ИИ-агенту можно дать доступ к терминалу, но лучше заранее позаботиться о том, что он сможет сделать за пределами рабочей папки. gVisor и Kata Containers обещают более строгую изоляцию, однако за неё приходится платить производительностью и памятью. Я сравнил их с обычным Docker на пяти тестовых сценариях, чтобы выяснить, насколько велики эти накладные расходы и когда дополнительная изоляция действительно оправданна. Смотреть результаты
Continue to Habr →You are being forwarded in 6s — stay on this page