Pydantic の Model Context Protocol（MCP）によるサンドボックス内での Python コード実行のリリースが、Python サンドボックスの最良のアプローチについて開発者間で活発な議論を巻き起こしています。 Deno で実行される Pyodide を使用して Python コードを分離して実行するこのソリューションは、開発者コミュニティから称賛と批判の両方を集めています。
Python サンドボックスにおけるセキュリティのトレードオフ
MCP Run Python の実装は、 Deno の JavaScript ランタイム内で動作するブラウザ向け Python ディストリビューションである Pyodide 内で Python コードを実行します。このアプローチはホストオペレーティングシステムからの分離を提供しますが、コミュニティメンバーはセキュリティ上の前提条件について懸念を表明しています。一部の開発者は、この方法が Deno の WASM VM と Pyodide という複数のレイヤーのセキュリティに依存しており、どちらも潜在的に脆弱性やバグを含む可能性があると指摘しています。この議論は、CPython（標準の Python 実装）がサンドボックス化を主要な機能として設計されていないため、信頼できない Python コードを安全に実行する根本的な課題を浮き彫りにしています。
「私は Docker コンテナサンドボックスよりも WASM サンドボックスの方がはるかに信頼しています。WASM エンジンは地球上のほぼすべてのブラウザで、毎日何十億回も実行されています。これらのセキュリティ問題は非常に迅速に発見されます。」
Pythonサンドボックスのアプローチに関する議論
- Denoでの Pyodide （ MCP Run Python ）: WASMベースの分離を使用し、セキュリティは良いがパフォーマンスのオーバーヘッドがある
- Wasmtime: Python内でPythonをWASMコンテナで直接実行する
- Firecracker microVM: セキュリティ分離は向上するが起動時間が遅い
- Linuxカーネル機能: サンドボックス化のためのLandlock、cgroups
- gVisor: コンテナサンドボックス技術
- カスタムサンドボックス: カスタムインポーターを使用したeval/exec（ Temporal によって言及）
- Seccompベースのジェイル: 制限されたシステムコールを持つ限定的なユースケース用
パフォーマンスの考慮事項と代替案
議論で共有されたパフォーマンス指標は、WASM ベースのサンドボックスで Python コードを実行する際の大きなオーバーヘッドを明らかにしています。ベンチマークによると、サンドボックス内の単純な hello world プログラムは標準的な Python 実行よりも約12倍遅く、同じプログラムの最適化された C 実装よりも約370倍遅いことが示されました。このパフォーマンスギャップにより、開発者は Landlock や cgroups などの Linux カーネル機能、firecracker マイクロVM、wasmtime などの他の WASM ベースのソリューションなど、代替アプローチを模索するようになりました。
パフォーマンス比較（Hello Worldプログラム）
| 実装 | 時間 | 相対的なパフォーマンス |
|---|---|---|
| 最適化された C | 約0.0006秒 | WASM サンドボックスより368倍速い |
| 標準 Python | 約0.019秒 | WASM サンドボックスより12.3倍速い |
| WASM Python サンドボックス | 約0.234秒 | 基準値 |
エコシステムのサポートと実用的なアプリケーション
パフォーマンスの懸念にもかかわらず、Pyodide アプローチは驚くべき柔軟性を提供します。コミュニティメンバーは、 scikit-learn のような複雑な依存関係がこの環境で機能し、ブラウザでシンプルな機械学習体験を可能にすると指摘しています。この機能は、特に生のパフォーマンスよりもセキュリティが優先される特定のユースケースにとって、このソリューションを魅力的なものにしています。このアプローチはまた、主要な AI プラットフォームで使用されている技術を反映しています - 例えば、 ChatGPT はブラウザベースのコード実行に Pyodide を使用し、Code Interpreter 機能には Kubernetes コンテナ内の Jupyter を使用しています。
AI エージェントフレームワークの広範な文脈
MCP Run Python の実装は、言語モデルが安全にコードを実行できるようにする AI エージェントフレームワークの成長するエコシステムの一部です。一部の開発者は、これらのフレームワークの増殖について懸念を表明し、JavaScript エコシステムで見られる断片化との類似点を指摘しています。言及された代替アプローチには、Dylibso の eval-py、より柔軟だが遅い実行のための firecracker VM、seccomp などのツールで構築されたカスタムサンドボックスソリューションが含まれます。
完璧な Python サンドボックスソリューションの探求は続いており、理想的なアプローチは特定のユースケース、セキュリティ要件、およびパフォーマンスニーズに大きく依存します。AI システムがますます安全にコードを実行する必要性が高まるにつれて、この分野は継続的なイノベーションと改良が見られるでしょう。
参照: MCP Run Python