Containarium — изолированные машины для ИИ-агентов
Containarium
Платформа на вашем сервере, которая выдает каждому агенту свою Linux-машину с SSH и MCP-инструментами для команд и файлов
- 313 ★ репозитория
- Последний коммит
- Apache-2.0
Широкий доступ
Почему такой уровень
- shell_exec выполняет произвольные команды в машине, а платформенный MCP управляет контейнерами, сетью и секретами
- Установщик запускается с правами root, а токен администратора хранится на хосте
Установка
- Работает в
Ручная установка
curl -fsSL https://containarium.dev/install.sh | sudo bashСтавит демон и консольную утилиту на Ubuntu 24.04. Дальше выполните containarium quickstart alice.
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- shell_exec выполняет произвольные команды в машине, а платформенный MCP управляет контейнерами, сетью и секретами
- Установщик запускается с правами root, а токен администратора хранится на хосте
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Containarium выдает каждому агенту отдельную постоянную Linux-машину в непривилегированном контейнере, куда можно зайти по SSH. Платформа работает на LXC или Kubernetes. Консольная утилита containarium создает машины, настраивает SSH-доступ и выводит порт машины на публичное имя. К агенту ведут два MCP-сервера. Первый, agent-box, работает внутри машины по stdio и дает shell_exec для команд и пять файловых инструментов. Второй, платформенный, работает на хосте и повторяет команды консоли, от управления контейнерами до резервных копий. Набор доступных клиенту инструментов определяют права токена. Команда `containarium quickstart alice` создает машину, подключает SSH и прописывает MCP-конфигурацию для Claude Code. Для Gemini и Codex добавляют флаг `--agent`, для Cursor запись в ~/.cursor/mcp.json делают вручную. Платформа также умеет ограничивать исходящий трафик машины политикой eBPF и держать ключи провайдеров моделей вне машины через шлюз.
Для кого. Для разработчиков и команд, которые хотят запускать агентов на отдельных постоянных машинах на своем сервере, подальше от рабочего ноутбука.
Подходит, если
- Агенту нужна полноценная Linux-среда с systemd и сетью, где он ставит пакеты и поднимает сервисы
- Нужна изоляция: ошибка при установке не должна задеть ваш ноутбук или кластер
- Агент должен опубликовать собранный сайт на публичном имени одной командой
- Нужно выдать агенту токен только с теми правами, которые ему нужны
- Есть GPU, который требуется пробросить в контейнер с агентом
Не подходит, если
- Нужна короткая песочница для одной команды: платформа рассчитана на постоянные машины и требует отдельного сервера
- Нет сервера под Ubuntu 24.04 с правами sudo: установка требует хоста с Incus 6.19 и новее
- Нужна готовая облачная песочница без администрирования: у проекта есть облачный вариант, но он отдельный сервис
- Нужна защита от действий агента внутри самой машины: команды в ней ничем не ограничены
Пример запроса к агенту
Создай песочницу blog, поставь внутри Caddy на порту 8080 и опубликуй ее на blog.example.com.MCP
- Транспорт
- stdio
- Авторизация
- API-ключ
Переменные окружения
CONTAINARIUM_TOKENобязательная, секрет- Токен доступа к демону. Администраторский токен установщик сохраняет в /etc/containarium/admin.token.
CONTAINARIUM_SERVERобязательная- Адрес API демона, например http://localhost:8080.
AGENTBOX_ROOT- Каталог, которым agent-box ограничивает файловые операции.
Ограничения
Установка рассчитана на свежую виртуальную машину с Ubuntu 24.04, правами sudo и Incus 6.19 или новее. Нужны ядерные модули overlay, br_netfilter и nf_nat, а для квот диска ZFS. Установщик ставит демон и консольную утилиту одним скриптом с правами root.
Политика исходящего трафика eBPF по умолчанию выключена и включается отдельно. Бэкенд на Kubernetes пока экспериментальный. Оболочка в agent-box ограничена только контейнером, а переменная AGENTBOX_ROOT сужает лишь файловые инструменты. Доступность скрипта установки и облачного сервиса из России мы не проверяли.
Как отключить. Уберите запись containarium-box из конфигурации MCP клиента (в Claude Code командой `claude mcp remove`). Машины удаляют командой `containarium delete`, а сам демон останавливают командой `systemctl stop containarium`.
Частые вопросы
Как подключить Containarium к Claude Code?
После установки платформы выполните `containarium quickstart alice`: команда создаст машину и пропишет MCP-конфигурацию для Claude Code. Затем `containarium code install alice` поставит в машину agent-box вместе с Claude Code. Проверьте, что `claude mcp list` показывает containarium-box.
Какие инструменты дает agent-box?
Шесть. shell_exec ограничен по времени (по умолчанию 30 секунд, максимум 10 минут) и по объему вывода (256 КиБ). Файловые инструменты читают, пишут, перечисляют, перемещают и удаляют файлы. write_file пишет атомарно, а delete_file отказывается удалять каталоги.
Чем Containarium отличается от AIO Sandbox?
AIO Sandbox упаковывает браузер, терминал и файлы в один Docker-контейнер. Containarium выдает постоянные Linux-машины с SSH на LXC или Kubernetes, умеет публиковать порты на имени хоста и выдавать токены с ограниченными правами.
Что нужно для самостоятельной установки?
Свежий сервер с Ubuntu 24.04 и sudo. Установщик запускают командой `curl -fsSL https://containarium.dev/install.sh | sudo bash`. Без своего сервера можно взять облачный вариант на cloud.containarium.dev.
Как включить ограничение исходящего трафика у машины?
Политика eBPF включается отдельно для каждого арендатора. Отказы в доступе пишутся в журнал аудита, подробности в файле docs/security/CLAIMS.md репозитория.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыЗащищенный MCP-рантайм, через который агент управляет локальными машинами, серверами и контейнерами
Песочница для ИИ-агента с 1С
1c-ai-sandbox-client-server
Devcontainer и Hyper-V VM с сервером 1С, изолирующие ИИ-агента от хостовой машины, чтобы ошибочная команда не задела реальные файлы и диски
MCP-сервер из SSH-менеджера purple: агент читает хосты из ~/.ssh/config и контейнеры на них, а команды и управление контейнерами включаются отдельно
Container от Aerovato
Container
CLI для постоянных Linux-окружений в Docker или Podman: у каждого проекта свой контейнер, где агент не видит остальную систему
MCP-сервер для Kubernetes: агент читает состояние кластера, разбирает сбои подов и запускает операции через kubectl
Официальный набор AWS: MCP-серверы, скиллы и плагины, чтобы агент строил, деплоил и обслуживал приложения на AWS
Сравнение с похожими
Записи с тем же главным запросом: чем они отличаются.
| Запись | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| Containarium — изолированные машины для ИИ-агентов (эта запись) | да | API-ключ | 313 | |
| AIO Sandbox | нет | ключ необязателен | 6 247 | один Docker-контейнер с браузером, терминалом и файлами для безопасного запуска действий агента |
| Fence | да | 1 005 | запускает команды агента в песочнице с заблокированной по умолчанию сетью на вашей машине |
Коротко о README
Путь от установки до первой машины занимает три шага с проверкой после каждого. Отдельно проект сравнивается с облачными песочницами и Docker AI Sandboxes.