Sandbox voor AI-agents: onvertrouwde code draaien in een microVM die in een seconde start

Elke agent die code schrijft, moet die vroeg of laat ook uitvoeren. Daar draait zo'n agent om — en precies dat is het ongemakkelijke deel. Het model heeft net een script geproduceerd dat het zelf nooit heeft gedraaid: het installeert pakketten die niemand heeft bekeken en raakt bestanden aan die niemand heeft opgesomd. Dat draaien naast je SSH-sleutels en je productie-.env is een gok die je vele keren per dag neemt.

Een sandbox maakt die gok goedkoop. De code krijgt een eigen Linuxmachine voor een paar seconden of minuten, en daarna is de machine weg.

Wat de agent krijgt

Elke sandbox is een Firecracker-microVM: eigen kernel, eigen bestandssysteem, eigen netwerknamespace. Geen container die jouw kernel deelt en geen map op je server. Hij start in ongeveer een seconde, en dat telt als een agent er per taak een opstart in plaats van één per dag.

Binnenin: Python 3.12 met pip, Node.js 22 met npm, bash, git en curl. Uitgaand internet werkt — de agent kan pip install pandas doen of een repository klonen. Inkomend niet: geen open poorten, geen SSH. Commando's, bestanden en uitvoer lopen via onze API, en dat is de enige deur.

Drie manieren om erin te komen:

• MCP — als je agent in Claude, Cursor, Cline of een andere MCP-client leeft, krijgt hij de sandboxtools naast de VPS-tools. Geen code aan jouw kant.
• Python- of TypeScript-SDK — pip install eqvps of npm i @eqvps/sdk, daarna aanmaken, uitvoeren, verwijderen.
• Gewoon REST — beschreven in de sandboxdocumentatie en de OpenAPI-specificatie.

Een minimale lus in Python:

from eqvps import Sandbox

with Sandbox.create(tariff="small") as sb:
    sb.upload("/root/task.py", agent_generated_code)
    result = sb.exec("python3 /root/task.py", timeout=55)
    print(result.exit_code, result.stdout[-2000:])
# the sandbox is deleted here, also if anything above raised

Een exitcode die niet nul is, komt terug als normaal resultaat, niet als exception. Precies wat je wilt als de agent de traceback moet lezen en het opnieuw moet proberen.

De gevaarlijke gevallen en wat ermee gebeurt

Een vijandig of gewoon kapot pakket. Het draait in een VM waar niets van jou in zit. Sandbox verwijderen en het is weg.

Geheimen. Zet je belangrijkste API-sleutels niet in code die de agent schrijft. Heeft een taak er echt een nodig, geef hem dan mee als omgevingsvariabele van de sandbox: waarden worden versleuteld opgeslagen, nooit gelogd, en de API geeft alleen hun namen terug.

Eindeloze lussen. Elk commando stopt na 55 seconden, tenzij je het als achtergrondtaak hebt gestart. Een inactieve ephemeral sandbox verwijdert zichzelf na zijn idle-timeout (standaard 5 minuten). Een dag- of maandlimiet op uitgaven stopt nieuwe sandboxes zodra de agent genoeg heeft uitgegeven voor vandaag.

Data die naar buiten lekt. Hier moeten we eerlijk zijn: uitgaand internet staat open, want zonder werkt pip install niet. Een sandbox beschermt jouw machine; hij houdt code niet tegen die alles wat hij in de sandbox kan lezen naar internet stuurt. De regel is dus simpel: stop er alleen in wat je kunt missen.

Een tarief kiezen

Afrekening per seconde met een minimum van 60 seconden, van hetzelfde prepaid saldo als onze VPS. Een typische agenttaak — aanmaken, twee pakketten installeren, uitvoeren, verwijderen — blijft op small onder een minuut en wordt dus voor het minimum van 60 seconden berekend: ongeveer $0.0006. Eerlijk gezegd is voor een agent die een paar honderd keer per dag code draait de sandboxrekening de kleinste post in het budget; de LLM-tokens kosten veel meer.

Wanneer een sandbox het verkeerde gereedschap is

Moet de agent iets serveren — een webapp, een webhook-ontvanger, een bot die naar berichten luistert —, dan werkt een sandbox niet, want van buitenaf is hij niet bereikbaar. Hetzelfde geldt voor een dienst die maandenlang moet draaien. Dat is werk voor een VPS: zie VPS voor AI-agents. Een gangbare verdeling: de agent woont op een kleine VPS en maakt een sandbox aan voor elk stuk code dat hij nog niet kent.

De andere grens is langdurig zwaar rekenwerk. Een sandbox die langer dan 15 minuten op volle CPU draait, geldt als misbruik; lange rekenklussen horen op een server die je per maand huurt.

Aan de slag

Maak een account, haal een token op en start de eerste sandbox — de verbindingshandleiding loopt alle stappen door, en nieuwe accounts krijgen $1 sandboxtijd om te proberen. Wijs de agent daarna op de sandboxpagina of de MCP-tools en laat hem dingen kapotmaken waar kapotmaken niets kost.

Stap voor stap: je eerste agenttaak in een sandbox. Gerelateerd: geïsoleerde CI-testruns, LLM-evaluatie en code review en PR-checks.