AI-agenten · Les

Sandboxuitvoering voor codeagents

Voer nooit door het model gegenereerde code uit op uw host — gebruik gVisor-, Firecracker- of E2B-sandboxes.

Les 3 van 415 stappen

Sandboxuitvoering voor codeagents is een gratis AI-agenten-les op CoddyKit. Dit is les 3 van 4. Je kunt de volledige les hieronder gratis lezen en daarna in de browser praktisch oefenen met een ingebouwde code-editor en een AI-begeleider die 24/7 beschikbaar is. Deze les maakt deel uit van het leertraject AI-agenten. Je voortgang wordt gesynchroniseerd op het web en in de CoddyKit-app. De cursus AI-agenten bevat in totaal 4 lessen.

Delen van deze les zijn nog niet vertaald en worden in het Engels weergegeven.

Waarom een sandbox?

Codeagents (Devin, Claude Code, OpenDevin) voeren door het model gegenereerde code uit. Als je die code op je hostcomputer uitvoert, kan het model:

Je geheimen en API-sleutels lezen
Bestanden verwijderen
Uitgaande netwerkverbindingen maken
Cryptovaluta minen

Een sandbox is een geïsoleerde omgeving die de schade beperkt.

Niveaus van isolatie

Niveau	Tool	Gebruik
Proces	subprocess + chroot	Lage beveiliging, alleen voor ontwikkeling
Container	Docker	Redelijke standaardkeuze
VM / microVM	Firecracker, gVisor	Sterke isolatie
Gehoste sandbox	E2B, Daytona	Eenvoudigste keuze voor productie

Docker Sandbox Basics

docker run \
  --rm \
  --network=none \
  --memory=512m \
  --cpus=0.5 \
  --read-only \
  --user=nobody \
  -v /tmp/work:/work:rw \
  python:3.11-slim \
  python /work/script.py

Netwerkisolatie

--network=none schakelt uitgaand verkeer uit. Voor sommige taken heb je beperkt internet nodig — gebruik een egressproxy die specifieke hosts op een toelatingslijst zet.

Resourcebeperkingen

Limieten voorkomen onbeheerst CPU- en geheugengebruik:

--memory — RAM-limiet
--cpus — CPU-aandeel
--pids-limit — aantal processen
--ulimit — bestandsdescriptors

Firecracker / gVisor

Voor sterkere isolatie dan Docker:

Firecracker — microVM van AWS, gebruikt door Lambda
gVisor — kernel in de gebruikersruimte van Google, directe vervanging voor Docker
Kata Containers — Docker-ervaring met isolatie via een VM

E2B-gehoste sandbox

E2B (e2b.dev) biedt via een API een externe sandbox:

# pip install e2b
import e2b
sandbox = e2b.Sandbox(template='python', api_key='...')

result = sandbox.run_code('print(2 + 2)')
print(result.stdout)   # '4'

sandbox.close()

Daytona

Daytona biedt vergelijkbare mogelijkheden voor gehoste sandboxes, gericht op ontwikkelwerkruimten.

Sandbox voor het bestandssysteem

Maak alleen datgene waar de agent lees- en schrijfrechten voor nodig heeft beschikbaar; maak al het andere alleen-lezen of verberg het:

docker run -v ${PWD}/workdir:/workdir:rw \
           -v ${PWD}/readonly:/readonly:ro ...

Tijdslimieten

Beperk de totale uitvoeringstijd om eindeloze lussen te voorkomen:

docker run --rm --stop-timeout 30 ... \
  python -c 'import resource; resource.setrlimit(resource.RLIMIT_CPU, (30, 30)); exec(open("/work/script.py").read())'

Logboekregistratie

Leg elk commando, elke uitvoer en elke wijziging aan bestanden vast. Leg voor agents met hoge risico's de volledige sandboxsessie vast in een auditlogboek.

Sandboxes voor meerdere tenants

Sandboxes per gebruiker voorkomen dat gebruikers elkaars toestand vervuilen. Start per sessie een nieuwe sandbox en breek die daarna af.

Kosten versus beveiliging

Sterkere isolatie = hogere kosten (overhead per VM). Stem het niveau af op het risico:

Voor tutorials of een sandboxfunctie voor gebruikers: Docker is prima
Voor productiecode die geheimen aanraakt: Firecracker / E2B

Netwerkblokkade

Hoe voorkom je dat een codeagent uitgaande netwerkverbindingen maakt?

Beantwoord dit in de interactieve les

Samenvatting

Voer nooit door een model gegenereerde code uit op je host. Kies het isolatieniveau op basis van het risico: Docker voor ontwikkeling, gVisor / Firecracker / E2B voor productie. Beperk CPU, geheugen, tijd en netwerk.

Gratis beginnen

Leer AI-agenten met een AI-tutor — gratis

Schrijf echte code en voer die uit in je browser, krijg direct hulp van een AI-tutor die 24/7 beschikbaar is en ga verder waar je gebleven bent op het web of in de app.

Cursussen: 60
Lessen: 239

Gratis beginnen met leren Bekijk de volledige cursus

Veelgestelde vragen

Is de les “Sandboxuitvoering voor codeagents” gratis?

Ja — de volledige tekst van “Sandboxuitvoering voor codeagents” kun je hier gratis op het web lezen. Als je interactief wilt oefenen met een ingebouwde code-editor en een AI-begeleider die 24/7 beschikbaar is, en de rest van de cursus AI-agenten wilt ontgrendelen, kun je upgraden naar CoddyKit PRO. De cursus AI-agenten bevat in totaal 4 lessen.

Wat leer ik in “Sandboxuitvoering voor codeagents”?

Voer nooit door het model gegenereerde code uit op uw host — gebruik gVisor-, Firecracker- of E2B-sandboxes. Je oefent met AI-agenten door code rechtstreeks in de browser uit te voeren. Een AI-begeleider die 24/7 beschikbaar is beantwoordt je vragen terwijl je de les doorwerkt.

Heb ik ervaring nodig om met AI-agenten te beginnen?

Ervaring vooraf is niet nodig. AI-agenten op CoddyKit is opgebouwd voor beginners tot gevorderden, zodat je hier of bij het begin kunt starten en in je eigen tempo kunt leren. Dit is les 3 van 4.

Hoe lang duurt de les “Sandboxuitvoering voor codeagents”?

De meeste lessen van CoddyKit duren ongeveer 5–10 minuten. Elke les is kort en interactief, zodat je gestaag vooruitgaat en op het web en in de app precies verdergaat waar je was gebleven.

Kan ik code schrijven en uitvoeren in deze les over AI-agenten?

Ja. Elke les over AI-agenten bevat een ingebouwde code-editor, zodat je rechtstreeks in je browser echte code kunt schrijven en uitvoeren en direct feedback van AI krijgt — lokale installatie is niet nodig.

Alle lessen in deze cursus

← Terug naar AI-agenten