smolvm 1.8.3 starter hardware-isolerede VM'er på 0,6 til 1,5 sekunder

Smolvm 1.8.3 er blevet testet til at køre usikker kode i små, isolerede virtuelle maskiner. Dette øger sikkerheden, da koden er adskilt fra systemet og har stramme ressourcegrænser. Testene blev gennemført via GitHub Actions, da hardwaren kræver særlig understøttelse for at fungere.

Værktøjet smolvm 1.8.3 er designet til at håndtere kode skrevet i programmeringssprogene Python og JavaScript, som skal bruges til at ændre data fra én form til en anden. Det er interessant, at hastigheden varierer alt efter situationen. Hvis systemet allerede er i gang, tager det kun 50 millisekunder at køre koden. Hvis det skal startes helt forfra, kaldes det en kold start, og det tager mellem 0,6 og 1,5 sekunder. Man kan sammenligne det med en bil, der hurtigt kan accelerere, når motoren er varm, men som lige skal have et øjeblik til at varme op, hvis den har stået stille.

For at gøre det sikkert bruger smolvm virtuelle maskiner, hvilket er små simulerede computere. I stedet for at bruge containere, som er som lejligheder i samme ejendom med fælles fundament, fungerer virtuelle maskiner som separate huse. Det giver en langt højere sikkerhed. For at beskytte systemet er der ingen adgang til netværket. Der er også strenge grænser for brugen af Central Processing Unit (CPU), som er computerens hjerne, og Random Access Memory (RAM), som er computerens korttidshukommelse. Det sikrer, at programmer ikke ender i uendelige løkker, hvor de kører i ring uden stop.

Sikkerheden bliver yderligere styrket med faste kvoter for lagerplads og tidsgrænser for, hvor længe koden må køre. Nogle mapper er skrivebeskyttede, så man kun kan læse dem, mens andre er åbne for at skrive resultater. Værktøjet kan også køre i en tilstand, der hedder unprivileged, hvilket betyder, at det kører uden særlige administratorrettigheder. For at det hele skal fungere, kræver hardwaren understøttelse af Kernel-based Virtual Machine (KVM), som er teknologien, der gør det muligt at køre virtuelle maskiner effektivt.

Under testningen viste det sig, at web-værktøjet Claude Code ikke kunne køre smolvm. Det skyldtes mangel på såkaldt nested virtualization, som man kan forestille sig som at prøve at placere en virtuel maskine inde i en anden virtuel maskine. For at løse dette blev testene i stedet flyttet til GitHub Actions-runnere. Disse systemer har adgang til KVM-teknologien og kunne derfor eksekvere koden uden problemer.

Vil du have, at jeg uddyber forskellen på virtuelle maskiner og containere med flere eksempler?