¿Cómo configura CubeSandbox un entorno de aislamiento para AI Agent: ejecución simultánea, permisos y compensaciones de costos?

Sun, 12 Jul 2026 10:35:00 +0800

Cuando un agente de IA necesita ejecutar código, instalar dependencias, acceder a páginas web, llamar a herramientas o continuar realizando tareas largas, la pregunta ya no es simplemente “¿puede ejecutarse?” pero “¿dónde debe ejecutarse esta instrucción incompleta o no confiable, a qué se puede acceder y cómo detenerla y revertirla después de que ocurre un error?”. CubeSandbox es un servicio sandbox para agentes, que se centra en un inicio rápido, alta concurrencia y aislamiento a nivel de hardware KVM.

Es adecuado para separar la superficie de ejecución del Agente del host y el entorno de producción. No se trata de hacer que todo sea automáticamente seguro: el equipo aún debe configurar explícitamente los directorios montados, las salidas de red, las credenciales inyectadas, las plantillas de imágenes y las cuotas de programación.

Primero determine si realmente necesita CubeSandbox

No todos los agentes requieren una máquina microvirtual. Puedes elegir por riesgo y tipo de tarea:

Escenario	Manera más apropiada	Razón
Preguntas y respuestas sobre código de solo lectura, búsqueda estática	Herramientas locales de solo lectura o MCP restringido	No es necesario iniciar un entorno de ejecución independiente
Ejecute pruebas unitarias, instale dependencias y ejecute código generado	CubeSandbox u otros entornos limitados de aislamiento fuerte	Es posible que no se confíe en el código y las dependencias y se escribirán en el sistema de archivos.
Evaluación de agentes de alta concurrencia, tareas por lotes, automatización del navegador	Clúster CubeSandbox	Necesidad de crear, reciclar y aislar rápidamente múltiples unidades de ejecución
Operar la base de datos de producción, enviar correos electrónicos e implementar	Aprobación manual y sistema dedicado controlado	Sandbox no puede reemplazar el proceso de cambio y autorización comercial

Si el agente solo necesita recuperar archivos y proponer parches, comience con permisos de solo lectura y revisión de diferencias. Solo cuando la tarea realmente necesite ejecutar código que no sea de confianza o una gran cantidad de concurrencia, introduzca una zona de pruebas completa para evitar el uso de la complejidad de la infraestructura para resolver un problema que pueda manejarse mediante políticas de permisos.

¿Cuál es el modelo de aislamiento de CubeSandbox?

CubeSandbox se basa en RustVMM y KVM y proporciona un kernel de sistema operativo invitado independiente para cada sandbox. Su objetivo es reducir el alcance del impacto causado por las fugas de contenedores en comparación con los contenedores normales que comparten el kernel host; el repositorio también proporciona componentes como aislamiento de red eBPF, control de salida, auditoría y bóvedas de credenciales.

Estos conceptos deben entenderse por separado:

Aislamiento informático: restringe el agente para que ejecute código en su propio entorno limitado y no obtiene directamente los permisos del kernel y del proceso del host.
Aislamiento de archivos: determina qué directorios montados, plantillas y volúmenes persistentes puede ver el entorno aislado.
Aislamiento de red: decida a qué dominios, API y servicios internos puede acceder.
Aislamiento de identidad: determina si las credenciales van directamente al contexto del entorno, el registro o el modelo.
Aislamiento empresarial: determine si el Agente tiene derecho a modificar datos reales, enviar mensajes o activar la implementación.

KVM puede mejorar las primeras cuatro capas, pero no puede automatizar la última capa. Incluso si el código se ejecuta en una máquina virtual independiente, obtener un token de producción con altos privilegios aún puede causar un impacto comercial real.

Condiciones básicas antes del despliegue.

Requisitos oficiales de inicio rápido Entorno Linux x86_64 con soporte KVM. Admite la implementación de un solo nodo y también se puede expandir a un clúster de múltiples nodos; la solución del entorno de desarrollo se puede usar cuando no hay KVM, pero está oficialmente marcado como de bajo rendimiento y no debe usarse directamente como punto de referencia de producción de alta concurrencia.

Al preparar el ambiente, primero confirme:

La virtualización de la CPU está habilitada en el BIOS y el sistema host, y los dispositivos KVM están disponibles.
Las responsabilidades de los nodos de control, los nodos informáticos y las ubicaciones de almacenamiento se dividen para que el plano de control no se mezcle con datos comerciales.
La fuente de la imagen o plantilla es rastreable y contiene una versión fija del tiempo de ejecución, el administrador de paquetes y las herramientas básicas.
Los registros, indicadores y datos de auditoría tienen políticas de almacenamiento y retención independientes y no dependen del Agente para explicar lo sucedido.
La capacidad de detener entornos aislados individuales, detener colas o cortar salidas en caso de excepciones, en lugar de simplemente detener todo el clúster.

