--- title: "Review de OpenSandbox: Sandbox de agentes self-hosted" canonical: https://wavect.io/es/blog/opensandbox-ai-agent-sandbox-review/ language: es description: "Review de OpenSandbox para agentes de IA self-hosted: aislamiento, Credential Vault, Kubernetes, costes, límites y piloto de producción." image: "https://wavect.io/img/blog/headers/header_opensandbox-ai-agent-sandbox-review.png" --- [**Volver**](/es/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/es/team/kevin-riedl/) [Kevin Riedl](/es/team/kevin-riedl/) https://linkedin.com/in/wsdt 12 min de lectura · 16 de agosto de 2026 Última revisión 16 de agosto de 2026 [**Siguiente**](/es/blog/transformers-js-browser-ai-guide/) # Review de OpenSandbox: ¿Deberías alojar tu propia sandbox para agentes de IA? Resumen OpenSandbox es un control plane Apache 2.0 creíble para sandboxes self-hosted de agentes de IA. Incluye cinco SDK, CLI, herramientas MCP, backends Docker y Kubernetes, ejemplos de navegador y escritorio, política de egress, Credential Vault y aislamiento opcional con gVisor, Kata o Firecracker. No es una frontera de seguridad llave en mano: el operador debe instalar y probar el runtime seguro, aplicar red denegada por defecto, limitar credenciales, fijar y verificar artefactos, operar Kubernetes para multi-tenancy por namespaces, guardar logs externos y asumir la respuesta a incidentes. Inclúyelo en la lista corta cuando el control de infraestructura, la ubicación de datos y las API portables justifiquen un equipo de plataforma. Compáralo con un servicio gestionado en un piloto de 30 días usando tareas aceptadas, latencia, tiempo de revisión, coste de infraestructura, trabajo operativo y hallazgos de seguridad abiertos. **OpenSandbox es uno de los control planes open source más completos para equipos que quieren ejecutar código, navegadores o escritorios remotos de agentes de IA en infraestructura propia.** Reúne API de ciclo de vida, cinco SDK, CLI, servidor MCP, backends Docker y Kubernetes, política de red, broker de credenciales y aislamiento opcional con gVisor, Kata o Firecracker. Apache 2.0 elimina la licencia de software, no el trabajo de plataforma. Nuestro veredicto tras revisar repositorio, documentación, releases y roadmap el 16 de agosto de 2026: **incluye OpenSandbox en tu lista corta cuando el self-hosting, la elección de runtime y una API portable justifiquen operar la frontera de seguridad.** Elige un servicio gestionado si importan más la velocidad de lanzamiento y un responsable externo. El quick start local con Docker no demuestra seguridad multi-tenant en producción. Esta review responde una pregunta de compra sobre un producto concreto. Para controles de contención, usa nuestra [checklist de 12 controles para sandboxes de evaluación](/es/blog/ai-agent-eval-sandbox-security-checklist/). Para el stack de host, consulta la [guía de infraestructura Linux para agentes de IA](/es/blog/linux-for-ai-agents/). Así evitamos confundir una review de plataforma con un estándar general de seguridad. ## ¿Qué es OpenSandbox? **OpenSandbox es una plataforma self-hosted para gestionar el ciclo de vida y la ejecución de sandboxes para aplicaciones de IA.** El [repositorio actual de OpenSandbox](https://github.com/opensandbox-group/OpenSandbox) es público con Apache 2.0 y ofrece SDK para Python, JavaScript o TypeScript, Java o Kotlin, C# o.NET y Go. Sus ejemplos incluyen Claude Code, Gemini CLI, Codex CLI, Qwen Code y Kimi CLI, además de Chromium, Playwright, escritorios VNC y VS Code Web. La antigua URL `alibaba/OpenSandbox` redirige ahora a `opensandbox-group`. Varios paquetes conservan Alibaba en el nombre. Las estrellas de GitHub sirven para descubrir un proyecto, no garantizan seguridad ni soporte. | Capa | OpenSandbox aporta | Tu equipo sigue operando | | --- | --- | --- | | Cliente | Cinco SDK, CLI `osb`, herramientas MCP y contratos OpenAPI | Orquestación, reintentos, aprobaciones y lógica de negocio | | Control plane | Creación, estado, pausa, reanudación, caducidad, snapshots y endpoints | Autenticación, alta disponibilidad, upgrades, cuotas y política por tenant | | Runtime | Integraciones con Docker y Kubernetes | Hosts, cluster, registry, runtime seguro y capacidad | | Workload | Servicios de comandos, archivos