Google обяви Cloud Run (услугата на Google за хостинг) sandboxes - стая, в която пускаш код, писан от AI агент, без той да стигне до останалата ти система. Заглавието на обявлението го казва направо: как да изпълняваш безопасно код, генериран от AI.
Факт
Фактите: по подразбиране пясъчникът няма никакъв изходящ мрежов достъп. По думите на Google, ако агентът бъде подлъган да пусне скрипт, който се опитва да изнесе данни към чужд сървър, заявката се блокира на системно ниво; изходящ достъп може да се разреши изрично. Вторият механизъм са креденшълите: средата няма достъп нито до променливите на средата на самата услуга, нито до сървъра с метаданни на Google Cloud, тоест кодът на агента не вижда ключовете ти. Пясъчникът тръгва за милисекунди върху вече заделените процесор и памет на услугата, без отделна инфраструктура и без допълнително заплащане; примерът на Google е 1000 пясъчника със средна латентност 500 милисекунди. Трите сценария, които компанията описва: модел, който пише и изпълнява код за анализ на данни; агент, който кара браузър без екран и автоматизира; и изпълнение на код, качен от потребителите на твоята платформа.
Тук е стойността - в реда, по който е подредено. Затворено е по подразбиране и се отваря нарочно, не обратното. Досега тази граница я теглеше всеки сам, с ръчни правила и внимание докъде стигат ключовете. Сега голям облак я слага наготово, без да иска пари за нея. Признанието вътре в продукта е по-интересно от самата функция: кодът, който пише агент, се третира като недоверен код.
Кодът, който агентът пише, вече официално е чужд код.
Приземяването е практическо. Пишат ли при теб агенти код - за анализ, за браузър без екран, за чужди приставки - това е защитата, която иначе трябваше да строиш сам. Само не вярвай наготово. Preview не е продукция. Провери какво точно е разрешено в твоята конфигурация, и опитай сам да изнесеш файл от пясъчника, преди да повярваш, че не може.
Официални първоизточници
Google Cloud BlogВизуалът към статията е генериран код-арт, без чужди изображения.