Qu’est-ce que OpenSandbox ?
OpenSandbox est un serveur et un ensemble de SDK pour créer des environnements isolés où un agent IA peut lancer des commandes, éditer des fichiers, exécuter du code généré ou piloter un navigateur ou un bureau. Vous le démarrez localement sur Docker et passez à Kubernetes via la même API de cycle de vie, avec des SDK pour Python, TypeScript, Java/Kotlin, C#/.NET et Go, un CLI appelé osb, et un serveur MCP pour des clients comme Claude Code et Cursor.
Il a commencé chez Alibaba (les paquets portent encore les noms com.alibaba et @alibaba-group) et est désormais un projet de l'Agentic AI Foundation, sous l'organisation opensandbox-group. La version 1.1.1 est sortie le 9 octobre 2026 et la 1.2.0 en est à sa deuxième version candidate.
L'isolation est configurable plutôt que fixe : des conteneurs simples par défaut, avec gVisor, Kata Containers ou Firecracker comme runtimes sécurisés, des politiques de sortie par bac à sable, et un Credential Vault qui injecte les secrets dans les requêtes sortantes pour que la charge de travail ne les voie jamais.
OpenSandbox vaut-il le coup ?
OpenSandbox résout un problème différent du srt d'Anthropic ou de l'OpenShell de NVIDIA. Ceux-ci confinent un agent tournant sur votre machine ; OpenSandbox distribue des machines fraîches et jetables à des agents tournant n'importe où, via une API. C'est l'équivalent auto-hébergé des bacs à sable de code hébergés que de nombreux produits d'agents louent à la seconde, et il a rassemblé environ 16 200 étoiles GitHub en dix mois.
Les chiffres phares sont ceux des mainteneurs, et ils publient la méthode avec eux. Sur un cluster Kubernetes Alibaba Cloud à deux nœuds avec 192 CPU par nœud, les bacs à sable Firecracker chauds à partir d'un instantané préconstruit ont atteint la disponibilité en 64 ms à la médiane dans une exécution série et 125,4 ms à p99 avec dix créations simultanées. À 20 créations simultanées contre un pool de 20 emplacements, seules 51 des 100 tentatives ont réussi, ce que le rapport indique clairement. Ce sont des chiffres de chemin chaud avec les artefacts mis en cache ; la première utilisation coûte plus.
Le modèle de sécurité récompense le soin et punit les défauts. Sans runtime sécurisé, un bac à sable est un conteneur ordinaire, si bien qu'un exploit de kernel dans du code généré atteint l'hôte ; gVisor, Kata ou Firecracker comblent ce vide mais chacun a besoin de sa propre configuration de nœud. Si server.api_key est vide, le serveur tourne sans aucune authentification, et dans Docker ou Kubernetes vous devez régler OPENSANDBOX_INSECURE_SERVER=YES pour l'autoriser, ce qui rend au moins le choix délibéré. Les images de version sont signées avec Cosign, et la documentation vous demande de les épingler par digest.
Le projet bouge vite : 153 issues et pull requests ouvertes, une version candidate 1.2 deux semaines après la 1.1.1, et une spécification de protocole conçue pour que d'autres construisent des runtimes contre elle. Pour une équipe qui fait déjà tourner Kubernetes et paie des factures de bac à sable à la seconde pour des évaluations d'agents ou des rollouts d'apprentissage par renforcement, ce rythme est un atout ; pour un seul agent de code sur un portable, c'est bien plus de machinerie que le travail n'en a besoin.
Là où il fait la différence
Une équipe ML qui fait tourner des évaluations d'agents nocturnes avec Harbor
Donner à chacun de plusieurs milliers d'essais son propre environnement propre
Utilisez les pools de ressources et la création par lots sur Kubernetes pour que chaque essai reçoive un bac à sable frais détruit ensuite. Le coût est les nœuds de votre cluster plutôt que des frais à la seconde à un fournisseur de bac à sable hébergé.
Une entreprise SaaS qui ajoute un interpréteur de code à son agent face au client
Faire tourner du Python écrit par le modèle pour de nombreux tenants sans qu'un s'échappe vers un autre
Faites tourner les bacs à sable sous Firecracker ou gVisor, définissez des politiques de sortie par bac à sable, et injectez les clés d'API via le Credential Vault. Définissez server.api_key avant d'exposer le serveur ; il est ouvert par défaut.