y code interpreter | Hardening de imágenes, dependencias, parches y workloads permitidos | | Red y secretos | Ingress, política de egress y Credential Vault opcional | Default deny, confianza de certificados, alcance de secretos y monitorización | La [documentación oficial de arquitectura](https://open-sandbox.ai/architecture/) dibuja estas fronteras. Es su mejor decisión de diseño: las aplicaciones dependen de contratos públicos y los detalles de Docker, Kubernetes, ejecución y egress quedan detrás de interfaces de proveedor. ## ¿Qué acierta el post viral sobre OpenSandbox? Acierta al señalar una superficie muy amplia. No es solo un wrapper Python de `docker run`. - **Código, archivos y procesos:** el daemon transmite comandos, gestiona jobs, archivos y métricas. - **Navegadores y escritorios:** hay ejemplos oficiales de Playwright, Chromium con VNC, escritorio completo y VS Code Web. - **Agentes de código:** se documentan Codex CLI, Claude Code, Gemini CLI y otros harnesses dentro de sandboxes. - **Clientes portables:** cinco SDK base y OpenAPI reducen la dependencia de un lenguaje. - **Local y cluster:** la misma superficie de ciclo de vida apunta a Docker o Kubernetes. - **MCP:** el servidor expone herramientas de ciclo de vida, comandos y archivos de texto. El matiz clave queda comprimido en una viñeta: gVisor, Kata y Firecracker no están activos automáticamente. El operador los elige, instala y prueba, con requisitos y fallos distintos. ## ¿OpenSandbox está realmente aislado? **Puede estarlo, pero el nivel de aislamiento depende del despliegue.** OpenSandbox admite `runc`, gVisor, Kata Containers o Kata con Firecracker. La [guía oficial de runtimes seguros](https://open-sandbox.ai/guides/secure-container) exige que el administrador instale y configure primero el runtime. El servidor verifica su disponibilidad al arrancar y aplica la elección. | Despliegue | Buen uso | Precaución principal | | --- | --- | --- | | Docker local con `runc` | Experimentos de confianza | Comparte kernel y no es la frontera más fuerte para código hostil multi-tenant | | Docker con gVisor | Pilotos single-host con más aislamiento | Requiere instalación, pruebas de syscalls y hardening del host | | Kubernetes con gVisor | Workloads escalados compatibles | Cluster, RuntimeClass, políticas, upgrades y observabilidad siguen siendo tuyos | | Kubernetes con Kata | Workloads que necesitan un kernel invitado | Más complejidad de infraestructura, imágenes y capacidad | | Kubernetes con Kata y Firecracker | Código de alto riesgo que justifica microVM | No es el quick start de Docker ni sustituye egress, identidad y separación del control plane | Ningún runtime vuelve seguro un API key excesivo, un control plane escribible o una red abierta. La contención depende de toda la frontera. ## ¿Credential Vault mantiene las claves fuera de la sandbox? **Sí, para HTTPS compatible y si se configura bien.** El SDK del host escribe la credencial real en el sidecar de egress. El workload recibe un valor falso o vacío. Cuando existe un binding exacto, el sidecar inyecta el header real y oculta secretos en sus respuestas. La [guía de Credential Vault](https://open-sandbox.ai/guides/credential-vault) documenta los requisitos: `dns+nft`, Credential Proxy, política de red y default deny. Rechaza el modo DNS-only porque una IP directa podría saltarse la política. Los sidecars transparentes de service mesh en el mismo namespace de red no son compatibles actualmente. Conviene limitar bindings por esquema, host, método y ruta. Es una ventaja real frente a poner una clave reutilizable en el entorno del agente. Aun así, tu equipo protege ese broker. Prueba IP directas, DNS alternativo, redirects, rutas codificadas, certificados, logs y bindings ambiguos. ## ¿Qué tendrá que operar tu equipo? 1. **Control plane:** autenticación, disponibilidad, versiones, copias de estado y parada de emergencia. 2. **Flota de runtime:** hosts Docker o nodos Kubernetes, runtimes seguros, parches, imágenes y capacidad. 3. **Red:** autenticación ingress, egress default deny, DNS, metadata, redes privadas y excepciones. 4. **Supply chain:** imágenes aprobadas, digests, SBOM, vulnerabilidades, mirrors y rebuilds. 