--- title: "OpenSandbox Review: KI-Agent-Sandbox selbst hosten" canonical: https://wavect.io/de/blog/opensandbox-ai-agent-sandbox-review/ language: de description: "OpenSandbox Review für selbst gehostete KI-Agent-Sandboxes: Isolation, Credential Vault, Kubernetes, Kosten, Grenzen und Production-Pilot." image: "https://wavect.io/img/blog/headers/header_opensandbox-ai-agent-sandbox-review.png" --- [**Zurück**](/de/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/de/team/kevin-riedl/) [Kevin Riedl](/de/team/kevin-riedl/) https://linkedin.com/in/wsdt 12 Min Lesezeit · 16. August 2026 Zuletzt geprüft 16. August 2026 [**Weiter**](/de/blog/transformers-js-browser-ai-guide/) # OpenSandbox im Review: Solltest du deine KI-Agent-Sandbox selbst hosten? TL;DR OpenSandbox ist ein glaubwürdiger Apache-2.0-Control-Plane für selbst gehostete KI-Agent-Sandboxes. Enthalten sind fünf SDKs, CLI, MCP-Tools, Docker- und Kubernetes-Backends, Browser- und Desktop-Beispiele, Egress-Policies, Credential Vault sowie optionale Isolation mit gVisor, Kata oder Firecracker. Eine fertige Sicherheitsgrenze ist es nicht: Betreiber müssen den sicheren Runtime installieren und testen, Netzwerke standardmäßig sperren, Zugangsdaten eng begrenzen, Artefakte pinnen und verifizieren, Kubernetes für Namespace-basiertes Multi-Tenancy betreiben, externe Logs sammeln und Incident Response übernehmen. OpenSandbox gehört auf die Shortlist, wenn Infrastrukturkontrolle, Datenstandort und portable APIs ein Plattformteam rechtfertigen. Ein 30-Tage-Pilot sollte akzeptierte Aufgaben, Latenz, Review-Zeit, Infrastrukturkosten, Betriebsaufwand und offene Sicherheitsbefunde mit einem Managed-Angebot vergleichen. **OpenSandbox ist einer der vollständigsten Open-Source-Control-Planes für Teams, die KI-Agenten Code ausführen, Browser bedienen oder einen Remote Desktop auf eigener Infrastruktur steuern lassen wollen.** Die Plattform verbindet Lifecycle-APIs, fünf Sandbox-SDKs, CLI, MCP-Server, Docker- und Kubernetes-Backends, Netzwerkregeln, einen Credential Broker sowie optionale Isolation mit gVisor, Kata oder Firecracker. Apache 2.0 entfernt die Lizenzgebühr, aber nicht das Platform Engineering. Unser Urteil nach Prüfung von Repository, Dokumentation, Release-Prozess und Roadmap am 16. August 2026: **OpenSandbox gehört auf die Shortlist, wenn Self-Hosting, Runtime-Wahl und eine portable API genug Wert schaffen, um den Betrieb der Sicherheitsgrenze zu rechtfertigen.** Ein Managed Service passt besser, wenn Time-to-Market und ein externer Betriebsverantwortlicher wichtiger sind. Der lokale Docker Quick Start ist kein Sicherheitsnachweis für Multi-Tenancy in Produktion. Dieser Beitrag beantwortet eine produktbezogene Kaufentscheidung. Für Incident-basierte Containment Controls dient unsere [12-Punkte-Checkliste für KI-Agent-Eval-Sandboxes](/de/blog/ai-agent-eval-sandbox-security-checklist/). Den Host-Stack unter dem Control Plane erklärt unser [Linux-Infrastruktur-Guide für KI-Agenten](/de/blog/linux-for-ai-agents/). So bleibt der Plattform-Review klar von einem allgemeinen Sicherheitsstandard getrennt. ## Was ist OpenSandbox? **OpenSandbox ist eine selbst hostbare Plattform für Lifecycle und Ausführung von Sandboxes für KI-Anwendungen.** Das aktuelle [OpenSandbox Repository](https://github.com/opensandbox-group/OpenSandbox) steht unter Apache 2.0 und listet SDKs für Python, JavaScript oder TypeScript, Java oder Kotlin, C# oder.NET und Go. Beispiele decken Claude Code, Gemini CLI, Codex CLI, Qwen Code und Kimi CLI sowie Chromium, Playwright, VNC-Desktops und VS Code Web ab. Die frühere GitHub-URL `alibaba/OpenSandbox` leitet heute auf `opensandbox-group` weiter. Einige Paketnamen behalten Alibaba im Namen. GitHub Stars sind ein Discovery-Signal, aber keine Garantie für Sicherheit oder Support. | Ebene | OpenSandbox liefert | Dein Team betreibt weiter | | --- | --- | --- | | Client | Fünf SDKs, `osb` CLI, MCP-Tools und