Una vez completada la instalación, la consola web oficial utiliza el puerto :12088 del nodo de control de forma predeterminada. La consola debe colocarse en una red restringida y no expuesta directamente a la red pública; establezca reglas de acceso a la red y autenticación de identidad independientes para los administradores.

Cómo planificar la simultaneidad

Una de las ventajas de CubeSandbox es su rápida creación y funcionamiento de alta densidad. El punto de referencia oficial describe el arranque en frío como una concurrencia única promedio de menos de 60 ms y proporciona una sobrecarga de memoria básica de menos de 5 MB para instancias de tamaño pequeño; sin embargo, estos son datos de rendimiento en un entorno específico y no deben equipararse directamente con su capacidad empresarial.

Al planificar la simultaneidad, divida la capacidad en cuatro variables:

Variables	Preguntas para hacer	Malentendidos comunes
Longitud de la cola	¿Cuántas tareas del Agente están esperando ser ejecutadas al mismo tiempo?	Mire únicamente el volumen promedio de solicitudes, no los picos
Recursos de tarea única	¿Cuáles son la CPU, la memoria, el disco y el tiempo de ejecución de cada tarea?	Solo se evalúan los tokens del modelo, no se evalúan la compilación ni la instalación de dependencias.
Visitas de plantilla	¿La tarea utiliza plantillas precalentadas o reinstala dependencias con frecuencia?	Todas las tareas comienzan desde una imagen vacía.
Cuellos de botella externos	¿Puede la red, la API de LLM, la base de datos o el servicio de navegador tolerar la concurrencia?	Si el sandbox es lo suficientemente rápido, todo el enlace se considera lo suficientemente rápido

Se recomienda comenzar con una pequeña cantidad de simultaneidad, utilizar tareas reales para medir la latencia de creación, el tiempo de ejecución, la tasa de fallas, el pico de memoria y el volumen de solicitudes de salida, y luego establecer límites superiores por inquilino, por proyecto y por tipo de tarea. No entienda que “puede ejecutar una gran cantidad de instancias en un solo nodo” significa que puede aceptar solicitudes externas ilimitadas.

La configuración de permisos debe seguir el alcance mínimo

El estado predeterminado más seguro es: sin montajes, sin credenciales, sin salidas de red y sin persistencia. Luego agregue capacidades una por una, tarea por tarea.

Una jerarquía de permisos ejecutable puede ser:

Sandbox de análisis de solo lectura: instantáneas de código de solo lectura, sin red, sin claves, permite análisis estático y planificación de pruebas.
Crear y probar Sandbox: directorio de trabajo temporal grabable, permite descargar dependencias desde fuentes internas del producto y no monta el directorio del proyecto host.
Sandbox de integración controlada: solo permite el acceso a las API de prueba incluidas en la lista blanca, la bóveda inyecta las credenciales a pedido y se establece un período de validez mínimo.
Tarea de aprobación manual: cuando se trate de subcontratación, datos de producción, recursos pagados o cambios de infraestructura, primero haga una pausa y solicite aprobación para evitar que el Agente obtenga capacidades directamente.

No monte todo el directorio de inicio del usuario, el socket Docker, el directorio de clave privada SSH, el directorio de credenciales de la nube ni la configuración de producción. El montaje es más decisivo que la palabra indicadora: una vez que se puede escribir en un directorio, el código o las herramientas generados por el agente pueden afectar todo lo que contiene.

Cómo se manejan las salidas de red y las credenciales

CubeSandbox proporciona CubeEgress para filtrado de nombres de dominio, inyección de credenciales y auditoría de acceso. El objetivo es evitar que las claves API ingresen directamente al entorno sandbox, al contexto del modelo o a los registros ordinarios. Aún necesita verificar sus propias políticas al usarlas, en lugar de tratar la “bóveda de credenciales” como una marca libre de auditoría.

Sugerencias:

La red externa está denegada de forma predeterminada y sólo se permiten los nombres de dominio y puertos necesarios para la tarea;
Incluya en la lista blanca el repositorio de paquetes, la API modelo, el servicio de prueba y la documentación interna, respectivamente;
Utilice credenciales revocables, de corta duración y con privilegios mínimos para cada tipo de tarea;
Registre el objetivo de la solicitud, la hora, el ID de la tarea y el código de resultado, pero no registre la clave completa ni el cuerpo de la solicitud confidencial;
Detenga y alerte automáticamente las tareas cuando se produzcan nombres de dominio desconocidos, tráfico anormal o fallas repetidas de autenticación.

