Sandbox per agenti IA: esegui codice non fidato in una microVM che parte in un secondo

Ogni agente che scrive codice prima o poi deve eseguirlo. È lo scopo stesso di un agente del genere, ed è anche la parte scomoda. Il modello ha appena prodotto uno script che non ha mai fatto girare: installa pacchetti che nessuno ha controllato e tocca file che nessuno ha elencato. Eseguirlo accanto alle tue chiavi SSH e al .env di produzione è una scommessa che fai molte volte al giorno.

Una sandbox rende quella scommessa economica. Il codice ottiene una macchina Linux tutta sua per qualche secondo o minuto, poi la macchina sparisce.

Cosa riceve l'agente

Ogni sandbox è una Firecracker microVM: kernel proprio, file system proprio, namespace di rete proprio. Non è un container che condivide il tuo kernel, né una cartella sul tuo server. Parte in circa un secondo, e conta quando un agente ne avvia una per ogni task invece che una al giorno.

Dentro ci sono Python 3.12 con pip, Node.js 22 con npm, bash, git e curl. Internet in uscita funziona: l'agente può lanciare pip install pandas o clonare un repository. In ingresso no: nessuna porta aperta, niente SSH. Comandi, file e output passano dalla nostra API, ed è l'unica porta.

Tre modi per entrare:

• MCP: se il tuo agente vive in Claude, Cursor, Cline o in un altro client compatibile con MCP, riceve gli strumenti sandbox accanto a quelli VPS. Nessun codice da parte tua.
• SDK Python o TypeScript: pip install eqvps oppure npm i @eqvps/sdk, poi crea, esegui, cancella.
• REST semplice: documentato nella documentazione delle sandbox e nella specifica OpenAPI.

Un ciclo minimo in Python:

from eqvps import Sandbox

with Sandbox.create(tariff="small") as sb:
    sb.upload("/root/task.py", agent_generated_code)
    result = sb.exec("python3 /root/task.py", timeout=55)
    print(result.exit_code, result.stdout[-2000:])
# the sandbox is deleted here, also if anything above raised

Un exit code diverso da zero torna come risultato normale, non come eccezione. Proprio quello che serve quando l'agente deve leggere il traceback e riprovare.

I casi pericolosi e cosa succede

Un pacchetto ostile o semplicemente rotto. Gira dentro una VM che non contiene niente di tuo. Cancelli la sandbox e non c'è più.

I segreti. Non mettere le tue chiavi API principali nel codice scritto dall'agente. Se un task ne ha davvero bisogno, passala come variabile d'ambiente della sandbox: i valori sono salvati cifrati, mai scritti nei log, e l'API restituisce solo i nomi.

I cicli infiniti. Ogni comando si ferma dopo 55 secondi, a meno che tu non l'abbia avviato in background. Una sandbox effimera inattiva si cancella da sola dopo il suo timeout di inattività (5 minuti di default). Un limite di spesa giornaliero o mensile blocca nuove sandbox quando l'agente ha speso abbastanza per oggi.

L'esfiltrazione. Qui bisogna essere chiari: Internet in uscita è aperto, perché senza pip install non funziona. Una sandbox protegge la tua macchina; non impedisce al codice di mandare su Internet tutto ciò che riesce a leggere nella sandbox. La regola quindi è semplice: metti nella sandbox solo ciò che accetti di perdere.

Scegliere la tariffa

La fatturazione è al secondo con un minimo di 60 secondi, dallo stesso saldo prepagato dei nostri VPS. Un tipico task di agente (creare, installare due pacchetti, eseguire, cancellare) resta sotto il minuto su small, quindi viene addebitato il minimo di 60 secondi: circa $0.0006. Onestamente, per un agente che esegue codice qualche centinaio di volte al giorno, il conto delle sandbox è la voce più piccola del budget; i token dell'LLM costano molto di più.

Quando la sandbox non è lo strumento giusto

Se l'agente deve servire qualcosa (un'app web, un ricevitore di webhook, un bot che ascolta messaggi), una sandbox non va bene, perché nulla può raggiungerla dall'esterno. Lo stesso vale per un servizio che deve restare attivo per mesi. Quello è un lavoro da VPS: vedi VPS per agenti IA. Uno schema comune: l'agente vive su un piccolo VPS e crea una sandbox per ogni pezzo di codice che non ha mai visto.

L'altro limite è il calcolo pesante e prolungato. Una sandbox tenuta con la CPU al massimo per più di 15 minuti è considerata abuso, quindi i calcoli lunghi stanno meglio su un server affittato a mese.

Per iniziare

Crea un account, prendi un token e avvia la prima sandbox: la guida alla connessione spiega ogni passaggio, e i nuovi account ricevono $1 di tempo sandbox per provare. Poi indirizza l'agente alla pagina delle sandbox o agli strumenti MCP, e lascialo rompere cose dove rompere non costa niente.

Passo per passo: il tuo primo task da agente in una sandbox. Correlati: test CI isolati, valutazione di LLM e code review e controlli sulle PR.