OpenAPI-Verträge | Agent-Orchestrierung, Retries, Freigaben und Businesslogik | | Control Plane | Erstellen, Status, Pause, Resume, Ablauf, Snapshots und Endpoints | Authentifizierung, Hochverfügbarkeit, Upgrades, Quotas und Tenant-Regeln | | Runtime | Integrationen für Docker und Kubernetes | Hosts, Cluster, Registry, Secure Runtime und Kapazitätsplanung | | Workload | Command-, Datei- und Code-Interpreter-Services sowie Beispiel-Images | Image-Hardening, Dependency Policy, Patches und zulässige Workloads | | Netzwerk und Secrets | Ingress, Egress Policy und optional Credential Vault | Default Deny, Zertifikatsvertrauen, Secret Scope und Monitoring | Die offizielle [Architekturdokumentation](https://open-sandbox.ai/architecture/) zeichnet diese Grenzen explizit. Das ist die stärkste Designentscheidung: Anwendungen hängen an öffentlichen Verträgen, während Docker, Kubernetes, Execution und Egress hinter Provider-Interfaces bleiben. ## Was stimmt am viralen OpenSandbox-Post? Der Post beschreibt den ungewöhnlich breiten Funktionsumfang richtig. OpenSandbox ist mehr als ein Python-Wrapper für `docker run`. - **Code, Dateien und Prozesse:** Der Execution Daemon streamt Commands, verwaltet Background Jobs, Dateien und Ressourcenmetriken. - **Browser und Desktops:** Offizielle Beispiele zeigen Playwright, Chromium mit VNC, einen kompletten Desktop und VS Code Web. - **Coding-Agenten:** Beispiele führen Codex CLI, Claude Code, Gemini CLI und weitere Harnesses in Sandboxes aus. - **Portable Clients:** Fünf Basis-SDKs und OpenAPI-Verträge reduzieren die Bindung an eine Anwendungssprache. - **Lokal bis Cluster:** Dieselbe Lifecycle-Oberfläche kann einen Docker Host oder Kubernetes ansprechen. - **MCP:** Der Server stellt fokussierte Tools für Lifecycle, Commands und Textdateien bereit. Der entscheidende Unterschied steckt in einem kurzen Bullet: gVisor, Kata und Firecracker sind nicht automatisch aktiv. Betreiber wählen, installieren und testen sie mit jeweils eigenen Voraussetzungen und Failure Modes. ## Ist OpenSandbox wirklich isoliert? **Das kann es sein, aber das Isolationsniveau ist eine Deployment-Entscheidung.** OpenSandbox kann gewöhnliches `runc`, gVisor, Kata Containers oder Kata mit Firecracker einsetzen. Laut offiziellem [Secure Runtime Guide](https://open-sandbox.ai/guides/secure-container) installiert und konfiguriert der Administrator den Runtime zuerst und setzt ihn dann auf Serverebene. Der Server prüft die Verfügbarkeit beim Start und wendet die Wahl auf Sandboxes an. | Deployment | Gute Passung | Wichtigste Einschränkung | | --- | --- | --- | | Lokales Docker mit `runc` | Vertrauenswürdige Experimente | Teilt den Host-Kernel und ist keine starke Grenze für feindlichen Multi-Tenant-Code | | Docker mit gVisor | Stärker isolierte Single-Host-Piloten | Runtime-Installation, Syscall-Kompatibilität und Host-Hardening bleiben nötig | | Kubernetes mit gVisor | Skalierte kompatible Workloads | Cluster, RuntimeClass, Policies, Upgrades und Observability bleiben bei dir | | Kubernetes mit Kata | Workloads, die einen separaten Guest Kernel benötigen | Mehr Infrastruktur-, Image- und Kapazitätskomplexität | | Kubernetes mit Kata und Firecracker | Riskante Codeausführung, die MicroVM-Isolation rechtfertigt | Nicht der Docker Quick Start und kein Ersatz für Egress, Identität und getrennten Control Plane | Kein Runtime macht einen überprivilegierten API Key, schreibbaren Control Plane oder offenen Netzwerkpfad sicher. Containment entsteht aus der ganzen Grenze, nicht aus dem Logo des Hypervisors. ## Hält Credential Vault API Keys aus der Sandbox heraus? **Ja, für unterstützten HTTPS-Traffic und bei korrekter Konfiguration.