Arrakis：给 AI Agent 用的安全沙箱，让代码执行与状态回溯兼得

图1：Arrakis 高层架构 — REST Server 管理多个 MicroVM 沙箱实例，支持快照恢复与自动端口转发

一个真实的技术困境

想象一下：你给 AI Agent 一个任务——「帮我写一个在线文档编辑器，并部署到测试服务器」。Agent 愉快地开始写代码，运行测试，修改系统配置。突然，它执行了一条 rm -rf 命令，误删了整个项目目录。

这并不是虚构的灾难。AI Agent 生成恶意或 Bug 代码导致系统被攻击、文件系统被破坏的案例，在 AI Agent 编程工具（如 Claude Code、Cursor、Windsurf）大规模落地的今天，已经成为真实的运维挑战。传统沙箱方案要么隔离性不够，要么不支持有价值的「回溯」能力——当 Agent 需要从中间状态重新探索时，无法回到之前的快照点。

Arrakis 正是为解决这一困境而生的：它提供安全的自托管沙箱，每个沙箱运行在轻量级 MicroVM 中，内置 snapshot-and-restore（快照回溯） 功能，让 AI Agent 既能安全执行任意代码，又能在需要时恢复到之前的精确状态。

项目背景与核心定位

Arrakis 由独立开发者 abshkbh 开发并维护（GitHub uid: 38491450），采用 AGPL-3.0 开源协议，同时支持商业授权。该项目在 GitHub 积累了 816 颗星，专注于为 AI Agent 编程工具提供企业级安全执行环境。

项目命名「Arrakis」取自科幻小说《沙丘》中的沙漠星球——一个充满危险但蕴含巨大能量的世界，隐喻沙箱内运行不可信代码的定位。

核心功能：从启动沙箱到状态回溯

MicroVM 隔离：比 Docker 更安全的边界

Arrakis 底层使用 cloud-hypervisor（Rust 编写的高性能 VMM）启动轻量级虚拟机来运行沙箱。与 Docker 容器共享宿主机内核不同，每个 Arrakis 沙箱都运行独立的 Linux 系统，有独立的内核和根文件系统。这意味着即使用户在沙箱内执行了提权漏洞利用，攻击面也仅限于当前 VM，无法穿透到宿主机。

项目同时使用了 overlayfs 保护每个沙箱的根文件系统，防止恶意修改影响 VM 镜像本身的安全基线。

Snapshot & Restore：赋予 Agent「后悔药」

这是 Arrakis 最具差异化的功能。通过 cloud-hypervisor 的快照能力，Arrakis 支持在任意时刻创建沙箱快照，并在之后恢复到该精确状态。快照包含：VM 内存状态、磁盘状态、所有进程和文件。

应用场景极其广泛：

• Monte Carlo Tree Search（MCTS）Agent：探索多种方案，每条路径快照后回退再试
• 长流程 Agent：在关键节点自动创建快照，失败后无需从头开始
• 可解释性审计：记录 Agent 每步操作，任意回溯复现执行路径

Python SDK 示例：

sandbox_manager = SandboxManager('http://127.0.0.1:7000')
sandbox = sandbox_manager.start_sandbox('agent-sandbox')
sandbox.run_cmd("echo 'data' > /tmp/testfile")
snapshot_id = sandbox.snapshot("checkpoint-1")
sandbox.run_cmd("echo 'new data' > /tmp/testfile")
sandbox.destroy()
sandbox = sandbox_manager.restore('agent-sandbox', snapshot_id)
# 此时沙箱恢复到 snapshot 时刻，/tmp/testfile 内容为 'data'

自动端口转发与 VNC 远程桌面

每个沙箱启动时，Arrakis 自动配置：

• TAP 设备 + Linux 网桥：为每个沙箱分配独立 IP（10.20.1.x），接入宿主机的虚拟网络
• 自动端口转发：将沙箱内的 VNC（5901）、代码服务器（4030）等端口映射到宿主机可访问的 host_port
• noVNC 集成：通过浏览器直接访问沙箱图形界面，包括预装的 Chrome 浏览器，支持「computer use」场景

用户无需手动配置 SSH 隧道或网络，Arrakis 自动处理所有端口映射细节。

三种客户端接口：覆盖人类到 Agent

REST API（arrakis-restserver）： 后台常驻进程（daemon），暴露完整的沙箱生命周期管理接口（start/stop/destroy/list/restore/snapshot），API 规范见 api/server-api.yaml。

