E2B sandbox pro AI agenty: izolace, snapshoty a český přínos

Co je E2B a co sandbox pro AI agenty vlastně řeší

E2B staví dočasné microVM sandboxy, v nichž mohou AI agenti bezpečně spouštět kód. Čtenářům to přináší jasnější odpověď na otázku, kde takový kód běží, co ho od ostatního systému odděluje a kdy se jeho izolace vyplatí. Zároveň ukazuje, že sandbox pro AI agenta není jen označení v názvu produktu.

E2B je startup s českými zakladateli a týmem působícím v Praze i San Franciscu. Právně je to FoundryLabs Inc. se sídlem v San Franciscu. Nabízí open-source runtime a SDK pod licencí Apache-2.0 pro izolovaná prostředí, v nichž může AI agent spustit kód, pracovat s daty a pokračovat v práci.

Označení „sandbox“ zde není jen marketingová nálepka. Představuje bezpečnostní hranici mezi kódem, kterému nedůvěřujeme, a systémem, ke kterému by neměl přístup.

V diskusi se názor rozdělil. Několik lidí považovalo E2B za dobře prodanou systémovou utilitu, jiní poukazovali, že bezpečné spouštění kódu agentů není triviální a že podobné produkty existují i jinde. Zásadní otázka tedy nezní, zda je startup český, ale zda jeho architektura skutečně zlepšuje izolaci, rychlost a provozní bezpečnost.

Termín, který přesněji popisuje tento přístup, je ephemeral microVM sandbox: krátce žijící virtuální prostředí vytvořené pro jednu úlohu. E2B používá virtualizaci založenou na Firecrackeru. Každý sandbox má vlastní linuxové jádro, na rozdíl od běžného kontejneru, který sdílí jádro s hostitelem.

Izolace, snapshoty a stav mezi kroky

E2B může sandbox pozastavit a obnovit ze snapshotu. Filesystem i paměť zůstávají zachované, takže agent nemusí při každém dalším kroku znovu instalovat závislosti nebo připravovat prostředí.

Oficiální dokumentace uvádí, že obnovení sandboxu trvá přibližně 1 sekundu a pozastavení přibližně 4 sekundy na 1 GiB RAM. Samotná investice ani architektura E2B ale nejsou zárukou stejného výkonu ve všech konfiguracích.

Toto je praktické know-how, které stojí za produktem více než samotný název „AI-native cloud“. Umožňuje rozdělit práci na kratší úseky. Agent může načíst repozitář, spustit test, uložit mezivýsledek a pokračovat v témže kontextu. Tím se redukuje latence i náklady na opakovanou přípravu.

Model přitom kód přímo nespouští. Generuje text nebo návrh nástroje, který následně vykoná orchestrátor. Bezpečnost proto neleží v „inteligentní“ kontrole promptu, ale v omezení akcí, které může sandbox povolit.

Proč agenti potřebují izolaci zvlášť

Agent může zpracovávat externí data, spouštět neznámé knihovny a měnit pracovní prostředí podle pokynů. Prompt injection může přimět model k vytvoření nebezpečného tool callu.

Seznam povolených akcí v chatu přitom nestačí. Jednoduchý Python proces může otevřít síťové spojení nebo přistupovat k souborům. Izolace proto musí omezovat i to, co se děje na úrovni procesu a sítě.

Tady je rozdíl mezi sandboxem a běžným cloudovým výpočtem. Cloudová sandboxová platforma může být vhodná pro vývojářský kód, ale API pro AI agenty musí dát programátorům jinak přístupné bezpečnostní a provozní parametry. Jde především o jinou integraci a výchozí bezpečnostní předpoklady, ne o zásadně novou technologii izolace.

Samotná virtualizace navíc neochrání uložený token. Pokud se GitHub token nachází uvnitř sandboxu, kompromitace prostředí znamená i odcizení tokenu.