** Das hostseitige SDK schreibt echte Zugangsdaten in den Egress-Sidecar. Der Workload erhält einen falschen oder leeren Wert. Bei einem eindeutigen Binding injiziert der Sidecar den echten Authentifizierungsheader und redigiert Vault-Antworten. Der offizielle [Credential Vault Guide](https://open-sandbox.ai/guides/credential-vault) nennt die Bedingungen: `dns+nft`, Credential Proxy, eine Network Policy und Default Deny. DNS-only wird abgelehnt, weil direkte IP-Verbindungen die Policy umgehen könnten. Transparente Service-Mesh-Sidecars im selben Network Namespace werden derzeit nicht unterstützt. Bindings sollten nach Scheme, Host, Methode und Pfad begrenzt sein. Das ist ein klarer Vorteil gegenüber einem Provider Key in der Agent-Umgebung. Trotzdem betreibst du den Broker selbst. Teste direkte IPs, alternative DNS-Pfade, Redirects, codierte Pfade, Zertifikate, Logs und überlappende Bindings vor Produktion. ## Was muss dein Team selbst betreiben? 1. **Control Plane:** API-Authentifizierung, Verfügbarkeit, Versionen, Backups und Notabschaltung. 2. **Runtime-Flotte:** Docker Hosts oder Kubernetes Nodes, sichere Runtimes, Kernel-Patches, Images und Kapazität. 3. **Netzwerkgrenzen:** Ingress-Authentifizierung, Egress mit Default Deny, DNS, Metadata Endpoints und private Netze. 4. **Supply Chain:** erlaubte Images, Digest Pinning, SBOM-Regeln, Paket-Mirrors und Rebuilds. 5. **Observability:** externe Logs für Lifecycle, Commands, Dateien, Netzwerk, Identität, Kosten und Operator-Aktionen. 6. **Datenlebenszyklus:** Persistenz, Snapshots, Löschung, Datenstandort und Forensik. 7. **Incident Response:** Quotas, Prozesslimits, Stop Authority, Credential Revocation und getestetes Containment. OpenSandbox dokumentiert [Kubernetes Multi-Tenancy](https://open-sandbox.ai/guides/multi-tenancy) mit Namespaces und API Keys pro Tenant. Docker unterstützt dieses Feature nicht. Der Review muss trotzdem clusterweite Controller, Registry-Zugriff, Node Runtimes, Shared Telemetry und Cross-Namespace-Pfade abdecken. ## Ist OpenSandbox produktionsreif? **Es ist bereit für einen ernsthaften Produktionspiloten, nicht für ungeprüften Produktivbetrieb.** Das Repository ist aktiv, die Architektur klar und offizielle Pakete und Images existieren. Gleichzeitig entwickeln sich Komponenten getrennt. Die [Roadmap](https://github.com/opensandbox-group/OpenSandbox/blob/main/ROADMAP.md) plant noch keine stabile v1 API, bis Lifecycle-Semantik, Runtime-Verhalten und SDK-Kompatibilität ausreichend reif sind. | Readiness-Frage | Nachweis vor dem Launch | | --- | --- | | Kann der Agent ausbrechen? | Versionierte Breakout-Tests gegen echten Runtime, Kernel, Image und Node | | Erreicht er unerlaubte Ziele? | Tests für DNS, direkte IP, IPv4, IPv6, Redirects, Metadata und private Netze | | Kann er echte Secrets lesen? | Canary Credentials und Exfiltrationstests für Env, Dateien, Logs, Prozesse und Proxy-Fehler | | Kann ein Tenant einen anderen beeinflussen? | Cross-Namespace-, Registry-, Node-, Quota- und Control-Plane-Tests | | Lässt sich ein Incident rekonstruieren? | Unveränderlicher externer Trace mit Identität, Commands, Netzwerk, Dateien und Lifecycle | | Sind Upgrades sicher? | Kompatibilitätssuite für gepinnte Server-, SDK-, Execd-, Egress-, Ingress- und Runtime-Versionen | Das Projekt veröffentlicht einen detaillierten [Prozess zur Release-Verifikation](https://open-sandbox.ai/community/release-verification) für Source Archives, Images und Sprachpakete. Pinne Produktionsimages per Digest und prüfe das tatsächliche Artefakt. Signierte Provenance verbessert Supply-Chain-Evidenz, beweist aber keine sichere Konfiguration. ## OpenSandbox oder Managed Sandbox Service? | Wähle OpenSandbox, wenn | Wähle Managed, wenn | | --- | --- | | Workloads in deiner Cloud, im Cluster oder On-Prem laufen müssen | Dein Team diese Woche eine funktionierende Sandbox API braucht | | Du gVisor, Kata oder Firecracker selbst wählen musst | Ein Anbieter Hosts, Isolation und Kapazität betreiben soll | | Fünf SDKs oder OpenAPI Integrationsrisiko senken | Ein ausgereiftes SDK deinen Stack abdeckt | | Datenstandort und Netzwerkintegration Plattformbesitz rechtfertigen | Standardregionen und Anbieterkontrollen das Risikomodell erfüllen | | Skalierung ein Plattformteam rechtfertigen kann | Nutzung unsicher ist und variable Kosten besser passen | | Du die Sicherheitsgrenze laufend testen und patchen kannst | Du Support und einen klaren Incident Owner brauchst | Apache 2.0 bedeutet keine Lizenzgebühr, aber nicht Nullkosten. Vergleiche Engineering, Cluster-Reserve, Runtime-Overhead, Registry, Logging, Patches, On-Call und Compliance mit Managed Fees. Nutze [Kosten pro akzeptierter KI-Agent-Aktion](/de/blog/ai-agent-cost-per-action-2026/) statt nur Kosten pro Sandbox-Minute. ## 30-Tage-Pilot für OpenSandbox 1. **Tag 1 bis 3:** Definiere einen reversiblen Workload, Daten, Tools, Ziele, Credentials und inakzeptable Folgen. 2. **Tag 4 bis 7:** Validiere SDK, Commands, Dateien, Browser oder Desktop mit dem Docker Quick Start. Nenne das nicht Produktionsarchitektur. 3. **Tag 8 bis 12:** Teste den echten Workload auf gVisor oder Kata und erfasse Kompatibilität, Startverhalten, Ressourcen und Betriebsanforderungen. 4. **Tag 13 bis 17:** Beginne mit Default-Deny-Egress, erlaube minimale Hosts und Pfade, aktiviere Credential Vault und teste Exfiltration. 5. **Tag 18 bis 22:** Erfasse unveränderliche Lifecycle-, Command-, Datei-, Netzwerk-, Identitäts-, Policy- und Kostenereignisse außerhalb der Sandbox. 6. **Tag 23 bis 26:** Teste Timeouts, Endlosprozesse, Disk Pressure, Package Failures, direkte IPs, Tenant Crossover, abgelaufene Keys und Emergency Stop. 7. **Tag 27 bis 30:** Vergleiche akzeptierte Aufgaben, p95-Latenz, Review-Zeit, Infrastrukturkosten, Operator-Aufwand und offene Findings mit Managed. Skaliere nur, wenn der Self-Hosting-Vorteil die Vollkostenrechnung überlebt. Wavects [Team für KI-Produktentwicklung](/de/services/artificial-intelligence/) kann Agent Boundary, Integration und Validation Harness entwerfen. Unsere [Twinsoft-AI-Case-Study](/de/case-studies/twinsoft-ai/) zeigt die Disziplin hinter einem echten KI-Produkt. Für eine begrenzte Entscheidung kannst du einen [KI-Architektur-Review buchen](/de/contact/). ## Häufige Fragen ### Ist OpenSandbox kostenlos und Open Source? Ja. Das Repository nutzt Apache 2.0. Kosten entstehen für Compute, Storage, Netzwerk, Observability, sichere Runtimes und das Team, das die Plattform betreibt und testet. ### Ist OpenSandbox ein Alibaba-Projekt? Die frühere URL alibaba/OpenSandbox leitet heute auf opensandbox-group/OpenSandbox weiter, während mehrere Paketnamen Alibaba behalten. Bewerte aktuelle Organisation, Governance, Releases und Supportpfad. ### Unterstützt OpenSandbox Codex, Claude Code und Gemini CLI? Ja. Offizielle Beispiele führen diese Coding CLIs in Sandboxes aus. Produktion braucht trotzdem enge Credentials, Egress-Regeln, Runtime-Isolation und externe Logs. ### Verwendet OpenSandbox Firecracker? Es kann Kata Containers mit einer Firecracker RuntimeClass auf Kubernetes einsetzen. Der lokale Docker Quick Start aktiviert Firecracker nicht. Betreiber müssen sichere Runtimes installieren und konfigurieren. ### Ersetzt OpenSandbox Kubernetes? Nein. OpenSandbox liefert Control Plane und Provider. Dein Team betreibt Cluster, Nodes, RuntimeClasses, Controller, Registry, Netzwerk, Kapazität und Observability. ### Ist OpenSandbox für Enterprise-Produktion bereit? Es ist glaubwürdig für einen kontrollierten Produktionspiloten. Vor Kundenworkloads brauchst du gepinnte Versionen, Runtime-Tests, Default-Deny-Egress, Credential Brokering, Tenant-Tests, unveränderliche Logs und einen Incident Runbook. ## Primärquellen und Forschungsgrenze Dieser Review nutzt öffentliche Projektquellen, geprüft am 16. August 2026. Wir haben keine Cold Starts gemessen, keinen unabhängigen Escape-Test durchgeführt und keinen kommerziellen Supportvertrag validiert. Versionsabhängiges Verhalten muss vor der Beschaffung neu geprüft werden. 1. [OpenSandbox Repository](https://github.com/opensandbox-group/OpenSandbox); Lizenz, SDKs, Integrationen und Projektumfang. 