5. **Observabilidad:** logs externos de ciclo de vida, comandos, archivos, red, identidad, coste y acciones de operador. 6. **Datos:** persistencia, snapshots, borrado, ubicación y retención forense. 7. **Incidentes:** cuotas, límites, autoridad de parada, revocación y pruebas de contención. OpenSandbox documenta [multi-tenancy en Kubernetes](https://open-sandbox.ai/guides/multi-tenancy) con namespace y API keys por tenant. Docker no lo admite. La revisión debe cubrir controllers de cluster, registry compartido, runtime de nodos, telemetría y rutas entre namespaces. ## ¿OpenSandbox está listo para producción? **Está listo para un piloto serio, no para producción sin revisión.** El repositorio está activo, la arquitectura es explícita y existen paquetes e imágenes oficiales. Los componentes evolucionan por separado y el [roadmap](https://github.com/opensandbox-group/OpenSandbox/blob/main/ROADMAP.md) no planea una API v1 estable hasta que maduren la semántica del ciclo de vida, el comportamiento de runtimes y la compatibilidad de SDK. | Pregunta | Evidencia antes del lanzamiento | | --- | --- | | ¿Puede escapar el agente? | Tests versionados contra runtime, kernel, imagen y nodo reales | | ¿Llega a destinos no permitidos? | Tests de DNS, IP directa, IPv4, IPv6, redirects, metadata y redes privadas | | ¿Recupera secretos? | Credenciales canary y exfiltración desde entorno, archivos, logs, procesos y errores | | ¿Un tenant afecta a otro? | Tests cross-namespace, registry, nodos, cuotas y control plane | | ¿Puede reconstruirse un incidente? | Trace externo inmutable con identidad, comandos, red, archivos y lifecycle | | ¿Son seguros los upgrades? | Suite de compatibilidad para versiones fijadas de todos los componentes | El proyecto publica un proceso de [verificación de releases](https://open-sandbox.ai/community/release-verification) para código, imágenes y paquetes. Fija imágenes por digest y verifica el artefacto real. La procedencia firmada mejora la evidencia, pero no prueba una configuración segura. ## ¿OpenSandbox o una sandbox gestionada? | Elige OpenSandbox si | Elige managed si | | --- | --- | | El workload debe vivir en tu cloud, cluster u on-prem | Necesitas una API funcional esta semana | | Debes elegir gVisor, Kata o Firecracker | Quieres que un proveedor opere hosts, aislamiento y capacidad | | Cinco SDK u OpenAPI reducen riesgo de integración | Un único SDK maduro cubre tu stack | | Ubicación de datos y red justifican propiedad | Las regiones y controles del proveedor bastan | | La escala puede justificar un equipo de plataforma | El uso es incierto y prefieres coste variable | | Puedes probar y parchear la frontera continuamente | Necesitas soporte contractual y un responsable de incidentes | Apache 2.0 significa cero licencia de OpenSandbox, no coste cero. Compara ingeniería, reserva de cluster, overhead, registry, logs, parches, guardias y evidencia con las tarifas managed. Usa el [coste por acción aceptada del agente](/es/blog/ai-agent-cost-per-action-2026/), no solo el minuto de sandbox. ## Plan de piloto de 30 días 1. **Días 1 a 3:** define un caso reversible, datos, herramientas, destinos, credenciales y resultados inaceptables. 2. **Días 4 a 7:** valida SDK, comandos, archivos, navegador o escritorio con Docker. No lo llames arquitectura de producción. 3. **Días 8 a 12:** prueba el workload real en gVisor o Kata y registra compatibilidad, arranque, recursos y requisitos. 4. **Días 13 a 17:** empieza con egress default deny, añade hosts y rutas mínimos, activa Credential Vault y prueba exfiltración. 5. **Días 18 a 22:** captura eventos inmutables de lifecycle, comandos, archivos, red, identidad, política y coste fuera de la sandbox. 6. **Días 23 a 26:** prueba timeouts, procesos infinitos, disco, paquetes, IP directas, cruce de tenants, claves caducadas y parada. 