La lista de permitidos de red puede reducir las conexiones externas irrelevantes, pero no puede determinar si la solicitud de servicio es correcta. Para los planos de pago, datos de usuario y control de producción, la autenticación, la aprobación y la limitación de tasas aún deben implementarse en el lado del sistema empresarial.

Cómo las pausas automáticas, las instantáneas y las reversiones reducen los costos

Las tareas largas no significan mantener cada entorno funcionando para siempre. CubeSandbox proporciona pausa/reanudación automática, así como capacidades de instantánea, clonación y reversión, que pueden usarse para reducir los costos inactivos y acelerar el inicio de tareas similares.

El uso razonable es:

Establecer una pausa automática para entornos de desarrollo o evaluación inactivos;
Cree plantillas o instantáneas después de instalar dependencias estables y configurar el tiempo de ejecución;
Utilice clones para ejecutar copias simultáneas de la misma tarea en lugar de instalarlas repetidamente desde cero;
Regresar a un punto de control conocido cuando ocurre una excepción en la modificación del Agente;
Calcule los costos de almacenamiento por separado para instantáneas, registros, volúmenes persistentes y entornos de pausa prolongada.

La suspensión automática ahorrará recursos informáticos, pero provocará retrasos en la recuperación; las instantáneas y los volúmenes persistentes mejoran la reproducibilidad, pero también aumentan la carga de gestión del ciclo de vida y el almacenamiento. El modelo de costos debe incluir computación, almacenamiento, salida de la red, creación de plantillas, observación y tiempo de revisión manual.

El proceso de ejecución segura de una tarea de Agente

Las tareas de alto riesgo se pueden ejecutar en el siguiente orden:

Después de recibir la tarea, clasifíquela primero: solo lectura, prueba de compilación, integración controlada o requiere aprobación.
Seleccione una plantilla mínima, una cuota de recursos, un período de validez y una lista blanca de red para la tarea.
Cree un entorno limitado independiente y registre el ID de la tarea, la versión de la plantilla y la versión de la política.
Ejecute comandos dentro del entorno sandbox y recopile resultados estándar, códigos de salida, uso de recursos y auditorías de red en tiempo real.
Pause y solicite aprobación para acciones que escriban en sistemas externos, utilicen credenciales confidenciales o excedan el presupuesto.
Genere resultados, diferencias, registros de pruebas y fuentes de citas en lugar de simplemente “hecho”.
Reciclar la zona de pruebas temporal; pausar o guardar la instantánea de acuerdo con la política cuando sea necesario reutilizarla.

Este proceso también se aplica a [Cómo recuperarse después de una interrupción prolongada de la tarea del Agente AI] (/es/2026/07/10/ai-agent-long-task-resume-guide/): al recuperar, primero verifique si la instantánea, la entrada de la tarea y la política de permisos aún son válidas y no continúe ciegamente la ejecución desde el estado anterior.

Malentendidos comunes

“Con KVM, no hay necesidad de control de permisos”

Error. KVM aísla principalmente el entorno informático; Los permisos de montaje, red, credenciales y API empresarial aún están determinados por su configuración. La combinación más peligrosa suele ser una máquina virtual fuertemente aislada junto con tokens de producción sobreautorizados.

“Cuanto mayor sea la concurrencia, menor será el coste”

No necesariamente. La alta concurrencia amplificará la presión sobre la API de LLM, la base de datos, el ancho de banda, la extracción de imágenes y los sistemas de registro. Primero establezca cuotas, colas y estrategias de pausa y luego, gradualmente, realice pruebas de estrés en lugar de prueba y error en tareas de usuarios reales.

“No hay coste después de la suspensión automática”

Un entorno en pausa aún puede consumir instantáneas, volúmenes persistentes, registros y recursos del plano de control. Se deben establecer reglas de limpieza de vencimiento y se deben utilizar estadísticas de frecuencia de recuperación para evitar convertir cachés de corto plazo en activos permanentemente inactivos.

Resumen

CubeSandbox es adecuado para entornos de ejecución que necesitan ejecutar código que no es de confianza, llamadas a herramientas o agentes de alta concurrencia. Su valor radica en aislar jerárquicamente la computación, los archivos, las redes y las credenciales, y controlar los costos de inicio y recursos con pausas, plantillas, instantáneas y clones. Una configuración verdaderamente segura no es “abrir un sandbox”, sino establecer permisos mínimos, ejecución observable, aprobación clara y ciclos de vida reciclables para cada tipo de tarea.

Almacén oficial: https://github.com/TencentCloud/CubeSandbox

CubeSandbox on KnightLi Blog