Chainguard isoleert AI-codeeragenten in microVM’s

Chainguard Workspaces plaatst AI-codeeragenten in eigen geharde cloudmicroVM’s, met echte sleutels buiten de VM en optionele regels voor uitgaand verkeer, meldt het bedrijf.

De code draait daardoor niet meer op de ontwikkellaptop naast SSH-sleutels en productieaccounts, maar in een externe werkomgeving. De repository en zelfs onvoltooide bestanden gaan wel mee naar die cloudomgeving. Voor een Nederlands ontwikkelteam verschuift de beveiligingsvraag dus naar twee grenzen: welke data de agent ziet en welke systemen de VM kan bereiken.

De repository verhuist naar een aparte VM

Een ontwikkelaar start een Workspace met chainctl develop. De omgeving opent een shell in een eigen microVM op afstand, met de Git-geschiedenis en benodigde ontwikkeltools. Koppel je een lokale Git-map, dan synchroniseert Chainguard ook bestanden die nog niet aan Git zijn toegevoegd en wijzigingen die nog niet vastliggen. Je editor en Git-workflow blijven lokaal, maar de uitvoering gebeurt in de cloud.

Chainguard schrijft dat een ontwikkelaar vaak vijf of zes agentsessies tegelijk draait op verschillende takken van een repository. Die sessies kunnen elkaar in de weg zitten met poorten, processen en bouwcaches. Met de optie --fresh kunnen ontwikkelaars meerdere onafhankelijke Workspaces voor dezelfde repository starten, zonder aparte Git-werkmappen of dubbele zware afhankelijkheden zoals node_modules. Dat beschrijft het gebruiksdoel van Chainguard; het bedrijf publiceert geen onafhankelijke meting van de tijdwinst. Volgens Chainguard draait een ontwikkelaar vaak vijf of zes agentsessies tegelijk op verschillende takken van een repository.

Echte sleutels blijven buiten de VM

Chainguard bouwt iedere Workspace als een eigen geharde microVM, niet als een container met een gedeelde kernel. Volgens het bedrijf staan echte geheimen niet op schijf of in het geheugen van de VM. Wanneer de agent een netwerkverzoek doet, controleert een proxy de aanvraag en injecteert de host tijdelijke inloggegevens. Gereedschap dat een sleutel op schijf verwacht, krijgt een versleutelde tijdelijke vervanger die buiten de actieve sessie niet bruikbaar is.

De VM-image wordt volgens Chainguard samengesteld uit minimale OS-pakketten zonder bekende CVE’s. Het bedrijf zegt FIPS-varianten en een getekende attestatie per run te leveren. De aankondiging geeft geen onafhankelijke meting van de nul-CVE-claim.

De agent kan zelf binnen de VM draaien, of lokaal op de laptop blijven en opdrachten via een interactieve verbinding naar de Workspace sturen. In beide gevallen vindt de uitvoering in de geïsoleerde omgeving plaats. Chainguard zegt daarnaast dat een logboek de omgeving, uitgevoerde opdrachten, codewijzigingen, netwerkverzoeken en eventuele CI-resultaten vastlegt. Zo ontstaat een spoor om een agentsessie terug te kijken. Dat spoor toont welke verzoeken zijn gedaan; aparte egressregels bepalen naar welke systemen de agent verkeer kan sturen. 1Password richt zich op die andere laag met rechten die per taak voor een agent worden aangemaakt en na afloop verdwijnen.

Uitgaand verkeer vraagt om een eigen beleid

De netwerkproxy controleert verzoeken en kan credentials leveren voor bijvoorbeeld een modelgateway of pakketbron. De egressregel is echter optioneel. Zodra het team die inschakelt, blokkeert en registreert de proxy verbindingen met bestemmingen die niet expliciet zijn toegestaan. De aankondiging specificeert niet welke adressen standaard bereikbaar zijn als een team geen eigen beleid instelt. De agent heeft geen echte sleutel in zijn eigen bestandssysteem, maar kan via de hostproxy wel netwerkverzoeken doen.

Een Workspace kan pauzeren en hervatten

Bij loskoppelen slaat Workspaces de hele sessie op als momentopname. Een ontwikkelaar kan de omgeving daarna binnen seconden hervatten met de bestanden, achtergrondprocessen en shellcontext intact. Wanneer een agent een ontwikkelaar om een beslissing vraagt, blijft de omgeving tien minuten actief. Daarna worden processen en geheugen opgeslagen in een momentopname en stopt het rekenverbruik. Chainguard publiceert geen maximale algemene sessieduur. Techzine citeert CEO Dan Lorenc, die zegt dat agenten urenlang in een eigen microVM kunnen doorwerken.

Workspaces is een afzonderlijk ontwikkelproduct naast Chainguards Harness-scanner. Harness rapporteert alleen kwetsbaarheden die reproduceerbaar zijn en een geteste reparatie hebben. Chainguard zegt dat Harness een draaiende applicatie met Claude Mythos 5.1 in een microVM op kwetsbaarheden test. Workspaces biedt de omgeving waarin codeeragenten ontwikkeltaken uitvoeren.

De bèta laat prijs en bereik open

De bèta is sinds 14 oktober beschikbaar en begint met een gratis proefperiode van dertig dagen. Chainguard noemt Claude als de agent die nu wordt ondersteund; andere agenten volgen later. Workspaces werkt zelfstandig. Chainguard Checks, dat CI-tests in de agentlus kan uitvoeren, is optioneel. De prijs volgt het gebruikte rekenvermogen, maar het bedrijf noemt geen tarief per uur of rekenprofiel. Warme momentopnamen en pauzeren tijdens wachten moeten volgens Chainguard het betaalde rekenverbruik beperken.

Dit past in een bredere beweging naar cloudisolatie voor programmeeragenten. Docker kondigde op 24 september Cloud Sandboxes aan, waarin agenten in Docker-beheerde microVM’s kunnen doorwerken nadat de laptop uitstaat. De Docker-omgeving verplaatst agentwerk naar een cloudmicroVM wanneer de ontwikkelaarslaptop niet beschikbaar is. Docker noemt één tot zestien virtuele CPU’s als schaalbereik; Chainguard publiceert nog geen vergelijkbare capaciteit of prijs. De aankondiging van Docker zegt dat de cloudomgeving agenttaken op één tot zestien virtuele CPU’s uitvoert.

Docker bracht cloudmicroVM’s voor codeeragenten eind september ook naar de markt. Workspaces voegt daaraan automatische synchronisatie van onvoltooide repositorywijzigingen en een proxy voor tijdelijke inloggegevens toe. Voor Nederlandse teams blijven de standaardbestemmingen, maximale sessieduur, gegevenslocatie en computeprijs onduidelijk. Die gegevens bepalen of een proef op een gevoelige repository past en binnen het ontwikkelbudget blijft.