Best apps for sandboxing AI coding agents

Claude Code, Cursor या Aider को काम करते हुए देखने के बाद सही सहज प्रवृत्ति एजेंट को अधिक अनुमति देना है। गलत परिणाम एक पुनः लिखी गई dotfile और गलत repo पर एक अनलॉक ब्रांच है। डेस्कटॉप पर AI कोडिंग एजेंटों को सैंडबॉक्स करने के लिए सर्वश्रेष्ठ ऐप्स एजेंट को होस्ट फाइलसिस्टम से बाहर निकाल कर एक कंटेनर या VM में डालते हैं जहां एक गलत कार्रवाई लैपटॉप को स्पर्श नहीं करती। युक्ति एक ऐसा चुनना है जिसका स्टार्टअप समय कुछ सेकंड हो, कुछ मिनट नहीं, ताकि सैंडबॉक्स डिफ़ॉल्ट बन जाए और अपवाद न हो। हमने सात को देखा।

AI एजेंट सैंडबॉक्स में क्या देखना है

छह चीजें महत्वपूर्ण हैं:

त्वरित तुलना

ऐप सर्वश्रेष्ठ के लिए अलगाव स्टार्टअप फ्री प्लान बेहतरीन
Docker Desktop सबसे व्यापक इकोसिस्टम कंटेनर ~5s व्यक्तिगत + छोटे व्यवसाय एजेंट मान लेते हैं
Podman Desktop Rootless कंटेनर कंटेनर ~4s हमेशा फ्री कोई daemon नहीं; pods पहली पंक्ति में
Colima केवल macOS terminal कंटेनर ~4s हमेशा फ्री Docker CLI, Docker Desktop नहीं
OrbStack macOS पर सबसे तेज कंटेनर + light VM ~2s व्यक्तिगत फ्री 2 सेकंड में शुरू
Multipass असली Ubuntu VM हार्डवेयर VM ~15s हमेशा फ्री पूरा VM, Canonical द्वारा बनाए रखा गया
UTM macOS पर कोई भी OS VM में हार्डवेयर VM ~20s फ्री, App Store में भुगतान किया गया ARM Linux, Windows आदि चलाता है
Firecracker Kernel-level microVM MicroVM <1s हमेशा फ्री हर कार्य अपने VM में

ऐप्स

1. Docker Desktop, सर्वश्रेष्ठ डिफ़ॉल्ट

Docker Desktop वह सैंडबॉक्स है जिसे अधिकांश एजेंट मान लेते हैं कि वे पहुँच सकते हैं। इसमें daemon, CLI, एक छोटा Linux VM (LinuxKit), Compose और Kubernetes शामिल हैं। Claude Code, Aider या Cursor को docker.sock पर निर्देशित करें और एजेंट परीक्षण चलाने, deps स्थापित करने और पुनरावृत्त करने के लिए अपने स्वयं के कंटेनर शुरू कर सकता है। डिफ़ॉल्ट फाइल-शेयरिंग इंजन (आधुनिक संस्करणों पर VirtioFS) वास्तविक कार्य दिवस के लिए पर्याप्त तेज़ है।

जहां यह विफल होता है: लाइसेंस कुछ साल पहले बदल गया। व्यक्तिगत उपयोग और छोटे व्यवसाय मुफ्त हैं; बड़े संगठनों को एक भुगतान योजना की आवश्यकता है। कम RAM वाली मशीनों पर VM फुटप्रिंट ध्यान देने योग्य है।

मूल्य निर्धारण:

प्लेटफॉर्म: Windows, macOS, Linux।

डाउनलोड: Docker Desktop

निचला पंक्ति: यहाँ शुरू करें जब तक कि कोई विशिष्ट आवश्यकता इसे बाहर न निकाले। हर एजेंट टूल जानता है कि इससे कैसे बात करनी है।

2. Podman Desktop, सर्वश्रेष्ठ rootless कंटेनर पथ

Podman Desktop Docker का daemon-रहित, rootless विकल्प है। कंटेनर वर्तमान उपयोगकर्ता के रूप में चलते हैं, जो Linux पर root-स्वामित्व वाले Docker की तुलना में blast radius में वास्तविक कमी है। Pods (कई कंटेनर एक नेटवर्क namespace साझा करते हुए) पहली पंक्ति में हैं, जो एजेंटों के लिए उपयुक्त है जो एक साथ service और client शुरू करते हैं।

