开源 Terrarium：用带显式权限的本地 VM 沙箱跑 AI Agent

v_0009 · reddit · 2026-11-07

作者开源了 Terrarium——在本地持久化 Linux 虚拟机（"box"）中运行 AI agent 的沙箱工具，灵感来自 pi.dev，Apache-2.0 协议，现为 beta。

核心机制：

YAML recipe 声明 box 可读写哪些宿主目录、可访问哪些网络目标，其余对所有进程（agent 及其启动的工具）一律封禁；空 recipe 即零共享零网络。
每个 box 是完整 VM、独立内核，非共享内核的容器；相比 Firecracker 等是开箱即用的单二进制工具，网络策略在 VM 外强制执行，Linux/macOS/Windows 同一 recipe。
实现上：基于 rust-vmm 组件的小型定制 VMM，文件/块/网络设备以 WebAssembly 组件运行，各自有内存上限与受限宿主函数；VM 进程本身无网络，连接经独立的沙箱 broker 校验；Linux 版用静态分析生成 per-role seccomp 白名单。
日常体验：工具装一次持久保留、内置终端复用、单个可执行文件自带内核与 Alpine 基础系统；已有 box 启动并跑首条命令 <200ms，空闲约占 45MB 宿主内存。

限制：授权仍有效（可写目录可被删、传入凭据可被读）；尚无 CPU/内存/磁盘配额。支持 Linux（KVM）、Apple Silicon、Windows（含 arm64 构建）。仓库含 quickstart 与示例 recipes。

「编程与Agent」频道最新