Importância da implementação de sandboxes seguras para agentes de IA

gVisor é uma biblioteca de sandboxing desenvolvida pelo Google que substitui chamadas ao kernel do Linux por uma camada de interceptação em espaço de usuário, ou seja, não há compartilhamento real do kernel entre processos. Isso a diferencia radicalmente de containers comuns (como Docker), que usam namespaces e cgroups, mas ainda dependem do kernel hospedeiro. No artigo-fonte, Sajal Sharma não implementa gVisor diretamente, mas descreve o *problema* que gVisor resolve: a necessidade de um limite de confiança mais forte do que o oferecido por containers compartilhados. Ele cita explicitamente CVE-2019-5736 e Leaky Vessels como falhas reais que exploraram exatamente essa fraqueza do modelo compartilhado, e gVisor foi projetado para mitigar esse risco desde a raiz.

O artigo também revela uma tensão prática pouco discutida: o custo de segurança não é só técnico, mas operacional. A escolha entre 'agente na caixa' (com API key dentro) e 'agente local com sandbox como ferramenta' envolve trade-offs reais de DX: streaming print-based vs. streaming nativo, cold start de microVMs, movimentação explícita de arquivos e ajuste fino de memória (como o caso do OOM-killed no Claude Agent SDK com 1, 2 GiB). Esses detalhes são o que separa teoria de produção, e são os mesmos pontos que a cobertura CEVIU anterior já havia mapeado como críticos para arquiteturas baseadas em agentes.

A cobertura CEVIU de 2026-06-08 sobre os Sandboxes do LangSmith trouxe a primeira implantação prática de microVMs em larga escala para agentes, ou seja, saiu do conceito teórico (como em 2026-04-27) para execução real com isolamento por hardware. Agora, com a análise de Sharma, vemos a validação técnica dessa escolha: ele demonstra empiricamente por que microVMs (como as usadas no LangSmith) superam containers em cenários de agente autônomo, especialmente quando o agente lida com conteúdo não confiável, instala pacotes arbitrários e roda loops sem controle. O que era hipótese em abril tornou-se evidência prática em julho.

Para desenvolvedores, isso não é só sobre 'segurança': é sobre previsibilidade. Um agente que roda em container compartilhado pode corromper dependências globais, conflitar em portas ou deixar lixo em disco, prejudicando outros workflows no mesmo host. Já um sandbox baseado em gVisor ou microVM garante que cada execução comece do zero, com imagem imutável, limites rígidos de memória e CPU, e nenhuma fuga possível via kernel. Isso transforma testes paralelos, CI/CD com agentes e deploys de long-horizon workflows em operações reprodutíveis, não em apostas. E o mais importante: elimina a falsa sensação de segurança gerada por 'sandbox' usado como sinônimo de 'container'.