जहां यह विफल होता है: कुछ Compose फाइलें अभी भी Docker semantics मान लेती हैं; कभी-कभी नेटवर्किंग में edge cases होते हैं जिन्हें podman-compose config tweaks की आवश्यकता होती है।

मूल्य निर्धारण: मुफ्त, Apache-2.0।

प्लेटफॉर्म: Windows, macOS, Linux।

डाउनलोड: Podman Desktop

निचला पंक्ति: Linux पर पसंद जहां rootless महत्वपूर्ण है, और किसी भी होस्ट पर जो पूरी तरह open-source stack चाहता है।

3. Colima, सर्वश्रेष्ठ macOS terminal-only पथ

Colima macOS पर एक हल्का Linux VM चलाता है Docker या containerd runtime के साथ अंदर। कोई GUI नहीं: CLI काफी है। स्टार्टअप तेज़ है, संसाधन उपयोग छोटा है, और vanilla docker CLI इसके साथ बिना परिवर्तन के काम करता है।

जहां यह विफल होता है: कोई GUI नहीं, कोई compose UI नहीं, कोई Kubernetes preset shortcut नहीं। जो उपयोगकर्ता एक dashboard चाहते हैं उन्हें कहीं और देखना चाहिए।

मूल्य निर्धारण: मुफ्त, MIT-लाइसेंस प्राप्त।

प्लेटफॉर्म: macOS, Linux।

डाउनलोड: GitHub

निचला पंक्ति: एक Mac डेवलपर के लिए जो terminal में रहता है और Docker Desktop नहीं चाहता।

4. OrbStack, macOS पर सर्वश्रेष्ठ कच्ची गति

OrbStack एक आधुनिक Apple Silicon Mac पर Docker-compatible कंटेनर को लगभग दो सेकंड में और एक पूरा Linux VM को पाँच में शुरू करता है। यह idle पर Docker Desktop की तुलना में कम RAM का उपयोग करता है और macOS filesystem के साथ पर्याप्त रूप से एकीकृत होता है कि mounted volumes को native लगे। tight loops में एजेंट (test, refactor, retest) स्टार्टअप अंतर से लाभान्वित होते हैं।

जहां यह विफल होता है: केवल macOS। व्यक्तिगत उपयोग के लिए मुफ्त; वाणिज्यिक उपयोग को एक लाइसेंस की आवश्यकता है।

मूल्य निर्धारण:

प्लेटफॉर्म: macOS।

डाउनलोड: OrbStack

निचला पंक्ति: macOS पर पसंद जब स्टार्टअप समय एजेंट loop को बनाता या तोड़ता है।

5. Multipass, सर्वश्रेष्ठ real-Ubuntu-VM पथ

Multipass Canonical का cloud-init-configured Ubuntu VMs को एक कमांड से शुरू करने का टूल है। एक VM कंटेनर नहीं है: kernel, cgroups और सब कुछ isolated है। यह महत्वपूर्ण है जब एजेंट को kernel modules स्थापित करने, udev rules चलाने या networking behaviour को परीक्षण करने की आवश्यकता हो जो कंटेनर पुनः निर्माण नहीं कर सकता।

जहां यह विफल होता है: VM दसियों सेकंड में शुरू होते हैं, एक नहीं। हर environment के लिए RAM footprint अधिक है।

मूल्य निर्धारण: मुफ्त, GPL-3.0।

प्लेटफॉर्म: Windows, macOS, Linux।

डाउनलोड: Multipass

निचला पंक्ति: जब कार्य को एक पूरा Linux system की आवश्यकता हो, कंटेनर नहीं।

6. UTM, macOS पर सर्वश्रेष्ठ “any-OS in VM”

UTM macOS पर एक clean UI के साथ QEMU को लपेटता है। यह ARM Linux, x86 Linux (emulation के माध्यम से), Windows on ARM और कम common guests चलाता है। एजेंट जो एक target पर परीक्षण करने की आवश्यकता है जो डेवलपर की native architecture नहीं है यहाँ रहते हैं।

जहां यह विफल होता है: Apple Silicon पर x86 emulation ARM guests से काफी धीमा है। तेज़ पुनरावृत्ति के लिए पहली पसंद नहीं।

मूल्य निर्धारण:

