CubeSandbox

CubeSandbox 是一款由腾讯云推出的高性能 AI Agent 沙箱服务，基于 RustVMM 与 KVM 构建。它解决大模型生成的代码在执行时的安全性与性能瓶颈问题，提供内核级隔离、毫秒级冷启动以及极低的内存开销。

作为 E2B SDK 的完美平替，CubeSandbox 允许开发者在无需修改业务代码的情况下，通过替换环境变量即可切换到更安全、更高效的本地或私有云沙箱环境。

核心优势

1. 极致冷启动 (<60ms)

• 资源池化与快照克隆：通过预置资源池和快照技术，跳过耗时的 OS 初始化流程。
• 高并发支持：单并发下启动时间平均 <60ms，50 并发下 P99 仅为 137ms，确保 Agent 交互的实时性。

2. 真正的内核级隔离

• 告别容器逃逸风险：不同于 Docker 共享内核的 Namespace 隔离，CubeSandbox 为每个 Agent 分配独立的 Guest OS 内核。
• eBPF 网络隔离：基于 eBPF 的 CubeVS 在内核态实现严格的沙箱间网络隔离，支持细粒度出站流量过滤，杜绝恶意代码横向移动。

3. 超高部署密度 (<5MB/实例)

• 极致内存优化：基于 Copy-on-Write (CoW) 技术和 Rust 重构的底层裁剪，单实例内存开销低至 <5MB。
• 单机千例：轻松在一台普通服务器上运行数千个并发 Agent，大幅降低基础设施成本。

4. 零成本迁移 (E2B Compatible)

• 原生兼容 E2B SDK：完全遵循 E2B 接口规范。只需更改 E2B_API_URL 和 E2B_API_KEY，即可将现有基于 E2B 的应用无缝迁移至 CubeSandbox，获得更好的性能与数据隐私保护。

性能对比

快速开始

1. 环境准备

需要一台开启 KVM 的 x86_64 Linux 环境（物理机、云服务器或 WSL 2）。

WSL 2 用户注意：需在 BIOS 和 WSL 配置中开启嵌套虚拟化。

2. 一键部署

在 Linux/WSL 终端中执行以下命令（国内用户推荐使用 CDN 镜像）：

# 国内用户
curl -sL https://cnb.cool/CubeSandbox/CubeSandbox/-/git/raw/master/deploy/one-click/online-install.sh | MIRROR=cn bash

# 海外用户
curl -sL https://github.com/tencentcloud/CubeSandbox/raw/master/deploy/one-click/online-install.sh | bash

3. 创建沙箱模板

使用预构建的代码解释器镜像创建模板：

cubemastercli tpl create-from-image \
  --image ccr.ccs.tencentyun.com/ags-image/sandbox-code:latest \
  --writable-layer-size 1G \
  --expose-port 49999 \
  --probe 49999

# 监控构建进度
cubemastercli tpl watch --job-id <job_id>

记录输出中的 template_id。

4. 运行 Agent 代码

安装 Python SDK 并设置环境变量：

pip install e2b-code-interpreter

export E2B_API_URL="http://127.0.0.1:3000"
export E2B_API_KEY="dummy"
export CUBE_TEMPLATE_ID="<你的模板ID>"

编写 Python 代码测试：

import os
from e2b_code_interpreter import Sandbox

# 直接使用 E2B SDK，底层由 CubeSandbox 接管
with Sandbox.create(template=os.environ["CUBE_TEMPLATE_ID"]) as sandbox:
    result = sandbox.run_code("print('Hello from Cube Sandbox, safely isolated!')")
    print(result)

应用场景

• AI 代码解释器：为大模型提供安全的代码执行环境，防止恶意代码破坏宿主机。
• 多租户 SaaS 平台：在高密度隔离环境下运行用户自定义脚本。
• 自动化测试与爬虫：快速启动大量隔离浏览器或执行环境。
• 教育编程平台：为学生提交代码提供即时、安全的反馈环境。