Was ist OpenSandbox?
OpenSandbox ist ein Server mit einer Reihe von SDKs, der isolierte Umgebungen erzeugt, in denen ein KI-Agent Befehle ausführen, Dateien bearbeiten, generierten Code laufen lassen oder einen Browser oder Desktop steuern kann. Du startest es lokal auf Docker und wechselst über dieselbe Lifecycle-API zu Kubernetes, mit SDKs für Python, TypeScript, Java/Kotlin, C#/.NET und Go, einer CLI namens osb und einem MCP-Server für Clients wie Claude Code und Cursor.
Es entstand bei Alibaba (die Pakete tragen noch die Namen com.alibaba und @alibaba-group) und ist heute ein Projekt der Agentic AI Foundation unter der Organisation opensandbox-group. Version 1.1.1 erschien am 9. Oktober 2026, 1.2.0 steht beim zweiten Release Candidate.
Die Isolation ist konfigurierbar statt fest vorgegeben: standardmäßig einfache Container, mit gVisor, Kata Containers oder Firecracker als sichere Laufzeiten, Egress-Richtlinien pro Sandbox und einem Credential Vault, der Secrets in ausgehende Anfragen einfügt, sodass die Arbeitslast sie nie zu sehen bekommt.
Lohnt sich OpenSandbox?
OpenSandbox löst ein anderes Problem als srt von Anthropic oder OpenShell von NVIDIA. Jene sperren einen Agenten ein, der auf deinem Rechner läuft; OpenSandbox teilt über eine API frische Wegwerf-Maschinen an Agenten aus, die irgendwo laufen. Es ist das selbst gehostete Gegenstück zu den gehosteten Code-Sandboxes, die viele Agentenprodukte sekundengenau mieten, und hat in zehn Monaten rund 16.200 GitHub-Sterne gesammelt.
Die großen Zahlen stammen von den Maintainern selbst, die die Methode mitveröffentlichen. Auf einem Kubernetes-Cluster bei Alibaba Cloud mit zwei Knoten und je 192 CPUs waren warme Firecracker-Sandboxes aus einem vorgefertigten Snapshot im seriellen Lauf im Median nach 64 ms bereit und bei zehn gleichzeitigen Erstellungen nach 125,4 ms im p99. Bei 20 gleichzeitigen Erstellungen gegen einen Pool mit 20 Plätzen gelangen nur 51 von 100 Versuchen, was der Bericht offen sagt. Das sind Werte für den warmen Pfad mit zwischengespeicherten Artefakten; die erste Nutzung kostet mehr.
Das Sicherheitsmodell belohnt Sorgfalt und bestraft Voreinstellungen. Ohne sichere Laufzeit ist eine Sandbox ein gewöhnlicher Container, ein Kernel-Exploit in generiertem Code erreicht also den Host; gVisor, Kata oder Firecracker schließen diese Lücke, brauchen aber jeweils eine eigene Einrichtung der Knoten. Ist server.api_key leer, läuft der Server ganz ohne Authentifizierung, und unter Docker oder Kubernetes musst du OPENSANDBOX_INSECURE_SERVER=YES setzen, um das zuzulassen, was die Entscheidung immerhin bewusst macht. Release-Images sind mit Cosign signiert, und die Dokumentation bittet darum, sie per Digest festzulegen.
Das Projekt bewegt sich schnell: 153 offene Issues und Pull Requests, ein Release Candidate für 1.2 zwei Wochen nach 1.1.1 und eine Protokollspezifikation, gegen die andere eigene Laufzeiten bauen sollen. Für ein Team, das schon Kubernetes betreibt und für Agenten-Evaluierungen oder Rollouts beim Reinforcement Learning sekundengenaue Sandbox-Rechnungen zahlt, ist dieses Tempo ein Vorteil; für einen einzelnen Coding-Agenten auf einem Laptop ist es weit mehr Maschinerie, als die Aufgabe braucht.
Wo es sich lohnt
Ein ML-Team, das nächtliche Agenten-Evaluierungen mit Harbor fährt
Jedem von mehreren tausend Durchläufen eine eigene saubere Umgebung geben
Nutze Ressourcen-Pools und Batch-Erstellung auf Kubernetes, sodass jeder Durchlauf eine frische Sandbox bekommt, die danach zerstört wird. Die Kosten sind die Knoten deines Clusters statt sekundengenauer Gebühren an einen gehosteten Sandbox-Anbieter.
Ein SaaS-Unternehmen, das seinem Kunden-Agenten einen Code-Interpreter hinzufügt
Vom Modell geschriebenes Python für viele Mandanten ausführen, ohne dass einer zum anderen ausbricht
Betreibe die Sandboxes unter Firecracker oder gVisor, setz Egress-Richtlinien pro Sandbox und füge API-Schlüssel über den Credential Vault ein. Setz server.api_key, bevor du den Server erreichbar machst; standardmäßig ist er offen.