प्लेटफॉर्म: macOS (TestFlight के माध्यम से iOS/iPadOS भी)।

डाउनलोड: UTM

निचला पंक्ति: जब एजेंट target Windows-on-ARM, ARM Linux या एक विशिष्ट distro image हो जिसे होस्ट natively नहीं चला सकता।

7. Firecracker, सर्वश्रेष्ठ microVM

Firecracker वह microVM technology है जिसे AWS Lambda और Fargate के लिए उपयोग करता है। यह 125 ms से कम में एक tiny hardware VM शुरू करता है। एजेंट के हर कार्य को एक fresh microVM में लपेटना इस सूची पर सबसे मजबूत अलगाव है: सैंडबॉक्स के पास डिफ़ॉल्ट रूप से runs के बीच persistence नहीं है।

जहां यह विफल होता है: यह अपने आप में एक desktop app नहीं है। यह एक binary के रूप में आता है जो एक orchestrator की अपेक्षा करता है (Ignite, Weaveworks या एक homegrown wrapper)। केवल Linux पर चलता है।

मूल्य निर्धारण: मुफ्त, Apache-2.0।

प्लेटफॉर्म: Linux।

डाउनलोड: GitHub

निचला पंक्ति: एक research team के लिए जो हर एजेंट कार्य को अपने स्वयं के disposable VM में चाहता है और इसे wire करने के लिए ops chops है।

सही सैंडबॉक्स कैसे चुनें

यदि लक्ष्य है “आज एक एजेंट को कम से कम friction के साथ काम करना”: Docker Desktop। हर कोई इसे मान लेता है।

यदि open-source और rootless महत्वपूर्ण हैं: Podman Desktop।

यदि macOS और गति महत्वपूर्ण हैं: कंटेनर के लिए OrbStack, terminal-only workflow के लिए Colima।

यदि कार्य को real Linux VM की आवश्यकता है (kernel modules, networking, systemd behaviour): Multipass।

यदि target OS host OS नहीं है: macOS पर UTM।

यदि लक्ष्य per-task, disposable अलगाव है microVM के साथ: एक छोटे orchestration layer के साथ Firecracker।

FAQ

क्या एक AI एजेंट को वास्तव में सैंडबॉक्स की आवश्यकता है? हाँ। एजेंट prompt-driven हैं; prompts में edge cases हैं। सैंडबॉक्स सस्ता insurance policy है: worst case, एक कंटेनर delete होता है, home directory नहीं।

मैं एजेंट को अपनी repo कैसे दिखा सकता हूँ बिना इसे अपनी पूरी home directory दिए? project directory को कंटेनर में bind-mount करें, read-write; host filesystem के बाँकी को mount के बाहर छोड़ें। VS Code Dev Containers, docker run -v $(pwd):/work और devcontainer.json सभी यह करते हैं।

क्या सैंडबॉक्स internet तक पहुँच सकता है? डिफ़ॉल्ट रूप से, हाँ। egress को प्रतिबंधित करने के लिए, पूर्ण air gap के लिए Docker का --network none या iptables rules के साथ custom network का उपयोग करें। Firecracker network taps को समर्थन करता है जिन्हें hard-shaped किया जा सकता है।

सैंडबॉक्स को कितना RAM मिलना चाहिए? एक कंटेनर को कुछ भी चलाने के लिए कम से कम 4 GB memory दें जो एक package install और build चलाएं। VMs (Multipass, UTM) 2 GB से शुरू होते हैं लेकिन 8 GB एक आधुनिक toolchain के साथ Linux के लिए सुरक्षित है।

runs के बीच सैंडबॉक्स को reset करने का सबसे तेज़ तरीका क्या है? कंटेनर के लिए docker compose down && docker compose up -d; VM के लिए multipass restart या multipass purge। Firecracker का जवाब है “एक नया microVM start करो”; यह पूरा मुद्दा है।

क्या एक VM कंटेनर से अधिक सुरक्षित है? हाँ, और adversarial workloads के लिए एक बड़े margin से। एक VM के पास अपना kernel है; एक कंटेनर host kernel साझा करता है। एजेंटों के लिए जिन्हें आप लिखते हैं और विश्वास करते हैं, एक कंटेनर आमतौर पर पर्याप्त है। untrusted code के लिए एक model से जिसने अभी एक package download किया है, एक VM अधिक सुरक्षित डिफ़ॉल्ट है।