Un développeur qui essaie Claude Code ou Codex CLI en isolation
Laisser un agent de code travailler sur un dépôt dans un conteneur jetable
Démarrez le serveur avec uvx opensandbox-server sur Docker et suivez l'exemple Claude Code ; quelques minutes jusqu'à un premier bac à sable, même si srt fait ce travail sur un seul portable avec bien moins de configuration.
Avant de vous engager
- Mise en route
- A besoin de Docker et Python 3.10+ : uvx opensandbox-server init-config ~/.sandbox.toml --example docker, puis uvx opensandbox-server et pip install opensandbox. Kubernetes utilise un opérateur ; Firecracker a besoin de nœuds avec virtualisation.
- Intégrations
- SDK Python, TypeScript, Java/Kotlin, C#/.NET et Go, le CLI osb, un serveur MCP (pip install opensandbox-mcp) avec des outils de bac à sable, de commande et de fichier, et des exemples pour Claude Code, Codex CLI, Playwright, Chrome, les bureaux et Harbor.
- Données et confidentialité
- Tourne sur votre propre infrastructure sous Apache 2.0 ; l'export de métriques OpenTelemetry est optionnel ; images signées avec Cosign avec provenance ; pas d'avis de sécurité publiés sur GitHub.
- Coût à grande échelle
- Le logiciel est gratuit ; le coût est vos nœuds. Le benchmark des mainteneurs a utilisé deux nœuds Kubernetes avec 192 CPU et environ 742 Gio de mémoire chacun pour faire tourner un pool Firecracker de 20 emplacements.
- Limites
- Les runtimes sécurisés, l'entrée et la sortie ont besoin d'une configuration séparée ; les identifiants de l'endpoint secureAccess ne fonctionnent qu'avec la passerelle d'entrée Kubernetes ; le succès est tombé à 51 sur 100 créations quand la concurrence égalait la taille du pool.
Les points forts
- Même API du Docker local à un cluster Kubernetes
- Isolation Firecracker, gVisor ou Kata, plus pause et reprise
- Le Credential Vault garde les vrais secrets hors du bac à sable
- SDK en cinq langages, un CLI et un serveur MCP
Les points faibles
- Conteneurs simples sauf si vous configurez un runtime sécurisé
- Le serveur tourne sans authentification si aucune clé d'API n'est définie
- Les chiffres de vitesse en chemin rapide sont ceux des mainteneurs, sur de grands nœuds
- La configuration Kubernetes et Firecracker est un vrai travail d'opérations
Idéal pour
Les équipes plateforme qui font tourner des évaluations d'agents, des rollouts RL ou de l'exécution de code multi-tenant et veulent des bacs à sable sur leur propre infrastructure.
Alternatives à OpenSandbox
OpenSandbox : questions fréquentes
- OpenSandbox vaut-il le coup ?
- Une réponse auto-hébergée aux bacs à sable de code hébergés, qui vaut le travail Kubernetes quand vous avez besoin de milliers d'environnements d'agents éphémères sur vos propres machines. Nous lui donnons 4.1 sur 5.
- Combien coûte OpenSandbox ?
- Gratuit et open source sous Apache 2.0 ; pas d'édition payante des mainteneurs.
- Quels sont les inconvénients de OpenSandbox ?
- Conteneurs simples sauf si vous configurez un runtime sécurisé; le serveur tourne sans authentification si aucune clé d'API n'est définie; les chiffres de vitesse en chemin rapide sont ceux des mainteneurs, sur de grands nœuds; la configuration Kubernetes et Firecracker est un vrai travail d'opérations.
- À qui s’adresse OpenSandbox ?
- Les équipes plateforme qui font tourner des évaluations d'agents, des rollouts RL ou de l'exécution de code multi-tenant et veulent des bacs à sable sur leur propre infrastructure.
- Combien coûte OpenSandbox pour une équipe ou en production ?
- Le logiciel est gratuit ; le coût est vos nœuds. Le benchmark des mainteneurs a utilisé deux nœuds Kubernetes avec 192 CPU et environ 742 Gio de mémoire chacun pour faire tourner un pool Firecracker de 20 emplacements.
- OpenSandbox est-il sûr pour les données de l’entreprise ?
- Tourne sur votre propre infrastructure sous Apache 2.0 ; l'export de métriques OpenTelemetry est optionnel ; images signées avec Cosign avec provenance ; pas d'avis de sécurité publiés sur GitHub.
- Quelles sont les meilleures alternatives à OpenSandbox ?
- Les alternatives les plus proches que nous avons testées sont NVIDIA OpenShell et Anthropic Sandbox Runtime (srt).
Réponses vérifiées le 26 oct. 2026.