逆向工程 Claude Web MicroVM：揭秘 Anthropic 的 Antspace 隔离机制

随着大语言模型（LLM）从单纯的文本生成器演变为具备自主操作能力的 Agent，安全地执行由模型生成的任意代码已成为 AI 基础设施的核心需求。当用户在 Claude 的 Web 界面中使用 Artifacts 或代码执行功能时，Anthropic 并非在简单的 Serverless 函数中运行这些代码，而是将其投递到一个经过高度加固、即用即毁的隔离容器环境中。在内部系统日志与诊断追踪中，该环境常被称为 Antspace。

本文将对 Claude Web 的 MicroVM 架构进行深入的逆向工程解析，探讨 Anthropic 如何在实现极低毫秒级启动延迟的同时确保内核级别的隔离性，并分析其网络边界防护与系统调用过滤机制。同时，我们将探讨开发者在利用 n1n.ai 等大模型 API 聚合平台接入 API 时，如何在后端构建同等安全级别的沙箱环境。

大模型代码执行的安全困境

在生产环境中运行 LLM 生成的代码面临着严峻的安全挑战。由于大模型生成的代码具备动态性且可能包含来自用户输入的 Prompt 注入攻击，未经审查的代码可能试图读取宿主机环境变量、扫描内部网络或发起拒绝服务攻击（DoS）。

为了安全地运行 Python 或 JavaScript 代码片段，现代 AI 平台摒弃了传统的 Docker 容器方案，转向基于 WebAssembly、gVisor 或轻量级微虚拟机（MicroVM，如 Firecracker）。传统 Docker 容器共享宿主机内核，容易受到内核漏洞（例如 CVE-2022-0492）或本地权限提升的威胁；而传统的完整硬件虚拟化（如 QEMU/KVM）则存在数秒的冷启动延迟，无法满足交互式 AI 的实时体验需求。

Anthropic 的 Antspace 架构正是为了解决这一矛盾而设计，通过自定义的 MicroVM 快照恢复技术，兼顾了高密度并发、毫秒级启动与极高的安全边界。

Antspace MicroVM 沙箱核心架构解构

通过对 Claude 运行环境中暴露的文件系统路径、系统调用特征以及环境变量进行分析，我们可以还原出 Antspace 沙箱的整体技术拓扑：

+-------------------------------------------------------------------+
|                     Claude Assistant Agent                        |
+-------------------------------------------------------------------+
                                 |
                                 v ( gRPC / Protocol Buffers )
+-------------------------------------------------------------------+
|                 Antspace Sandbox Orchestrator                     |
+-------------------------------------------------------------------+
        |                                           |
        v (预热快照内存池)                           v (安全策略层)
+-------------------------------+       +---------------------------+
| 瞬态 MicroVM 实例             |       | 网络与存储管控规则        |
| - 自定义 Linux Kernel 5.x/6.x |       | - 仅保留 Loopback 回环    |
| - 只读根文件系统 (Read-Only)  |       | - 内存盘 /tmp (tmpfs)     |
| - Seccomp-BPF 系统调用过滤    |       | - 严格限制磁盘 IOPS       |
| - 内存上限 (例如 512MB)       |       | - CPU 配额 (cgroups v2)   |
+-------------------------------+       +---------------------------+

1. 基于内存快照的秒级启动（Snapshot Bootstrapping）

为了将代码执行延迟控制在 50ms 以内，Antspace 不会为每次代码执行重新冷启动 Linux 系统。调度器在内存中维护了一个已预热的虚拟机快照池（Golden Snapshot）。当接收到执行请求时，调度器通过写时复制（Copy-on-Write, COW）技术快速克隆出独立的内存区域，瞬间恢复包含 Python 解释器及常用库（NumPy、Pandas、Matplotlib 等）的运行时。

2. 文件系统隔离与只读存储

沙箱的根文件系统被挂载为只读模式（Read-Only）。所有临时写入操作均被限制在基于 RAM 的内存盘（tmpfs）目录 /tmp 中。一旦任务执行完毕，该 MicroVM 实例即被销毁，彻底杜绝了跨会话的数据残留与持久化威胁。

3. 基于 Seccomp-BPF 的系统调用过滤

沙箱通过 seccomp-BPF 机制在 Linux 内核层面对系统调用（Syscalls）进行了严格限制。诸如 ptrace、unshare、kexec_load 以及底层网络 Socket 创建等高风险系统调用均被禁用。即便解释器本身存在零日（Zero-Day）漏洞，攻击者也无法突破内核边界。

主流 LLM 代码沙箱方案对比

在构建企业级 AI 应用时，理解不同的代码隔离技术路线至关重要：

在使用 n1n.ai 等大模型 API 聚合平台接入 Claude 3.5 Sonnet、OpenAI o3 或 DeepSeek-V3 构建 Agent 时，开发者同样需要在后端部署类似的沙箱机制，以处理不安全的模型输出。

手把手构建安全的 Python 执行沙箱

在后端直接对 LLM 输出的代码调用 exec() 或 subprocess.run() 存在巨大的安全隐患。以下代码展示了如何使用 Python 原生资源限制与进程隔离构建一个基础的安全代码执行器。

安全执行器代码实现

import subprocess
import sys
import os
import resource

def apply_sandbox_limits():