2. [OpenSandbox Architektur](https://open-sandbox.ai/architecture/); Client-, Protokoll-, Control-Plane-, Runtime-, Data-Plane- und Netzwerkgrenzen. 3. [Secure Container Runtime Guide](https://open-sandbox.ai/guides/secure-container); gVisor, Kata und Firecracker. 4. [Credential Vault Guide](https://open-sandbox.ai/guides/credential-vault); Secret Injection und Voraussetzungen. 5. [Multi-Tenancy Guide](https://open-sandbox.ai/guides/multi-tenancy); Namespaces, API Keys und Docker-Grenze. 6. [OpenSandbox Roadmap](https://github.com/opensandbox-group/OpenSandbox/blob/main/ROADMAP.md); Fokus und API-Reife. 7. [Release Verification Guide](https://open-sandbox.ai/community/release-verification); Signaturen, Attestations und Digests. ## Fazit OpenSandbox ist echte Agent-Infrastruktur. Sein Wert liegt in Kontrolle, nicht im Verschwinden von Verantwortung. Wähle es, wenn Runtime-Wahl, Self-Hosting und portable APIs einen messbaren Vorteil schaffen. Beweise danach die komplette Grenze mit Runtime-, Egress-, Credential-, Tenant- und Incident-Tests, bevor ein autonomer Agent wertvolle Systeme erreicht. ## Das könnte dich auch interessieren.. [**KI-Agent-Eval-Sandbox: 12 Containment Controls** Teste Isolation, Egress, Credentials, externe Logs und Stop Authority mit der Incident-basierten Checkliste.](/de/blog/ai-agent-eval-sandbox-security-checklist/) [**Externe KI-Befähigung oder internes Plattformteam?** Vergleiche Geschwindigkeit, Ownership und Betriebskapazität vor der Infrastrukturentscheidung.](/de/compare/ai-enablement-vs-in-house-ai-hire/) Agent Engineering ## In diesem Cluster weiterlesen Coding Agents, MCP, Kontextsysteme, Evaluation und Kontrollen für verlässliche Automatisierung. [Mit dem Grundlagenartikel starten**Graph Engineering für KI-Agenten: Wann lohnt sich ein Knowledge Graph?**](/de/blog/graph-engineering-ai-agents/) - [DeepSeek Harness im Test: Ist der Plugin-Stack produktionsreif?](/de/blog/deepseek-harness-enterprise-review/) - [Cloudflare Kitesurf im Test: Kosten, Grenzen und Produktions-Fit](/de/blog/cloudflare-kitesurf-browser-ai-agents/) - [GitHub Spec Kit im Test: Lohnt sich der Prozess?](/de/blog/github-spec-kit-production-guide/) - [Interner KI-Agenten-Marktplatz: Praxisleitfaden 2026](/de/blog/internal-ai-agent-marketplace/) - [Ist Linux das beste Betriebssystem für KI-Agenten? Infrastruktur-Guide 2026](/de/blog/linux-for-ai-agents/) Postfach, ohne Lärm ## Folge der Arbeit, die für dich zählt Du bekommst eine kurze E-Mail, wenn wir etwas Neues veröffentlichen. Folge dem ganzen Blog oder nur den Themen, die dich interessieren. [**Zurück**](/de/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/de/team/kevin-riedl/) [Kevin Riedl](/de/team/kevin-riedl/) https://linkedin.com/in/wsdt 12 Min Lesezeit · 16. August 2026 Zuletzt geprüft 16. August 2026 [**Weiter**](/de/blog/transformers-js-browser-ai-guide/) Neue Beiträge per E-Mail × × Neue Beiträge per E-Mail Eine kurze E-Mail, wenn wir etwas veröffentlichen. Kostenlos, ohne Tracking. ## Structured Data ```json { "@context": "https://schema.org", "@graph": [ { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ], "employee": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "founder": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "legalRepresentative": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "name": "Wavect GmbH", "subjectOf": { "@id": "https://wavect.io/verified-claims.json#dataset", "@type": "Dataset", "creator": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "description": "A machine-readable registry of quantitative and qualitative claims published by Wavect, with review dates, localized page appearances and public third-party citations where available.", "inLanguage": "en", "isAccessibleForFree": true, "license": "https://creativecommons.org/licenses/by/4.0/", "name": "Wavect verified publication