Python SDK（py-arrakis）： 封装 REST API，提供更友好的 Pythonic 接口，支持 context manager 自动管理沙箱生命周期（退出时自动 destroy）。

MCP Server（arrakis-mcp-server）： 适配 Model Context Protocol，集成到 Claude Desktop App、Windsurf、Cursor 等支持 MCP 的 Agent 编程工具中，让这些工具可以直接在配置文件中声明 Arrakis 作为代码执行后端，无需额外编程。

CLI 客户端（arrakis-client）： Go 编写的命令行工具，适合 DevOps 场景和脚本集成。

根文件系统自定义

Arrakis 支持通过 Dockerfile 方式定制沙箱的根文件系统（rootfs），可以预装特定工具、依赖库或配置，供特定工作流使用。详细定制方案见 docs/detailed-README.md。

技术架构拆解

组件	技术选型	职责
VMM	cloud-hypervisor	MicroVM 生命周期管理
编程语言	Go	REST Server、CLI 客户端
沙箱 OS	Ubuntu（自定义 rootfs）	独立 Linux 执行环境
网络	TAP 设备 + Linux Bridge	沙箱间/宿主机网络隔离
文件系统	overlayfs	保护根文件系统
API 规范	OpenAPI 3.0	REST 接口文档化
客户端 SDK	Python	py-arrakis
Agent 集成	MCP	Claude Desktop / Windsurf / Cursor

代码结构：

• cmd/restserver：REST API 服务端
• cmd/client：CLI 客户端
• pkg/：共享核心库
• resources/scripts/rootfs/Dockerfile：沙箱根文件系统定义
• api/server-api.yaml：OpenAPI 规范

部署门槛与注意事项

Linux only：这是硬性要求。cloud-hypervisor 依赖 /dev/kvm，只能在 Linux 宿主机运行，不支持 macOS 或 Windows（WSL 未测试）。

KVM 虚拟化：宿主机必须启用 CPU 虚拟化扩展（Intel VT-x / AMD-V），且当前用户有 /dev/kvm 访问权限。

不支持 Docker 部署：Arrakis 本质上就是 Docker 的替代方案（更安全的隔离），因此没有提供 Docker 镜像。用户需要从源码或官方 release 下载预编译二进制，配合 setup.sh 脚本完成环境初始化。

内存需求较高：默认配置下，每个沙箱分配 30% 宿主机内存（可配置）。若要同时运行多个沙箱，宿主机内存需要相应增加。

磁盘空间：需要预置 Linux kernel 镜像、rootfs 镜像、initramfs 等资源，单个沙箱镜像约 2GB。

行业意义与局限性

意义

随着 Claude Code、Cursor、Windsurf 等 Agent 编程工具从爱好者玩具走向企业生产环境，「AI Agent 失控执行」的风险已经从理论变成现实威胁。Arrakis 代表了一个重要的技术方向：用虚拟机级别的隔离换取可控的 AI 代码执行，同时通过 snapshot-and-restore 保留 Agent 工作流的灵活性。

它填补了当前 Agent 工具链中「安全执行层」的开源空白——此前类似能力主要存在于闭源商业产品（如 Modal、Codium AI）或大型云平台（Google Vertex AI Agent Builder）中。

局限性

• 性能开销：MicroVM 启动比 Docker 容器慢（秒级 vs 毫秒级），不适合高频短时任务
• 运维复杂度：需要维护 KVM 环境、bridge 网络、磁盘镜像，不适合个人开发者一键上手
• 社区规模：项目 star 数 816，不算活跃，贡献者数量有限，长期维护依赖作者个人投入
• 云端部署：GCP GCE 有官方部署指南，但其他云厂商（如 AWS EC2）需要自行处理网络配置

快速体验

# 一键安装（Ubuntu/Debian）
curl -sSL https://raw.githubusercontent.com/abshkbh/arrakis/main/setup/setup.sh | bash

# 启动 REST 服务
cd arrakis-prebuilt
sudo ./arrakis-restserver

# 启动一个沙箱
./out/arrakis-client start -n agent-sandbox

# Python SDK 方式
pip install py-arrakis

AI Agent 编程时代需要一个可靠的安全执行环境。Arrakis 用 MicroVM + snapshot 的组合，提供了一条介于「Docker 容器隔离」和「完整物理机」之间的中间路线，值得关注。