7. **Días 27 a 30:** compara tareas aceptadas, latencia p95, revisión, infraestructura, operación y riesgos abiertos con managed. Escala solo si la ventaja self-hosted sobrevive al coste total. El equipo de [ingeniería de productos de IA de Wavect](/es/services/artificial-intelligence/) puede diseñar la frontera, integrar el workload y construir el harness de validación. El [caso Twinsoft AI](/es/case-studies/twinsoft-ai/) muestra la disciplina de un producto real. Para decidir antes de implementar, [reserva una revisión de arquitectura de IA](/es/contact/). ## Preguntas frecuentes ### ¿OpenSandbox es gratis y open source? Sí. Usa Apache 2.0. Sigues pagando compute, almacenamiento, red, observabilidad, runtimes seguros y el equipo que opera y prueba la plataforma. ### ¿OpenSandbox es un proyecto de Alibaba? La antigua URL alibaba/OpenSandbox redirige a opensandbox-group/OpenSandbox y varios paquetes conservan Alibaba. Evalúa organización, gobernanza, releases y soporte actuales. ### ¿Soporta Codex, Claude Code y Gemini CLI? Sí. Hay ejemplos oficiales. En producción siguen siendo necesarios credenciales limitadas, egress, aislamiento y logs externos. ### ¿OpenSandbox usa Firecracker? Puede usar Kata con una RuntimeClass Firecracker en Kubernetes. El quick start de Docker no lo activa y el operador instala y configura los runtimes seguros. ### ¿Sustituye a Kubernetes? No. Aporta control plane y providers. Tu equipo opera cluster, nodos, RuntimeClasses, controllers, registry, red, capacidad y observabilidad. ### ¿Está listo para producción enterprise? Es creíble para un piloto controlado. Antes de clientes exige versiones fijadas, tests del runtime, egress default deny, broker de credenciales, tests de tenants, logs inmutables y runbook de incidentes. ## Fuentes primarias y límites de la investigación Esta review usa fuentes públicas revisadas el 16 de agosto de 2026. No medimos cold starts, no hicimos un test de escape independiente ni validamos un contrato comercial de soporte. Revisa de nuevo el comportamiento de cada versión antes de comprar. 1. [Repositorio de OpenSandbox](https://github.com/opensandbox-group/OpenSandbox); licencia, SDK, integraciones y alcance. 2. [Arquitectura](https://open-sandbox.ai/architecture/); fronteras del sistema. 3. [Runtimes seguros](https://open-sandbox.ai/guides/secure-container); gVisor, Kata y Firecracker. 4. [Credential Vault](https://open-sandbox.ai/guides/credential-vault); inyección y requisitos. 5. [Multi-Tenancy](https://open-sandbox.ai/guides/multi-tenancy); namespaces, API keys y límite de Docker. 6. [Roadmap](https://github.com/opensandbox-group/OpenSandbox/blob/main/ROADMAP.md); foco y madurez de API. 7. [Verificación de releases](https://open-sandbox.ai/community/release-verification); firmas, attestations y digests. ## Reflexiones finales OpenSandbox es infraestructura real para agentes. Su valor es el control, no la desaparición de la responsabilidad. Elígelo cuando la elección de runtime, el self-hosting y las API portables creen una ventaja medible. Después demuestra toda la frontera con tests de runtime, egress, credenciales, tenants e incidentes antes de acercar un agente autónomo a sistemas valiosos. ## También te puede gustar.. [**Sandbox de evaluación: 12 controles** Prueba aislamiento, egress, credenciales, logs externos y autoridad de parada.](/es/blog/ai-agent-eval-sandbox-security-checklist/) [**¿Enablement externo o equipo de plataforma interno?** Compara velocidad, propiedad y capacidad operativa antes de elegir infraestructura.](/es/compare/ai-enablement-vs-in-house-ai-hire/) Ingeniería de agentes ## Continúa por este clúster Agentes de código, MCP, contexto, evaluación y controles para automatización fiable. [Empieza por el artículo fundamental**Ingeniería de grafos para agentes de IA: ¿Cuándo compensa un knowledge graph?**](/es/blog/graph-engineering-ai-agents/) - [DeepSeek Harness: análisis del stack de plugins para producción](/es/blog/deepseek-harness-enterprise-review/) - [Cloudflare Kitesurf: costes, límites y producción](/es/blog/cloudflare-kitesurf-browser-ai-agents/) - [Análisis de GitHub Spec Kit: ¿merece el proceso?](/es/blog/github-spec-kit-production-guide/) - [Marketplace interno de agentes de IA: guía empresarial 2026](/es/blog/internal-ai-agent-marketplace/) - [¿Es Linux el mejor sistema operativo para agentes de IA? Guía 2026](/es/blog/linux-for-ai-agents/) Tu bandeja, sin ruido ## Sigue el trabajo que te importa Recibe un correo breve cuando publiquemos algo nuevo. Sigue todo el blog o solo los temas que te interesan. [**Volver**](/es/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/es/team/kevin-riedl/) [Kevin Riedl](/es/team/kevin-riedl/) https://linkedin.com/in/wsdt 