claims", "url": "https://wavect.io/verified-claims.json" }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "sameAs": [ "https://www.wikidata.org/wiki/Q139796367", "https://www.linkedin.com/in/jocr77/", "https://github.com/jo-chris" ], "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/#website", "@type": "WebSite", "inLanguage": [ "en", "de", "es", "zh" ], "name": "Wavect", "potentialAction": { "@type": "SearchAction", "query-input": "required name=search_term_string", "target": { "@type": "EntryPoint", "urlTemplate": "https://wavect.io/search/?q={search_term_string}" } }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/de/blog/opensandbox-ai-agent-sandbox-review/#webpage", "@type": "WebPage", "dateModified": "2026-08-16", "inLanguage": "de", "isPartOf": { "@id": "https://wavect.io/#website", "@type": "WebSite" }, "lastReviewed": "2026-08-16", "url": "https://wavect.io/de/blog/opensandbox-ai-agent-sandbox-review/" } ] } ``` ```json { "@context": "https://schema.org", "@type": "BlogPosting", "abstract": "OpenSandbox ist ein glaubwürdiger Apache-2.0-Control-Plane für selbst gehostete KI-Agent-Sandboxes. Enthalten sind fünf SDKs, CLI, MCP-Tools, Docker- und Kubernetes-Backends, Browser- und Desktop-Beispiele, Egress-Policies, Credential Vault sowie optionale Isolation mit gVisor, Kata oder Firecracker. Eine fertige Sicherheitsgrenze ist es nicht: Betreiber müssen den sicheren Runtime installieren und testen, Netzwerke standardmäßig sperren, Zugangsdaten eng begrenzen, Artefakte pinnen und verifizieren, Kubernetes für Namespace-basiertes Multi-Tenancy betreiben, externe Logs sammeln und Incident Response übernehmen. OpenSandbox gehört auf die Shortlist, wenn Infrastrukturkontrolle, Datenstandort und portable APIs ein Plattformteam rechtfertigen. Ein 30-Tage-Pilot sollte akzeptierte Aufgaben, Latenz, Review-Zeit, Infrastrukturkosten, Betriebsaufwand und offene Sicherheitsbefunde mit einem Managed-Angebot vergleichen.", "articleBody": " Blog-Übersicht/AI und Agents/Agent Engineering OpenSandbox im Review: Solltest du deine KI-Agent-Sandbox selbst hosten? TL;DR OpenSandbox ist ein glaubwürdiger Apache-2.0-Control-Plane für selbst gehostete KI-Agent-Sandboxes. Enthalten sind fünf SDKs, CLI, MCP-Tools, Docker- und Kubernetes-Backends, Browser- und Desktop-Beispiele, Egress-Policies, Credential Vault sowie optionale Isolation mit gVisor, Kata oder Firecracker. Eine fertige Sicherheitsgrenze ist es nicht: Betreiber müssen den sicheren Runtime installieren und testen, Netzwerke standardmäßig sperren, Zugangsdaten eng begrenzen, Artefakte pinnen und verifizieren, Kubernetes für Namespace-basiertes Multi-Tenancy betreiben, externe Logs sammeln und Incident Response übernehmen. OpenSandbox gehört auf die Shortlist, wenn Infrastrukturkontrolle, Datenstandort und portable APIs ein Plattformteam rechtfertigen. Ein 30-Tage-Pilot sollte akzeptierte Aufgaben, Latenz, Review-Zeit, Infrastrukturkosten, Betriebsaufwand und offene Sicherheitsbefunde mit einem Managed-Angebot vergleichen. OpenSandbox ist einer der vollständigsten Open-Source-Control-Planes für Teams, die KI-Agenten Code ausführen, Browser bedienen oder einen Remote Desktop auf eigener Infrastruktur steuern lassen wollen. Die Plattform verbindet Lifecycle-APIs, fünf Sandbox-SDKs, CLI, MCP-Server, Docker- und Kubernetes-Backends, Netzwerkregeln, einen Credential Broker sowie optionale Isolation mit gVisor, Kata oder Firecracker. Apache 2.0 entfernt die Lizenzgebühr, aber nicht das Platform Engineering. Unser Urteil nach Prüfung von Repository, Dokumentation, Release-Prozess und Roadmap am 16. August 2026: OpenSandbox gehört auf die Shortlist, wenn Self-Hosting, Runtime-Wahl und eine portable API genug Wert schaffen, um den Betrieb der Sicherheitsgrenze zu rechtfertigen. Ein Managed Service passt besser, wenn Time-to-Market und ein externer Betriebsverantwortlicher wichtiger sind. Der lokale Docker Quick Start ist kein Sicherheitsnachweis