Show HN: gVisorサポート付きのLinuxサンドボックス「Drop」
Show HN: Drop – a rootless Linux sandbox with gVisor support
Dropは、ユーザーの作業環境を邪魔することなくプログラムやコーディングエージェントを分離するLinuxサンドボックスです。root権限なしで動作し、Linuxのユーザー名前空間を利用してプロセス、マウント、ネットワークなどの名前空間を分離します。gVisorとの統合により、ホストカーネルへの直接アクセスを防ぎ、カーネル脆弱性の悪用リスクを低減する追加の分離レイヤーを提供します。TOML形式の設定言語により、サンドボックスに公開するファイル、ディレクトリ、ローカルネットワークサービスを柔軟に指定できます。Docker/Podmanとは異なり、既存のディストリビューションを利用するため、コンテナのセットアップ作業は不要です。Pythonのvirtualenvに着想を得て、使い捨て可能な分離環境を作成・利用できます。
- Dropはroot権限なしで動作するLinuxサンドボックスで、Linuxユーザー名前空間を用いてプロセス・マウント・ネットワークなどの名前空間を分離する
- gVisorとの統合により、ホストカーネルへの直接アクセスを防ぎ、カーネル脆弱性の悪用リスクを低減する追加の分離レイヤーを提供
- TOML形式の設定言語で、サンドボックスに公開するファイル・ディレクトリ・ローカルネットワークサービスを柔軟に指定可能
- Docker/Podmanと異なり既存ディストリビューションを利用するためコンテナのセットアップ作業が不要で、Pythonのvirtualenvに着想を得た使い捨て可能な分離環境を提供
DropはLinuxユーザー名前空間とgVisorを組み合わせ、root権限なしでAIコーディングエージェントやプログラムをホストカーネルから隔離するサンドボックスです。エージェント型AIの普及で「実行環境のサンドボックス化」需要が急速に高まる中、機密計算・カーネル分離レイヤーを提供するツールは、AIエージェントの企業導入におけるセキュリティ前提条件を担う位置づけにあります。Docker/Podmanのようなコンテナセットアップ不要で既存ディストリビューションを流用できる点は導入障壁を下げる一方、OSSの個人プロジェクト色が強く、商用化・収益化の道筋は現時点では見えないため、直接の投資対象というよりは、AIエージェント実行基盤・サンドボックス領域の技術トレンドを測るシグナルとして注目します。