getbb.app проти Docker і Lima: де агент у більшій безпеці

Що саме порівнюють у getbb.app, Docker і Lima

Я б не ставив getbb.app, Docker і Lima в один ряд: вони розв'язують схоже завдання, але проводять межу довіри в різних місцях. В оригінальному обговоренні спільноти користувач 144406 запитав про досвід із getbb.app, а користувач 176533234 одразу звів розмову до головного: чи безпечно взагалі запускати автономного агента на хості?

Описана робоча схема виглядає розумно: окремий контейнер для агента, підключена папка проєкту та раннер тестів. Це обмежує доступний агентові контекст і дає змогу видалити середовище після виконання. Проте звичайний контейнер все ще ділить ядро з хостом. Namespaces, cgroups і шари файлової системи зменшують поверхню атаки, а не перетворюють Docker на віртуальну машину.

Lima додає окрему Linux ВМ, передусім для локального сценарію на macOS. Для захисту хоста це сильніша межа, ніж контейнер безпосередньо на спільній системі. Водночас конфігурацією, образами та життєвим циклом такого середовища все одно керує розробник.

Судячи з публічного сайту продукту та його акаунта в X, getbb.app ближчий до спеціалізованої пісочниці: ефемерна машина створюється на запит, виконує завдання і знищується. Також згадується плагін, що надає такі машини через пісочниці Vercel. У доступних матеріалах немає повного офіційного опису моделі безпеки, тому ізоляцію процесів, мережі та файлової системи не можна вважати підтвердженою лише з опису продукту.

Швидкість запуску сама по собі мало говорить про безпеку. У доступному порівнянні постачальників пісочниць медіанний час до інтерактивного стану становив від 0,34 до 45 секунд. Але для агента з доступом до shell перевірка можливості виходу з пісочниці важливіша за гарний показник cold start.

Де проходить практична межа безпеки

Для довіреного коду Docker зазвичай дає зручний баланс відтворюваності та швидкості. Для агента, який може виконати shell-команду, впроваджену через prompt, я б вважав спільне ядро частиною ризику. Межа ВМ у Lima або підтверджена пісочниця на базі ВМ змінюють ситуацію архітектурно, а не косметично.

Спеціалізований сервіс виграє простим циклом створення, запуску та знищення, а також вужчою поверхнею виконання. Мінус очевидний: менше низькорівневого контролю та залежність від гарантій, які постачальник справді документує, а не лише має на увазі.

Насамперед я б перевіряв не зручність API, а привілеї процесів, мережеві обмеження, видимість файлів, зберігання секретів, сталість диска та сценарії втечі. Поки getbb.app не розкриє ці властивості досить докладно, головне питання не змінюється: ефемерність середовища ще не доводить міцності його межі.

Раніше ми розглядали Pydantic Monty — безпечний інтерпретатор Python для виконання коду, згенерованого LLM, без контейнерів. Його підхід корисно порівняти з питаннями контейнерної ізоляції, які порушує getbb.app.