für Multi-Tenancy in Produktion. Dieser Beitrag beantwortet eine produktbezogene Kaufentscheidung. Für Incident-basierte Containment Controls dient unsere 12-Punkte-Checkliste für KI-Agent-Eval-Sandboxes. Den Host-Stack unter dem Control Plane erklärt unser Linux-Infrastruktur-Guide für KI-Agenten. So bleibt der Plattform-Review klar von einem allgemeinen Sicherheitsstandard getrennt. Was ist OpenSandbox? OpenSandbox ist eine selbst hostbare Plattform für Lifecycle und Ausführung von Sandboxes für KI-Anwendungen. Das aktuelle OpenSandbox Repository steht unter Apache 2.0 und listet SDKs für Python, JavaScript oder TypeScript, Java oder Kotlin, C# oder .NET und Go. Beispiele decken Claude Code, Gemini CLI, Codex CLI, Qwen Code und Kimi CLI sowie Chromium, Playwright, VNC-Desktops und VS Code Web ab. Die frühere GitHub-URL alibaba/OpenSandbox leitet heute auf opensandbox-group weiter. Einige Paketnamen behalten Alibaba im Namen. GitHub Stars sind ein Discovery-Signal, aber keine Garantie für Sicherheit oder Support. EbeneOpenSandbox liefertDein Team betreibt weiter ClientFünf SDKs, osb CLI, MCP-Tools und OpenAPI-VerträgeAgent-Orchestrierung, Retries, Freigaben und Businesslogik Control PlaneErstellen, Status, Pause, Resume, Ablauf, Snapshots und EndpointsAuthentifizierung, Hochverfügbarkeit, Upgrades, Quotas und Tenant-Regeln RuntimeIntegrationen für Docker und KubernetesHosts, Cluster, Registry, Secure Runtime und Kapazitätsplanung WorkloadCommand-, Datei- und Code-Interpreter-Services sowie Beispiel-ImagesImage-Hardening, Dependency Policy, Patches und zulässige Workloads Netzwerk und SecretsIngress, Egress Policy und optional Credential VaultDefault Deny, Zertifikatsvertrauen, Secret Scope und Monitoring Die offizielle Architekturdokumentation zeichnet diese Grenzen explizit. Das ist die stärkste Designentscheidung: Anwendungen hängen an öffentlichen Verträgen, während Docker, Kubernetes, Execution und Egress hinter Provider-Interfaces bleiben. Was stimmt am viralen OpenSandbox-Post? Der Post beschreibt den ungewöhnlich breiten Funktionsumfang richtig. OpenSandbox ist mehr als ein Python-Wrapper für docker run. Code, Dateien und Prozesse: Der Execution Daemon streamt Commands, verwaltet Background Jobs, Dateien und Ressourcenmetriken. Browser und Desktops: Offizielle Beispiele zeigen Playwright, Chromium mit VNC, einen kompletten Desktop und VS Code Web. Coding-Agenten: Beispiele führen Codex CLI, Claude Code, Gemini CLI und weitere Harnesses in Sandboxes aus. Portable Clients: Fünf Basis-SDKs und OpenAPI-Verträge reduzieren die Bindung an eine Anwendungssprache. Lokal bis Cluster: Dieselbe Lifecycle-Oberfläche kann einen Docker Host oder Kubernetes ansprechen. MCP: Der Server stellt fokussierte Tools für Lifecycle, Commands und Textdateien bereit. Der entscheidende Unterschied steckt in einem kurzen Bullet: gVisor, Kata und Firecracker sind nicht automatisch aktiv. Betreiber wählen, installieren und testen sie mit jeweils eigenen Voraussetzungen und Failure", "articleSection": "Engineering", "author": { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/" }, "citation": [ { "@type": "WebPage", "name": "OpenSandbox Repository", "url": "https://github.com/opensandbox-group/OpenSandbox" }, { "@type": "WebPage", "name": "Architekturdokumentation", "url": "https://open-sandbox.ai/architecture/" }, { "@type": "WebPage", "name": "Secure Runtime Guide", "url": "https://open-sandbox.ai/guides/secure-container" }, { "@type": "WebPage", "name": "Credential Vault Guide", "url": "https://open-sandbox.ai/guides/credential-vault" }, { "@type": "WebPage", "name": "Kubernetes Multi-Tenancy", "url": "https://open-sandbox.ai/guides/multi-tenancy" }, { "@type": "WebPage", "name": "Roadmap", "url": "https://github.com/opensandbox-group/OpenSandbox/blob/main/ROADMAP.md" }, { "@type": "WebPage", "name": "Prozess zur