12 min de lectura · 16 de agosto de 2026 Última revisión 16 de agosto de 2026 [**Siguiente**](/es/blog/transformers-js-browser-ai-guide/) Nuevos artículos por correo × × Recibe nuevos artículos por correo Un correo breve cuando publicamos. Gratis y sin seguimiento. ## Structured Data ```json { "@context": "https://schema.org", "@graph": [ { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ], "employee": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "founder": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "legalRepresentative": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "name": "Wavect GmbH", "subjectOf": { "@id": "https://wavect.io/verified-claims.json#dataset", "@type": "Dataset", "creator": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "description": "A machine-readable registry of quantitative and qualitative claims published by Wavect, with review dates, localized page appearances and public third-party citations where available.", "inLanguage": "en", "isAccessibleForFree": true, "license": "https://creativecommons.org/licenses/by/4.0/", "name": "Wavect verified publication claims", "url": "https://wavect.io/verified-claims.json" }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "sameAs": [ "https://www.wikidata.org/wiki/Q139796367", "https://www.linkedin.com/in/jocr77/", "https://github.com/jo-chris" ], "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/#website", "@type": "WebSite", "inLanguage": [ "en", "de", "es", "zh" ], "name": "Wavect", "potentialAction": { "@type": "SearchAction", "query-input": "required name=search_term_string", "target": { "@type": "EntryPoint", "urlTemplate": "https://wavect.io/search/?q={search_term_string}" } }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/es/blog/opensandbox-ai-agent-sandbox-review/#webpage", "@type": "WebPage", "dateModified": "2026-08-16", "inLanguage": "es", "isPartOf": { "@id": "https://wavect.io/#website", "@type": "WebSite" }, "lastReviewed": "2026-08-16", "url": "https://wavect.io/es/blog/opensandbox-ai-agent-sandbox-review/" } ] } ``` ```json { "@context": "https://schema.org", "@type": "BlogPosting", "abstract": "OpenSandbox es un control plane Apache 2.0 creíble para sandboxes self-hosted de agentes de IA. Incluye cinco SDK, CLI, herramientas MCP, backends Docker y Kubernetes, ejemplos de navegador y escritorio, política de egress, Credential Vault y aislamiento opcional con gVisor, Kata o Firecracker. No es una frontera de seguridad llave en mano: el operador debe instalar y probar el runtime seguro, aplicar red denegada por defecto, limitar credenciales, fijar y verificar artefactos, operar Kubernetes para multi-tenancy por namespaces, guardar logs externos y asumir la respuesta a incidentes. Inclúyelo en la lista corta cuando el control de infraestructura, la ubicación de datos y las API portables justifiquen un equipo de plataforma. Compáralo con un servicio gestionado en un piloto de 30 días usando tareas aceptadas, latencia, tiempo de revisión, coste de infraestructura, trabajo operativo y hallazgos de seguridad abiertos.", "articleBody": " Resumen del blog/IA y agentes/Ingeniería de agentes Review de OpenSandbox: ¿Deberías alojar tu propia sandbox para agentes de IA? Resumen OpenSandbox es un control plane Apache 2.0 creíble para sandboxes self-hosted de agentes de IA. Incluye cinco SDK, CLI, herramientas MCP, backends Docker y Kubernetes, ejemplos de navegador y escritorio, política de egress, Credential Vault y aislamiento opcional con gVisor, Kata o Firecracker. No es una frontera de seguridad llave en mano: el operador debe instalar y probar el runtime seguro, aplicar red denegada por defecto, limitar credenciales, fijar y verificar artefactos, operar Kubernetes para multi-tenancy por namespaces, guardar logs externos y asumir la respuesta a incidentes. Inclúyelo en la lista corta cuando el control de infraestructura, la ubicación de datos y las API portables justifiquen un equipo de plataforma. Compáralo con un servicio gestionado en un piloto de 30 días usando tareas aceptadas, latencia, tiempo de revisión, coste de infraestructura, trabajo operativo y hallazgos de seguridad abiertos. OpenSandbox es uno de los control planes open source más completos para equipos que