Modal avança no gVisor: isolamento de tarefas de IA com inicialização do sandbox em 25 ms

Se o seu agente de IA consegue executar Python, instalar pacotes e rodar comandos, você já está construindo um serviço de execução de código de terceiros. Um contêiner convencional ajuda a separar ambientes, mas mantém as aplicações compartilhando o kernel do Linux. Uma falha nesse kernel pode transformar a execução malsucedida de um script em um problema para a máquina inteira. A Modal sugere olhar para o gVisor: segundo a empresa, o sandbox inicia em cerca de 25 ms, com um consumo adicional de memória de aproximadamente 12 MB.

O anúncio acompanha uma mudança na governança do projeto. Segundo a publicação da Modal, o Google está transferindo o gVisor, incluindo o nome e as marcas registradas, para a CNCF, enquanto a liderança técnica passa para os mantenedores. Modal, Ant Group e Tines se comprometeram a integrar esse grupo. Para desenvolvedores de infraestrutura, o mais importante é a continuidade do suporte a GPUs, à comunicação em rede e à compatibilidade com as ferramentas habituais.

O que acontece entre o script e o servidor

Imagine um serviço em que um agente baixa o repositório de um usuário e executa testes. Ele pode conter dependências desconhecidas, scripts de instalação e comandos arbitrários. Em um contêiner convencional, suas chamadas de sistema são atendidas pelo kernel do host, o mesmo usado pelas tarefas vizinhas.

O gVisor insere entre a aplicação e o host seu próprio kernel de software, o Sentry, escrito em Go. Ele implementa a interface de chamadas de sistema do Linux por conta própria e acessa o kernel real por meio de um conjunto limitado de operações. O programa recebe um ambiente familiar, mas seu acesso ao servidor passa por uma verificação adicional.

O próprio Sentry também é restringido por mecanismos do Linux: namespaces, limites de recursos e filtros seccomp. São várias camadas de proteção, não uma promessa de segurança absoluta. Além disso, não é necessária virtualização por hardware: a abordagem também funciona em máquinas virtuais na nuvem em que a virtualização aninhada não está disponível.

A Modal afirma iniciar mais de 40 milhões de contêineres gVisor por dia. As cargas de trabalho incluem inferência, treinamento em várias máquinas e sandboxes de agentes. É a experiência de um único fornecedor, mas mostra que a tecnologia é usada muito além dos ambientes de demonstração.

GPUs dentro do sandbox: onde surgem as dificuldades

Isolar um script não basta: muitas vezes ele precisa de CUDA, várias GPUs e transferências rápidas de dados. Para NVIDIA, o gVisor conta com o nvproxy. Ele analisa e valida as chamadas à interface do driver, preservando a execução nativa dos cálculos e as operações com a memória da GPU.

A Modal descreve alterações enviadas ao projeto principal para dar suporte a novos drivers, NVLink, CUDA MPS, aos profilers Nsight e ao monitoramento. O benefício prático é simples: mover uma tarefa para o sandbox interfere menos no fluxo de trabalho habitual do engenheiro. Ainda assim, é preciso verificar no próprio ambiente o suporte a cada GPU, driver e ferramenta.

Para treinamento em vários servidores, a empresa adicionou o rdmaproxy. Ele valida as operações de controle do RDMA, mantendo um caminho direto pelo hardware para a transferência de dados. Nos testes de NCCL all-reduce, a Modal obteve cerca de 99% da taxa de transferência nativa. Esse é o resultado de um benchmark específico: não significa que qualquer treinamento perca apenas 1% de velocidade.

Outro resultado ilustrativo envolve a transferência de pacotes de dados por memória compartilhada: após uma alteração no alocador de memória, a velocidade de um teste subiu de 2,9 para 22 GB/s. Esse ganho mostra o quanto o desempenho depende do tipo de carga e da implementação de cada operação.

O que vale a pena verificar no seu ambiente

Para uma equipe que executa código de usuários ou agentes, o gVisor merece um teste específico. Escolha uma tarefa real: instalar dependências, percorrer um repositório grande, executar testes ou ler um conjunto de dados. Meça o tempo de inicialização, o consumo de memória, as operações com arquivos e a compatibilidade com as bibliotecas necessárias. A inicialização rápida do sandbox, por si só, ainda não garante uma resposta rápida do produto.

Para inferência, os snapshots de estado são interessantes: é possível salvar um processo já inicializado e restaurá-lo em outra máquina. A Modal informa cerca de 670 mil restaurações diárias de contêineres a partir de snapshots. Mas os snapshots de programas com várias GPUs ainda estão em desenvolvimento; o GPUDirect Storage e a inicialização de grandes servidores de inferência em menos de um minuto também são descritos como planos futuros.

A principal conclusão para um fundador ou gestor de produto é que executar código gerado exige uma decisão específica sobre isolamento. A mudança do gVisor para uma governança liderada pelos mantenedores amplia o grupo de empresas responsáveis pelo projeto. A decisão de adotá-lo deve se basear em testes próprios de segurança, compatibilidade e custo de execução.