网络隔离

Agent Sandbox：在 Kubernetes 上管理 AI Agent 与强化学习的隔离有状态单例工作负载

kubernetes-sigs/agent-sandbox · agent-sandbox enables easy management of isolated, stateful, singleton workloads, ideal for use cases like AI agent runtimes and reinforcement learning (RL).

Agent Sandbox 是 Kubernetes SIG Apps 下的项目，提供 Sandbox 自定义资源定义（CRD）及控制器，用于以声明式 API 管理长期运行、有状态、单容器的单例工作负载，具备稳定身份、持久存储，以及创建、定时删除、暂停、恢复等生命周期管理。扩展模块提供 SandboxTemplate、SandboxClaim 和 SandboxWarmPool，支持模板复用、从预热池快速认领沙箱。项目自身是沙箱编排器，底层隔离交由 gVisor、Kata Containers 等 Sandbox Runtime（通过 RuntimeClass）负责。适用于 AI Agent 运行时、强化学习与评测、开发环境、Notebook 和有状态单 Pod 服务等场景，并提供 Go SDK、Python SDK 及可选的 Sandbox Router。

一个 Pod 一个节点：AWS 无服务器 Kubernetes 背后的架构

AWS 的 EKS Fargate 让用户不用自己管理 worker 节点，改由平台按每个 Pod 单独准备计算环境。它先通过准入控制把匹配 Fargate 配置的 Pod 交给专用调度器，调度器再为这个 Pod 申请新容量，启动所需 Kubernetes 组件，并把用户 VPC 里的网络接口分给这个 Pod，Pod 结束后环境就被回收。这样用户不必创建、打补丁或扩缩节点，但网络接口所在的子网、安全组和 Pod 执行角色仍需在 Fargate 配置里指定；文章没有说明价格、区域可用性或与其他无服务器方案的对比。