Vercel Sandbox: rodar código de IA com segurança em Firecracker microVM

Resposta atômica: Vercel Sandbox entrou GA em janeiro de 2026. Cada sandbox roda em Firecracker microVM com filesystem e network próprios. Suporta Node.js 22/24/26 e Python 3.13 com root. Start em milissegundos. SDK e CLI open-source.

O problema que Sandbox resolve

Agente gera código. Você precisa executar. Duas opções ruins:

Opção 1: rodar no mesmo processo do app. Resultado: agente quebra a aplicação, lê secrets, escreve em DB. Game over.

Opção 2: rodar em VM separada. Resultado: latência alta, custo alto, complexidade de orquestração que ninguém quer manter.

Sandbox resolve o trade-off: isolamento de microVM com start em milissegundos.

A tech por trás: Firecracker

Firecracker é o mesmo isolador que a AWS usa para Lambda. Hipervisor minimalista, em Rust, projetado para boot rápido e overhead baixo.

A consequência prática: cada execução de código tem:

• Filesystem isolado — não vê arquivos do host
• Network isolado — não toca em VPC interno
• Kernel próprio — não é só namespace (containers); é VM real
• Boot em milissegundos — não centenas de ms como VMs tradicionais

Para workloads de agente que rodam dezenas de execuções por minuto, isso é o que faz a economia fechar.

Runtimes suportados

• Node.js 22, 24, 26
• Python 3.13

Todos com root access. Você pode instalar pacotes, escrever em filesystem, fazer requests. O isolamento garante que tudo isso acontece dentro da microVM.

Como começar

import { Sandbox } from "@vercel/sandbox";

const sandbox = await Sandbox.create({
  runtime: "node26",
});

const result = await sandbox.exec("npm install lodash && node script.js", {
  files: {
    "script.js": "console.log(require('lodash').chunk([1,2,3,4], 2));",
  },
});

console.log(result.stdout);

await sandbox.destroy();

(Esquema ilustrativo; consulte SDK reference para a interface exata.)

A API é mínima — create, exec, destroy. Pode receber arquivos virtuais como input, capturar stdout/stderr, e ler arquivos após execução.

Casos de uso reais

1. AI-powered UI builder. Usuário descreve UI; LLM gera código React; Sandbox executa em microVM; preview live é renderizado.

2. Code interpreter para agente. Agente precisa executar análise de dados ou cálculo complexo; gera código Python; Sandbox executa com pandas/numpy; resultado volta como contexto.

3. Pipeline de processamento de upload. Usuário faz upload de arquivo; código de transformação custom roda em sandbox; resultado escrito em storage.

4. Playground educacional. Aluno escreve código; sandbox executa; output visível.

5. Testing isolado. PR contém código suspeito; rodar em sandbox antes de aprovar.

Comparativos rápidos

Vercel Sandbox vs E2B: ambos resolvem o problema. Sandbox é tighter com stack Vercel (Functions + AI Gateway). E2B é standalone com SDK próprio e mais opções de plataforma.

Vercel Sandbox vs CodeSandbox: CodeSandbox é dev environment full (IDE, hot reload, projetos persistentes). Sandbox é compute primitive — efêmero, focado em execução.

Vercel Sandbox vs container: container é Docker rodando em runner compartilhado. Menos isolamento (namespaces vs VM), mais peso de start, mais overhead operacional. Sandbox vence em isolamento e start time.

Onde isso muda arquitetura

1. Pode oferecer "agente que codifica e executa". Antes, expor execução era risco inaceitável. Agora é primitive viável.

2. Pricing model muda. Sandbox tem custo previsível por execução. Para SaaS com volume, entra no cálculo de preço por execução de agente direto.

3. Compliance fica acessível. Para clientes que pedem "código de IA roda em ambiente isolado certificado", checkbox padrão sem montar infra própria.

Pegadinhas

Sem persistência entre sandboxes. Estado morre no destroy(). Para fluxos que dependem de continuidade, persistir externamente.

Custo escala com tempo de execução. Loop infinito custa. Tenha timeouts.

Limite de recursos. Cada sandbox tem RAM/CPU limitados pelo plano. Workloads pesadas (ML training) não cabem.

Network egress. Sandbox pode acessar internet (configurável). Auditar o que código gerado pode fazer com rede.

A leitura estratégica

Vercel Sandbox destrava classe inteira de produtos: tudo que envolve executar código gerado/submetido por terceiros com segurança. Antes era infra própria custosa; agora é primitive.

Para 2026, espere uma onda de produtos "agente que [executa código X em [linguagem Y]]". Quem entra cedo tem vantagem porque a fricção caiu.

Próximo passo

Para times construindo agente que precisa executar código ou produto com ambiente de execução para usuário: discovery técnico avalia se Sandbox cabe (plano, runtime, network policy) ou se vale alternativa.

Fontes citadas

1. Run untrusted code with Vercel Sandbox — GA · acessado em 2026-05-19
2. Vercel Sandbox — Docs · acessado em 2026-05-19
3. Safely running AI generated code · acessado em 2026-05-19