Release-Verifikation", "url": "https://open-sandbox.ai/community/release-verification" } ], "dateModified": "2026-08-16", "datePublished": "2026-08-16", "description": "OpenSandbox ist ein glaubwürdiger Apache-2.0-Control-Plane für selbst gehostete KI-Agent-Sandboxes. Enthalten sind fünf SDKs, CLI, MCP-Tools, Docker- und Kubernetes-Backends, Browser- und Desktop-Beispiele, Egress-Policies, Credential Vault sowie optionale Isolation mit gVisor, Kata oder Firecracker. Eine fertige Sicherheitsgrenze ist es nicht: Betreiber müssen den sicheren Runtime installieren und testen, Netzwerke standardmäßig sperren, Zugangsdaten eng begrenzen, Artefakte pinnen und verifizieren, Kubernetes für Namespace-basiertes Multi-Tenancy betreiben, externe Logs sammeln und Incident Response übernehmen. OpenSandbox gehört auf die Shortlist, wenn Infrastrukturkontrolle, Datenstandort und portable APIs ein Plattformteam rechtfertigen. Ein 30-Tage-Pilot sollte akzeptierte Aufgaben, Latenz, Review-Zeit, Infrastrukturkosten, Betriebsaufwand und offene Sicherheitsbefunde mit einem Managed-Angebot vergleichen.", "headline": "OpenSandbox im Review: Lohnt sich Self-Hosting?", "image": "https://wavect.io/img/blog/headers/header_opensandbox-ai-agent-sandbox-review.svg", "inLanguage": "de", "keywords": "KI-Agenten, Infrastruktur", "mainEntityOfPage": { "@id": "https://wavect.io/de/blog/opensandbox-ai-agent-sandbox-review/", "@type": "WebPage" }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/de/blog/opensandbox-ai-agent-sandbox-review/", "wordCount": 1970 } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "item": "https://wavect.io/de/", "name": "Startseite", "position": 1 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/overview/", "name": "Blog-Übersicht", "position": 2 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/topics/ai-agents/", "name": "AI und Agents", "position": 3 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/clusters/agent-engineering/", "name": "Agent Engineering", "position": 4 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/opensandbox-ai-agent-sandbox-review/", "name": "OpenSandbox Review: KI-Agent-Sandbox selbst hosten | ", "position": 5 } ] } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Das Repository nutzt Apache 2.0. Kosten entstehen für Compute, Storage, Netzwerk, Observability, sichere Runtimes und das Team, das die Plattform betreibt und testet." }, "name": "Ist OpenSandbox kostenlos und Open Source?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Die frühere URL alibaba/OpenSandbox leitet heute auf opensandbox-group/OpenSandbox weiter, während mehrere Paketnamen Alibaba behalten. Bewerte aktuelle Organisation, Governance, Releases und Supportpfad." }, "name": "Ist OpenSandbox ein Alibaba-Projekt?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Offizielle Beispiele führen diese Coding CLIs in Sandboxes aus. Produktion braucht trotzdem enge Credentials, Egress-Regeln, Runtime-Isolation und externe Logs." }, "name": "Unterstützt OpenSandbox Codex, Claude Code und Gemini CLI?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Es kann Kata Containers mit einer Firecracker RuntimeClass auf Kubernetes einsetzen. Der lokale Docker Quick Start aktiviert Firecracker nicht. Betreiber müssen sichere Runtimes installieren und konfigurieren." }, "name": "Verwendet OpenSandbox Firecracker?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Nein. OpenSandbox liefert Control Plane und Provider. Dein Team betreibt Cluster, Nodes, RuntimeClasses, Controller, Registry, Netzwerk, Kapazität und Observability." }, "name": "Ersetzt OpenSandbox Kubernetes?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Es ist glaubwürdig für einen kontrollierten Produktionspiloten. Vor Kundenworkloads brauchst du gepinnte Versionen, Runtime-Tests, Default-Deny-Egress, Credential Brokering, Tenant-Tests, unveränderliche Logs und einen Incident Runbook." }, "name": "Ist OpenSandbox für Enterprise-Produktion bereit?" } ] } ```