SmolVM: como rodar código não confiável de agentes de IA com isolamento por hardware

O problema: código de IA é código não confiável

À medida que agentes de IA ganham a capacidade de executar código — seja para transformar dados, rodar consultas ou chamar ferramentas — cresce o risco de executar programas não confiáveis em um ambiente compartilhado. A pergunta que o pesquisador Simon Willison colocou em teste é simples: existe uma forma segura de rodar Python e JavaScript arbitrários, limitados em CPU, memória e acesso a arquivos?

A resposta que ele documentou no dia 19 de agosto aponta para o smolvm, parte do projeto smolmachines: uma sandbox baseada em máquinas virtuais com isolamento por hardware — e não em containers de kernel compartilhado.

O que o teste mostrou

Willison usou o agente Claude Fable 5 (rodando no Claude Code para web) para submeter o smolvm 1.8.3 a uma bateria de testes. O veredito foi positivo: a ferramenta se mostrou “bem adequada” para sandboxing de código não confiável. Entre os recursos que funcionaram conforme o esperado:

• Imagens locais em modo offline;
• Execução sem acesso à rede;
• Limites de CPU e memória;
• Timeouts aplicados dentro do convidado (proteção contra while true);
• Cotas de armazenamento;
• Montagens de entrada somente leitura e saída gravável;
• Modo --unprivileged.

Nos números de desempenho, o cold start ficou entre 0,6 e 1,5 segundos, enquanto execuções “quentes” rodaram em cerca de 50 milissegundos — rápido o bastante para tarefas de transformação de dados disparadas por usuários.

Um detalhe revelador sobre o próprio teste

Há uma camada curiosa na pesquisa: o ambiente do Claude Code para web não conseguiu executar o smolvm, porque o container (um convidado Firecracker com Linux, 4 vCPUs e 15 GB de RAM) não expõe /dev/kvm nem suporta virtualização aninhada. A mensagem de erro foi direta: “kvm not available”.

O plano B veio de forma autônoma do próprio agente: os runners de GitHub Actions expõem /dev/kvm, então o Fable criou um workflow temporário em uma branch, executou a bateria real de testes, coletou os logs e removeu o workflow no commit final. Para Willison, foi mais um exemplo de como agentes de ponta contornam limites de ambiente com criatividade.

Por que isso importa

O isolamento por hardware é uma alternativa relevante aos containers tradicionais (Docker e afins), que compartilham o kernel do host e, por isso, oferecem uma superfície de ataque maior quando o código executado vem de terceiros. Para quem constrói agentes, plataformas de automação ou ferramentas de “code interpreter”, uma sandbox com máquina virtual dedicada reduz o risco de fuga de privilégios.

A combinação de cold start na casa de um segundo, execução sem rede e limites rígidos de recursos torna o smolvm uma opção viável para cenários de produção em que o agente precisa processar dados enviados por usuários finais.