Песочница для ИИ-агентов: недоверенный код в микро-VM, которая стартует за секунду

Любой агент, который пишет код, рано или поздно должен его запустить. В этом весь смысл такого агента — и в этом же неприятная часть. Модель только что выдала скрипт, который сама ни разу не выполняла: он ставит пакеты, которые никто не проверял, и трогает файлы, которые никто не перечислял. Запускать это рядом со своими SSH-ключами и боевым .env — ставка, которую вы делаете по многу раз в день.

Песочница делает эту ставку дешёвой. Код получает собственную Linux-машину на несколько секунд или минут, а потом машины больше нет.

Что получает агент

Каждая песочница — это Firecracker microVM: своё ядро, своя файловая система, своё сетевое пространство имён. Это не контейнер на вашем ядре и не папка на вашем сервере. Запуск занимает около секунды, и это важно, когда агент поднимает песочницу на каждую задачу, а не раз в день.

Внутри — Python 3.12 с pip, Node.js 22 с npm, bash, git и curl. Исходящий интернет работает: агент может сделать pip install pandas или склонировать репозиторий. Входящий — нет: ни открытых портов, ни SSH. Команды, файлы и вывод ходят через наш API, и это единственная дверь.

Три способа подключиться:

• MCP — если ваш агент живёт в Claude, Cursor, Cline или любом другом клиенте с MCP, инструменты песочниц появятся рядом с инструментами VPS. Кода с вашей стороны не нужно.
• SDK для Python или TypeScript — pip install eqvps или npm i @eqvps/sdk, дальше создать, запустить, удалить.
• Обычный REST — описан в документации по песочницам и в спецификации OpenAPI.

Минимальный цикл на Python выглядит так:

from eqvps import Sandbox

with Sandbox.create(tariff="small") as sb:
    sb.upload("/root/task.py", agent_generated_code)
    result = sb.exec("python3 /root/task.py", timeout=55)
    print(result.exit_code, result.stdout[-2000:])
# the sandbox is deleted here, also if anything above raised

Ненулевой код возврата приходит как обычный результат, а не исключение. Это ровно то, что нужно, когда агенту надо прочитать traceback и попробовать ещё раз.

Опасные случаи и что с ними происходит

Враждебный или просто сломанный пакет. Он выполняется внутри VM, где нет ничего вашего. Удалили песочницу — его больше нет.

Секреты. Не вставляйте свои основные API-ключи в код, который пишет агент. Если задаче ключ действительно нужен, передайте его переменной окружения песочницы: значения хранятся зашифрованными, не попадают в логи, а API отдаёт только их имена.

Бесконечные циклы. Каждая команда останавливается через 55 секунд, если вы не запустили её фоновой задачей. Простаивающая эфемерная песочница удаляет себя сама после idle-таймаута (по умолчанию 5 минут). Дневной или месячный лимит трат перестаёт создавать новые песочницы, когда агент потратил достаточно на сегодня.

Утечка данных наружу. Тут надо говорить прямо: исходящий интернет открыт, потому что без него не работает pip install. Песочница защищает вашу машину, но не мешает коду отправить в интернет всё, что он может прочитать внутри песочницы. Поэтому правило простое: кладите в песочницу только то, что не жалко потерять.

Выбор тарифа

Оплата посекундная с минимумом 60 секунд, с того же предоплаченного баланса, что и наши VPS. Типичная задача агента — создать, поставить два пакета, запустить, удалить — укладывается меньше чем в минуту на small, поэтому списывается минимум в 60 секунд: около $0.0006. Честно говоря, для агента, который запускает код несколько сотен раз в день, счёт за песочницы — самая маленькая строка в бюджете; токены LLM обходятся гораздо дороже.

Когда песочница — не тот инструмент

Если агенту нужно что-то обслуживать — веб-приложение, приёмник вебхуков, бота, который слушает сообщения, — песочница не подойдёт: снаружи до неё не достучаться. То же с долгоживущим сервисом, который должен работать месяцами. Это работа для VPS: смотрите VPS для ИИ-агентов. Частая схема — агент живёт на небольшом VPS и создаёт песочницу для каждого куска кода, который видит впервые.

Второе ограничение — долгие тяжёлые вычисления. Песочница, которая держит CPU на максимуме дольше 15 минут, считается злоупотреблением, так что длинные расчёты лучше держать на сервере, арендованном помесячно.

С чего начать

Создайте аккаунт, получите токен и запустите первую песочницу — руководство по подключению проводит через все шаги, а новым аккаунтам даётся $1 времени песочниц на пробу. Затем направьте агента на страницу песочниц или на инструменты MCP и дайте ему ломать вещи там, где ломать бесплатно.

По шагам: первая задача агента в песочнице. По теме: изолированные прогоны тестов в CI, оценка LLM и ревью кода и проверка PR.