GKE Sandbox microVM 正式 GA：给每个 AI Agent 一个独立内核

由 ·

发生了什么

GKE 2026-10-07 发布说明原文：microVM 沙箱类型正式 GA，适用于运行 1.37.0-gke.4713000 及更高版本的集群。实现栈是开源的 Kata Containers + Cloud Hypervisor（VMM），为不可信工作负载、AI Agent 运行时、多租户环境提供硬件虚拟化隔离——同时保留完整 Linux 内核和标准 Linux 特性。

这是 GKE Sandbox 第二次”扩列”：此前只有 gVisor（用户态内核），microVM 是新增的沙箱类型，Pod 通过 RuntimeClass microvm 申请，调度到开启嵌套虚拟化的节点上，每个 Pod 独占一台 microVM。

架构图：gVisor 用 runsc 用户态内核拦截 syscall；microVM 用 Cloud Hypervisor 跑完整 guest 内核（图据官方文档表格绘制）

和 gVisor 怎么选：官方对比

官方文档给了逐项对比，核心差异在隔离层级：gVisor 是用户态内核拦截 syscall（只暴露内核 API 子集），microVM 是完整硬件虚拟化 + 独立 guest 内核。

gVisor vs microVM：启动时间与固定开销对比（数据来自官方文档，图表据数据绘制）

图：microVM 每个 Pod 固定开销 250 mCPU + 130 MiB 内存，启动约 1-2 秒；gVisor 开销动态、基础内存低，启动 <200ms（图源：官方文档对比表）

gVisor vs microVM 官方对比表（数据来自官方文档，图表据数据绘制）

图：官方文档对比要点（图源：官方文档）

代价与边界

microVM 不是 gVisor 的”升级版”，官方列出的限制很具体：

  • 不支持 GPU / TPU——需要加速器的推理负载留在 gVisor 侧（gVisor 支持 H100/A100/L4/T4 等 GA 型号）；
  • 节点必须开启嵌套虚拟化，机器类型受限；节点镜像支持 COS 或 Ubuntu（gVisor 仅 COS）；
  • hostNetwork: true 的 Pod 在 microVM 里不支持；
  • 但 microVM 支持特权容器——root 只在 microVM 的 guest OS 内有效，不会逃逸到宿主节点，这是 gVisor 做不到的；
  • 宿主机上的 Falco / Tetragon 这类挂钩内核的监控工具看不见沙箱内 syscall，microVM 里可以跑 eBPF 工具作为特权 sidecar 监控 guest 内核。

    • 为什么和 AI Agent 有关

    官方文档在”潜在威胁”里点名两类场景：允许用户上传执行代码的组织（SaaS、虚拟主机），以及“生成并执行代码、往往没有监督的 AI Agent”。microVM 一栏的示例用例第一条同样是它，还有浏览器里跑自主代码（如 Puppeteer）、需要完整内核或海量低开销 syscall 的工作负载。

    沙箱防的是：恶意/缺陷代码打崩宿主内核拖垮节点、租户窃取其他租户内存/磁盘数据、不可信 workload 访问其他 Google Cloud 服务或集群元数据。两个运维细节值得记：microVM 的 Pod 可以访问集群元数据（gVisor 沙箱不行），要防就用 NetworkPolicy 挡 169.254.169.254；Standard 集群里默认节点池不能开沙箱，必须至少保留一个非沙箱节点池给系统服务。

    小夏点评

  • gVisor/microVM 的二分法从此有了官方答案卷：要完整内核、特权容器、海量 syscall 的走 microVM，GPU 推理留在 gVisor——两者是互补不是升级关系。
  • “每 Pod 固定开销 250 mCPU + 130 MiB”就是沙箱税，跑大量小 Pod 前先算密度账，省的钱和密度成反比。
  • 给中国 IT 运维/开发：国内云厂商托管 K8s 做多租户托管、Code Interpreter 沙箱，大概率走的就是 Kata+Cloud Hypervisor 这条路线——AI Agent 的安全成本要按基础设施层预算进去。

    • 参考来源

  • GKE Release Notes（2026-10-07 GA 条目）
  • About GKE Sandbox（官方文档对比表）

    • 标签：

    您可能还喜欢...

    发表回复

    您的邮箱地址不会被公开。 必填项已用 * 标注