在現代 AI 基礎設施中，沙箱（Sandbox）已從早期的容器原語演變為 AI Agent（AI 代理人）執行任務的核心環境。由於 AI Agent 需要在隔離環境中執行不可信的代碼，且其使用模式通常是間歇性的，這對雲端基礎設施提出了極高的挑戰：既要確保強大的硬體級隔離，又要實現毫秒級的啟動速度，同時還要維持極高的伺服器密度以降低成本。
傳統的虛擬機（VM）雖然提供強隔離，但啟動緩慢且資源開銷大；容器（Container）雖然快速，但在多租戶環境下的隔離強度不足。Unikraft 提出的解決方案是透過將 Unikernel（單核作業系統）的理念引入微型虛擬機（microVM），在單台伺服器上實現百萬級別的沙箱部署，並達成「縮減至零」（Scale-to-Zero）的狀態管理。
隔離原語與信任計算基底
要理解 Unikraft 的優勢，首先必須分析不同隔離技術的信任計算基底（Trusted Computing Base, TCB）。TCB 指的是系統中所有關鍵的軟體組件，其代碼量越大，潛在的安全漏洞就越多。
在容器模型中，所有容器共享同一個主機作業系統核心（如 Linux Kernel），這意味著數千萬行代碼構成了 TCB，一旦核心被攻破，所有容器都將面臨風險。相比之下，虛擬機透過 Hypervisor（虛擬化管理程序）將硬體資源切分，每個 VM 擁有獨立的核心，其 TCB 僅為輕量級的 Hypervisor，安全性顯著提高。
然而，傳統 VM 的問題在於過於臃腫。Unikraft 採用的 Unikernel 概念，是將應用程式與其運行所需的最小化作業系統組件直接編譯在一起，剔除所有不必要的驅動、 shelling 或多餘的系統服務。這種做法將 VM 轉化為一個專門為單一任務設計的輕量級映像檔，從而兼顧了 VM 的安全性與容器的輕量化。
實現毫秒級冷啟動與狀態恢復
為了讓使用者感知不到 VM 的啟動延遲，Unikraft 針對整個請求鏈路進行了深度優化。當一個請求進入系統時，流程如下：代理伺服器（Proxy）緩衝請求 $\rightarrow$ 控制器（Controller）確認 VM 狀態 $\rightarrow$ VMM（虛擬機監控器，如 Firecracker）喚醒 VM $\rightarrow$ 請求送達應用程式。
為了將此過程壓縮至 10 毫秒內，Unikraft 引入了快照（Snapshot）技術。快照是指將運行中 VM 的記憶體狀態完整記錄到磁碟上。對於啟動緩慢的應用（如 JVM 應用），系統會先啟動一次 VM，待其完成初始化後拍攝快照。後續所有新實例直接從該快照恢復，跳過了漫長的啟動過程。
此外，快照還支持「有狀態的縮減至零」。當 AI Agent 處於閒置狀態時，系統將其記憶體狀態快照後關閉，釋放 CPU 與記憶體；一旦有新請求，立即從快照恢復到之前的運行狀態，使用者完全感覺不到服務曾被關閉。
極致密度與 Linux 核心的限制
要在單機部署百萬個沙箱，面臨的最大挑戰不再是 VM 本身，而是 Linux 主機核心的限制。在測試過程中，當 VM 數量增加到數萬個時，Linux 核心的 TAP 設備（虛擬網路接口）會導致核心鎖（Kernel Lock）凍結，且 IPv6 的鎖競爭以及網路橋接的端口限制會導致系統崩潰。
為了突破這些瓶頸，Unikraft 採取了多項底層優化： 第一，將組件間的通信從網路協定改為共享記憶體（Shared Memory），大幅降低網路棧的開銷。 第二，開發差異化快照（Differential Snapshots）與壓縮快照，僅記錄狀態變更的部分，以解決 NVMe 儲存空間不足的問題。 第三，採用 Distroless 分發模式，將 Linux 核心精簡至極限，並將 Dockerfile 中的應用直接作為 init 進程啟動，消除所有不必要的用戶空間開銷。
實務意義與 AI 應用場景
這種高密度、快啟動的沙箱架構對於 AI Agent 具有極高的實務價值。例如，無頭瀏覽器（Headless Browser）是 AI Agent 獲取網頁資訊的工具，但 Chromium 等瀏覽器啟動緩慢且極其耗能（單個實例可能占用 4GB 至 16GB 記憶體）。透過 Unikraft 的縮減至零技術，系統可以在需要時毫秒級喚醒瀏覽器，完成任務後立即回收，從而將伺服器容量提升數百倍。
在部署維運方面，為了兼容現有的生態系，Unikraft 開發了虛擬 Kubelet（Virtual Kubelet），使其能像普通節點一樣接入 Kubernetes 集群。對 Kubernetes 而言，Pod 始終處於運行狀態，但底層實際上是在毫秒級地進行 VM 的喚醒與休眠。
限制與安全考量
儘管提供了強大的隔離，但這種架構並非萬能。首先，硬體資源仍有物理上限，當併發請求超過 CPU 核心處理能力時，系統仍需透過排隊或水平擴展至更多 EC2 實例來緩解。其次，在安全層面，雖然 VM 隔離了主機，但若 AI Agent 在 VM 內部獲取了 root 權限，仍能控制該 VM 內的所有資源。因此，敏感的憑證（Credentials）不應直接放入沙箱，而應由外部代理伺服器在請求時動態注入。
總結來說，Unikraft 證明了透過精細的工程優化，雲端基礎設施不必在速度、規模與安全性之間做三選二，而是可以同時實現這三個目標。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。