AWS lança Nitro Sandboxes com isolamento por hardware para workloads no EKS, ECS e EC2

Os Nitro Sandboxes são VMs leves gerenciadas pelo Nitro Hypervisor. Cada pod do EKS, tarefa do ECS ou VM (incluindo agentes de IA rodando dentro delas) ganha sua própria máquina virtual isolada por hardware, dentro dos recursos de uma única instância EC2. A AWS posiciona o recurso para cargas não confiáveis, multi-tenant ou regulamentadas, e para executar código gerado por LLM em ambiente próprio.

A AWS afirma que o desempenho é próximo ao nativo do EC2 e que há atestação criptográfica: segredos só são liberados para sandboxes que provaram sua integridade. No EKS e no ECS, a ativação é uma mudança de uma linha, e Pod Identity, VPC CNI, armazenamento EBS/EFS/S3 e CloudWatch funcionam sem ajuste. No EC2 puro, dá para usar AMI e orquestração próprias, com suporte nativo a Amazon Linux e Firecracker. O recurso está disponível na maioria das instâncias baseadas em Nitro, em todas as regiões comerciais, sem custo adicional.

Há uma linha de evolução em isolamento na AWS. Em 18 de fevereiro de 2026, o CEVIU noticiou "Amazon EC2 agora oferece suporte a virtualização aninhada em instâncias virtuais", que levou ambientes aninhados a instâncias não bare metal (C8i, M8i e R8i). Em 12 de junho de 2026, veio "Como a verificação formal torna o AWS Nitro o primeiro hipervisor de nuvem formalmente verificado", sobre o Nitro Isolation Engine nas instâncias Graviton5. Em 24 de junho de 2026, "AWS Lambda lança MicroVMs para sandboxes isoladas" trouxe isolamento por VM, baseado em Firecracker, para código não confiável ou gerado por IA no modelo serverless.

Em 10 de novembro de 2026, o mesmo tipo de isolamento chega a quem opera sobre EKS, ECS e EC2, dentro de uma instância que você já paga.

Leitura editorial: para quem roda agentes de IA ou código de clientes, o custo de isolamento costumava forçar uma escolha entre segurança e utilização. Se o desempenho e a facilidade de ativação se confirmarem no seu caso, dá para consolidar cargas em menos instâncias sem misturar tenants no mesmo kernel. Vale testar com uma carga real antes de levar a argumentos de venda ou de compliance.