quieren ejecutar código, navegadores o escritorios remotos de agentes de IA en infraestructura propia. Reúne API de ciclo de vida, cinco SDK, CLI, servidor MCP, backends Docker y Kubernetes, política de red, broker de credenciales y aislamiento opcional con gVisor, Kata o Firecracker. Apache 2.0 elimina la licencia de software, no el trabajo de plataforma. Nuestro veredicto tras revisar repositorio, documentación, releases y roadmap el 16 de agosto de 2026: incluye OpenSandbox en tu lista corta cuando el self-hosting, la elección de runtime y una API portable justifiquen operar la frontera de seguridad. Elige un servicio gestionado si importan más la velocidad de lanzamiento y un responsable externo. El quick start local con Docker no demuestra seguridad multi-tenant en producción. Esta review responde una pregunta de compra sobre un producto concreto. Para controles de contención, usa nuestra checklist de 12 controles para sandboxes de evaluación. Para el stack de host, consulta la guía de infraestructura Linux para agentes de IA. Así evitamos confundir una review de plataforma con un estándar general de seguridad. ¿Qué es OpenSandbox? OpenSandbox es una plataforma self-hosted para gestionar el ciclo de vida y la ejecución de sandboxes para aplicaciones de IA. El repositorio actual de OpenSandbox es público con Apache 2.0 y ofrece SDK para Python, JavaScript o TypeScript, Java o Kotlin, C# o .NET y Go. Sus ejemplos incluyen Claude Code, Gemini CLI, Codex CLI, Qwen Code y Kimi CLI, además de Chromium, Playwright, escritorios VNC y VS Code Web. La antigua URL alibaba/OpenSandbox redirige ahora a opensandbox-group. Varios paquetes conservan Alibaba en el nombre. Las estrellas de GitHub sirven para descubrir un proyecto, no garantizan seguridad ni soporte. CapaOpenSandbox aportaTu equipo sigue operando ClienteCinco SDK, CLI osb, herramientas MCP y contratos OpenAPIOrquestación, reintentos, aprobaciones y lógica de negocio Control planeCreación, estado, pausa, reanudación, caducidad, snapshots y endpointsAutenticación, alta disponibilidad, upgrades, cuotas y política por tenant RuntimeIntegraciones con Docker y KubernetesHosts, cluster, registry, runtime seguro y capacidad WorkloadServicios de comandos, archivos y code interpreterHardening de imágenes, dependencias, parches y workloads permitidos Red y secretosIngress, política de egress y Credential Vault opcionalDefault deny, confianza de certificados, alcance de secretos y monitorización La documentación oficial de arquitectura dibuja estas fronteras. Es su mejor decisión de diseño: las aplicaciones dependen de contratos públicos y los detalles de Docker, Kubernetes, ejecución y egress quedan detrás de interfaces de proveedor. ¿Qué acierta el post viral sobre OpenSandbox? Acierta al señalar una superficie muy amplia. No es solo un wrapper Python de docker run. Código, archivos y procesos: el daemon transmite comandos, gestiona jobs, archivos y métricas. Navegadores y escritorios: hay ejemplos oficiales de Playwright, Chromium con VNC, escritorio completo y VS Code Web. Agentes de código: se documentan Codex CLI, Claude Code, Gemini CLI y otros harnesses dentro de sandboxes. Clientes portables: cinco SDK base y OpenAPI reducen la dependencia de un lenguaje. Local y cluster: la misma superficie de ciclo de vida apunta a Docker o Kubernetes. MCP: el servidor expone herramientas de ciclo de vida, comandos y archivos de texto. El matiz clave queda comprimido en una viñeta: gVisor, Kata y Firecracker no están activos automáticamente. El operador los elige, instala y prueba, con requisitos y fallos distintos. ¿OpenSandbox está realmente aislado? Puede estarlo, pero el nivel de aislamiento depende del despliegue. OpenSandbox admite runc, gVisor, Kata Containers o Kata con Firecracker. La guía oficial de runtimes seguros exige que", "articleSection": "Engineering", "author": { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/" }, "citation": [ { "@type": "WebPage", "name": "repositorio actual de OpenSandbox", "url": "https://github.com/opensandbox-group/OpenSandbox" }, { "@type": "WebPage", "name": "documentación oficial de arquitectura", "url": "https://open-sandbox.ai/architecture/" }, { "@type": "WebPage", "name": "guía oficial de runtimes