandbox abarata esa apuesta. El código recibe su propia máquina Linux durante unos segundos o minutos, y después la máquina desaparece.

Qué recibe el agente

Cada sandbox es una Firecracker microVM: su propio kernel, su propio sistema de archivos, su propio espacio de nombres de red. No es un contenedor que comparte tu kernel ni una carpeta en tu servidor. Arranca en alrededor de un segundo, y eso importa cuando un agente crea una por tarea y no una al día.

Dentro hay Python 3.12 con pip, Node.js 22 con npm, bash, git y curl. El Internet saliente funciona: el agente puede hacer pip install pandas o clonar un repositorio. El entrante no: ni puertos abiertos ni SSH. Los comandos, archivos y salidas viajan por nuestra API, y esa es la única puerta.

Tres formas de entrar:

• MCP: si tu agente vive en Claude, Cursor, Cline o cualquier cliente compatible con MCP, recibe las herramientas de sandbox junto a las de VPS. Sin código por tu parte.
• SDK de Python o TypeScript: pip install eqvps o npm i @eqvps/sdk, y luego crear, ejecutar, borrar.
• REST a secas: documentado en la documentación de sandboxes y en la especificación OpenAPI.

Un bucle mínimo en Python:

from eqvps import Sandbox

with Sandbox.create(tariff="small") as sb:
    sb.upload("/root/task.py", agent_generated_code)
    result = sb.exec("python3 /root/task.py", timeout=55)
    print(result.exit_code, result.stdout[-2000:])
# the sandbox is deleted here, also if anything above raised

Un código de salida distinto de cero llega como un resultado normal, no como una excepción. Justo lo que quieres cuando el agente tiene que leer el traceback y volver a intentarlo.

Los casos peligrosos y qué pasa con ellos

Un paquete hostil o simplemente roto. Se ejecuta dentro de una VM que no guarda nada tuyo. Borras la sandbox y desaparece.

Secretos. No pongas tus claves de API principales en el código que escribe el agente. Si una tarea de verdad necesita una, pásala como variable de entorno de la sandbox: los valores se guardan cifrados, nunca se registran en logs, y la API solo devuelve sus nombres.

Bucles sin fin. Cada comando se detiene a los 55 segundos, salvo que lo hayas lanzado en segundo plano. Una sandbox efímera inactiva se borra sola tras su tiempo de inactividad (5 minutos por defecto). Un límite de gasto diario o mensual impide crear sandboxes nuevas cuando el agente ya gastó suficiente por hoy.

Exfiltración. Aquí hay que ser claros: el Internet saliente está abierto, porque sin él pip install no funciona. Una sandbox protege tu máquina; no impide que el código envíe a Internet todo lo que pueda leer dentro de la sandbox. La regla es sencilla: mete en la sandbox solo lo que no te importe perder.

Elegir tarifa

Se factura por segundo con un mínimo de 60 segundos, del mismo saldo prepago que nuestros VPS. Una tarea típica de agente —crear, instalar dos paquetes, ejecutar, borrar— dura menos de un minuto en small, así que se cobra el mínimo de 60 segundos: unos $0.0006. Sinceramente, para un agente que ejecuta código unos cientos de veces al día, la factura de sandboxes es la línea más pequeña del presupuesto; los tokens del LLM cuestan mucho más.

Cuándo una sandbox no es la herramienta adecuada

Si el agente necesita servir algo —una aplicación web, un receptor de webhooks, un bot que escucha mensajes—, una sandbox no sirve, porque nada puede alcanzarla desde fuera. Lo mismo con un servicio que debe funcionar durante meses. Eso es trabajo para un VPS: mira VPS para agentes de IA. Un reparto habitual: el agente vive en un VPS pequeño y crea una sandbox para cada trozo de código que no ha visto antes.

El otro límite es el cómputo pesado y sostenido. Una sandbox con la CPU al máximo durante más de 15 minutos se considera abuso, así que los cálculos largos van en un servidor alquilado por meses.

Para empezar

Crea una cuenta, obtén un token y lanza la primera sandbox: la guía de conexión explica cada paso, y las cuentas nuevas reciben $1 de tiempo de sandbox para probar. Después apunta el agente a la página de sandboxes o a las herramientas MCP, y deja que rompa cosas donde romper sale gratis.

Paso a paso: tu primera tarea de agente en una sandbox. Relacionado: pruebas de CI aisladas, evaluación de LLM y revisión de código y comprobación de PR.