Ein Entwickler, der Claude Code oder Codex CLI isoliert ausprobiert
Einen Coding-Agenten in einem Wegwerf-Container an einem Repository arbeiten lassen
Starte den Server mit uvx opensandbox-server auf Docker und folge dem Beispiel für Claude Code; bis zur ersten Sandbox dauert es Minuten, allerdings erledigt srt diese Aufgabe auf einem Laptop mit weit weniger Einrichtung.
Bevor du dich festlegst
- Einrichtung
- Braucht Docker und Python 3.10+: uvx opensandbox-server init-config ~/.sandbox.toml --example docker, dann uvx opensandbox-server und pip install opensandbox. Kubernetes nutzt einen Operator; Firecracker braucht Knoten mit Virtualisierung.
- Integrationen
- SDKs für Python, TypeScript, Java/Kotlin, C#/.NET und Go, die CLI osb, ein MCP-Server (pip install opensandbox-mcp) mit Tools für Sandboxes, Befehle und Dateien sowie Beispiele für Claude Code, Codex CLI, Playwright, Chrome, Desktops und Harbor.
- Daten und Datenschutz
- Läuft auf deiner eigenen Infrastruktur unter Apache 2.0; der Export von Metriken per OpenTelemetry ist optional; Images mit Cosign signiert und mit Herkunftsnachweis; keine veröffentlichten Sicherheitshinweise auf GitHub.
- Kosten im großen Maßstab
- Die Software ist kostenlos; die Kosten sind deine Knoten. Der Benchmark der Maintainer nutzte zwei Kubernetes-Knoten mit je 192 CPUs und rund 742 GiB Arbeitsspeicher, um einen Firecracker-Pool mit 20 Plätzen zu betreiben.
- Grenzen
- Sichere Laufzeiten, Ingress und Egress müssen getrennt konfiguriert werden; Zugangsdaten für secureAccess-Endpunkte funktionieren nur mit dem Kubernetes-Ingress-Gateway; die Erfolgsquote fiel auf 51 von 100 Erstellungen, als die Parallelität der Pool-Größe entsprach.
Was gut ist
- Dieselbe API von lokalem Docker bis zum Kubernetes-Cluster
- Isolation mit Firecracker, gVisor oder Kata, dazu Pausieren und Fortsetzen
- Der Credential Vault hält echte Secrets aus der Sandbox heraus
- SDKs in fünf Sprachen, eine CLI und ein MCP-Server
Was nicht
- Einfache Container, solange du keine sichere Laufzeit konfigurierst
- Der Server läuft ohne Authentifizierung, wenn kein API-Schlüssel gesetzt ist
- Die Geschwindigkeitswerte für den schnellen Pfad stammen von den Maintainern selbst, auf großen Knoten
- Die Einrichtung von Kubernetes und Firecracker ist echte Betriebsarbeit
Am besten für
Plattform-Teams, die Agenten-Evaluierungen, RL-Rollouts oder mandantenfähige Code-Ausführung betreiben und Sandboxes auf eigener Infrastruktur wollen.
Alternativen zu OpenSandbox
OpenSandbox: häufige Fragen
- Lohnt sich OpenSandbox?
- Eine selbst gehostete Antwort auf gehostete Code-Sandboxes, die den Aufwand mit Kubernetes lohnt, wenn du Tausende kurzlebige Agenten-Umgebungen auf eigenen Maschinen brauchst. Wir bewerten es mit 4.1 von 5.
- Was kostet OpenSandbox?
- Kostenlos und Open Source unter Apache 2.0; keine kostenpflichtige Edition der Maintainer.
- Welche Nachteile hat OpenSandbox?
- Einfache Container, solange du keine sichere Laufzeit konfigurierst; Der Server läuft ohne Authentifizierung, wenn kein API-Schlüssel gesetzt ist; Die Geschwindigkeitswerte für den schnellen Pfad stammen von den Maintainern selbst, auf großen Knoten; Die Einrichtung von Kubernetes und Firecracker ist echte Betriebsarbeit.
- Für wen eignet sich OpenSandbox?
- Plattform-Teams, die Agenten-Evaluierungen, RL-Rollouts oder mandantenfähige Code-Ausführung betreiben und Sandboxes auf eigener Infrastruktur wollen.
- Was kostet OpenSandbox für ein Team oder im Produktivbetrieb?
- Die Software ist kostenlos; die Kosten sind deine Knoten. Der Benchmark der Maintainer nutzte zwei Kubernetes-Knoten mit je 192 CPUs und rund 742 GiB Arbeitsspeicher, um einen Firecracker-Pool mit 20 Plätzen zu betreiben.
- Ist OpenSandbox sicher für Firmendaten?
- Läuft auf deiner eigenen Infrastruktur unter Apache 2.0; der Export von Metriken per OpenTelemetry ist optional; Images mit Cosign signiert und mit Herkunftsnachweis; keine veröffentlichten Sicherheitshinweise auf GitHub.
- Was sind die besten Alternativen zu OpenSandbox?
- Die nächsten Alternativen, die wir getestet haben, sind NVIDIA OpenShell und Anthropic Sandbox Runtime (srt).
Antworten geprüft am 26. Okt. 2026.