seguros", "url": "https://open-sandbox.ai/guides/secure-container" }, { "@type": "WebPage", "name": "guía de Credential Vault", "url": "https://open-sandbox.ai/guides/credential-vault" }, { "@type": "WebPage", "name": "multi-tenancy en Kubernetes", "url": "https://open-sandbox.ai/guides/multi-tenancy" }, { "@type": "WebPage", "name": "roadmap", "url": "https://github.com/opensandbox-group/OpenSandbox/blob/main/ROADMAP.md" }, { "@type": "WebPage", "name": "verificación de releases", "url": "https://open-sandbox.ai/community/release-verification" } ], "dateModified": "2026-08-16", "datePublished": "2026-08-16", "description": "OpenSandbox es un control plane Apache 2.0 creíble para sandboxes self-hosted de agentes de IA. Incluye cinco SDK, CLI, herramientas MCP, backends Docker y Kubernetes, ejemplos de navegador y escritorio, política de egress, Credential Vault y aislamiento opcional con gVisor, Kata o Firecracker. No es una frontera de seguridad llave en mano: el operador debe instalar y probar el runtime seguro, aplicar red denegada por defecto, limitar credenciales, fijar y verificar artefactos, operar Kubernetes para multi-tenancy por namespaces, guardar logs externos y asumir la respuesta a incidentes. Inclúyelo en la lista corta cuando el control de infraestructura, la ubicación de datos y las API portables justifiquen un equipo de plataforma. Compáralo con un servicio gestionado en un piloto de 30 días usando tareas aceptadas, latencia, tiempo de revisión, coste de infraestructura, trabajo operativo y hallazgos de seguridad abiertos.", "headline": "Review de OpenSandbox: ¿Compensa el self-hosting?", "image": "https://wavect.io/img/blog/headers/header_opensandbox-ai-agent-sandbox-review.svg", "inLanguage": "es", "keywords": "Agentes de IA, Infraestructura", "mainEntityOfPage": { "@id": "https://wavect.io/es/blog/opensandbox-ai-agent-sandbox-review/", "@type": "WebPage" }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/es/blog/opensandbox-ai-agent-sandbox-review/", "wordCount": 2218 } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "item": "https://wavect.io/es/", "name": "Inicio", "position": 1 }, { "@type": "ListItem", "item": "https://wavect.io/es/blog/overview/", "name": "Resumen del blog", "position": 2 }, { "@type": "ListItem", "item": "https://wavect.io/es/blog/topics/ai-agents/", "name": "IA y agentes", "position": 3 }, { "@type": "ListItem", "item": "https://wavect.io/es/blog/clusters/agent-engineering/", "name": "Ingeniería de agentes", "position": 4 }, { "@type": "ListItem", "item": "https://wavect.io/es/blog/opensandbox-ai-agent-sandbox-review/", "name": "Review de OpenSandbox: Sandbox de agentes self-hosted | ", "position": 5 } ] } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Sí. Usa Apache 2.0. Sigues pagando compute, almacenamiento, red, observabilidad, runtimes seguros y el equipo que opera y prueba la plataforma." }, "name": "¿OpenSandbox es gratis y open source?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "La antigua URL alibaba/OpenSandbox redirige a opensandbox-group/OpenSandbox y varios paquetes conservan Alibaba. Evalúa organización, gobernanza, releases y soporte actuales." }, "name": "¿OpenSandbox es un proyecto de Alibaba?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Sí. Hay ejemplos oficiales. En producción siguen siendo necesarios credenciales limitadas, egress, aislamiento y logs externos." }, "name": "¿Soporta Codex, Claude Code y Gemini CLI?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Puede usar Kata con una RuntimeClass Firecracker en Kubernetes. El quick start de Docker no lo activa y el operador instala y configura los runtimes seguros." }, "name": "¿OpenSandbox usa Firecracker?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "No. Aporta control plane y providers. Tu equipo opera cluster, nodos, RuntimeClasses, controllers, registry, red, capacidad y observabilidad." }, "name": "¿Sustituye a Kubernetes?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Es creíble para un piloto controlado. Antes de clientes exige versiones fijadas, tests del runtime, egress default deny, broker de credenciales, tests de tenants, logs inmutables y runbook de incidentes." }, "name": "¿Está listo para producción enterprise?" } ] } ```