Silnější návrh odděluje tajemství od běžícího kódu. Uvnitř je zástupný credential, zatímco externí proxy doplní skutečný klíč až při povoleném požadavku na určenou doménu. Tento mechanismus je potřeba posuzovat odděleně od vlastní izolace Firecrackeru a od síťových pravidel, například nftables.

V českém firemním prostředí má izolace praktický význam především v provozu. Firmy potřebují vědět, kde data zůstávají, kam smí sandbox odesílat data a kdo schvaluje přístup k interním systémům. Propojení na vlastní infrastrukturu nebo BYOC může být důležitější než původ startupu.

Jak to funguje pod kapotou a kde má postup limity

Firecracker izoluje běžícího agenta hypervisorem a vlastním jádrem. Ani zde však agent není automaticky neprivilegovaný proces. V sandboxu může mít práva roota, takže bezpečnostní hranicí není „bezpečný Linux“, ale hypervisor, operační systém hostitele a síťová politika.

Obnova ze snapshotu funguje podle principu userfaultfd. Systém může načítat jen stránky paměti, ke kterým proces skutečně přistoupí, místo úplného čtení paměti při obnově. Konkrétní výsledek však závisí na konfiguraci a na skutečném testu.

Snapshot není univerzální řešení pro trvalý vývojový workspace. Pro prostředí, které má přežít řadu změn a dlouho růst, jsou vhodnější trvalejší sandboxy s diskem.

E2B je navíc jeden produkt, ne nová kategorie. Podobný model create/run/delete nabízejí Modal Sandboxes, Cloudflare Sandboxes a Daytona. Volba mezi nimi zahrnuje umístění dat, síťové nastavení, persistentní úložiště, ceny, SLA i možnost vlastního provozu.

OpenShell a Pydantic Monty ukazují, že podobné bezpečnostní principy nejsou výhradně českou inovací. Samotný open-source runtime navíc nezahrnuje automaticky provoz, monitoring, incident response ani threat model zákazníka.

Při hodnocení se proto posuzuje především schopnost omezit egress, řídit identity a izolovat selhání.

Kdy E2B dává smysl a kdy ne

E2B je vhodné pro vývojářské agenty, kteří generují a spouštějí kód, testují změny nebo zpracovávají nedůvěřihodná data v izolovaném prostředí. Výhodou je rychlé obnovení prostředí a možnost vlastního runtime.

Pro české firmy může být relevantní kvůli možnosti řídit síťový egress a rezidenci dat, nikoli kvůli českému původu.

Pro lokální vývoj na notebooku může stačit Docker Sandboxes, bubblewrap nebo kombinace nsjail a Landlock. Pro delší projekty s trvalým diskem jsou vhodnější Daytona nebo Fly Sprites.

Při přístupu agenta k firemním API je pak zásadní kombinace sandboxu se scoped tokeny a gateway, která omezuje povolené akce.

Před koupí je potřeba ověřit konkrétní threat model. Vyžádat seznam povolených síťových cílů, způsob předávání tajemství, podporu self-hostingu, auditovatelnost, záruky dostupnosti a skutečný výkon obnovy snapshotu.

Tvrzení o počtu velkých zákazníků nebo tržbách z tiskové zprávy není náhradou takového testu.

Investice přibližně 21 milionů dolarů v rámci série A ukazuje, že trh investory zajímá. Samotná však neprokazuje, že izolace E2B je bezpečnější než dlouholeté řešení založené na Firecrackeru v prostředí AWS Lambda. Hodnotu startupu je třeba měřit v konkrétním use case.

Co si z toho vzít

• Sandbox pro AI agenta je především bezpečnostní hranice, ne ozdobný termín.
• Vlastní jádro a microVM poskytují silnější izolaci než běžný kontejner.
• Obnova snapshotu se stavem urychluje práci vícekolových agentů.
• Izolace kódu nenahrazuje správu identit, tokenů a síťového přístupu.
• Open-source runtime není totéž jako kompletní provozní služba.
• Při výběru řešení je rozhodující konkrétní threat model, egress, rezidence dat a SLA, ne marketingový popis ani původ startupu.