Replit이 자율 에이전트가 코드를 실행하는 샌드박스 엔진을 처음부터 다시 만들었다. 예전에는 샌드박스끼리 호스트의 Linux 커널을 공유했지만, 이제는 샌드박스마다 자체 커널을 가진 microVM에서 돌린다. 기존 프로젝트는 데이터 손실이나 중단 없이 옮겼다고 밝혔다.
- 가상화 경계 추가: VMM으로 Cloud Hypervisor를 쓰고 KVM이 샌드박스 사이를 나눈다. 게스트 커널이 뚫려도 호스트로 가려면 가상화 경계를 한 번 더 넘어야 한다. VM 안에서는 runc 컨테이너를 역할별 권한으로 나누고, VMM 자체도 케이퍼빌리티가 없는 비특권 계정으로 실행한다.
- 작은 게스트 커널: 배포판 기본 설정이 아니라
tinyconfig에서 시작해 Bluetooth, USB 같은 불필요한 드라이버를 뺐고, 초기화 후에는 모듈 로딩도 끈다. 2026년 6월~11월 공개된 Linux CNA CVE 6,211건 중 96.1%를 수정 반영이나 코드 제외로 피했다고 한다. - 런타임 감시: eBPF로 프로세스, 파일, 네트워크 활동을 관찰하고 Linux 보안 모듈(LSM)로 금지 동작을 막는다. 보안 구성 요소는 변경 병합 후 15분 안에 전체 샌드박스에 핫 리로드할 수 있다.
- 게스트 밖의 통제: 아웃바운드 정책은 호스트 프록시가 TLS 핸드셰이크의 호스트명과 DNS를 보고 집행하며, 게스트는 이를 끌 수 없다. GitHub 같은 서비스의 자격 증명은 브로커가 보관하고 요청에 붙여 주므로 샌드박스는 API 키를 받지 않는다. npm과 pip의 알려진 악성 패키지는 레지스트리 방화벽에서 차단한다.
- 기동 속도: 미리 띄운 VM에 고객 디스크를 연결해 약 500ms에 샌드박스를 내준다. 파일시스템은 원격 블록 스토리지에서 필요한 만큼만 읽어 오기 때문에 큰 작업 공간도 통째로 내려받지 않는다.
에이전트나 사용자가 제출한 코드를 실행하는 서비스를 만든다면 참고할 부분이 많다. 컨테이너만으로는 커널 취약점이 곧 호스트 침해로 이어질 수 있다는 점이 출발점이다. 그래서 자격 증명을 샌드박스 안에 넣지 않고 밖의 프록시가 붙이는 방식과, 외부 통신 허용 목록을 게스트 바깥에서 집행하는 방식은 VM 기술을 쓰지 않아도 적용할 수 있다. 패키지 설치를 레지스트리 앞단에서 걸러 내는 구조도 마찬가지다.
다만 이 글은 Replit이 직접 집계한 결과다. 96.1%라는 수치도 커널 CVE가 모두 악용 가능하지는 않다는 전제 위에서 본 것이다. 원격 블록 스토리지, 웜 풀, 커널 자동 갱신까지 갖추려면 인프라 운영 부담이 크므로, 작은 팀이라면 직접 만들기보다 microVM 기반 관리형 샌드박스를 먼저 검토하는 편이 현실적이다.
원문: Replit, microVM으로 샌드박스 엔진 재구축 (GeekNews)