kern: rootless-контейнер за 3.5 мс без демона

Один бинарник, управляющий ресурсами, первый из которых — изоляция. Именно поэтому kern не укладывается в одну строку сравнительной таблицы: это одновременно среда выполнения контейнеров, песочница, распределитель ресурсов и запускатель стеков — всё в одном статическом бинарнике без демона.

Всё дерево Rust-зависимостей kern — это libc: JSON и OCI-манифесты разбираются вручную, а pull вызывает уже установленные на машине curl и tar, не встраивая TLS-стек.

--security-profile untrusted объединяет allowlist seccomp, --cap-drop ALL и --read-only в одном флаге. kern ps и kern top показывают запущенное; каждый глагол для просмотра и инспектирования поддерживает --json, так что не нужно разбирать табличный вывод. По одному запускаемому примеру для каждого действия kern: examples/.

Привязки (bindings) — это то, как ваша программа вызывает kern. Код внутри box может быть написан на любом языке, поскольку box — это OCI-образ: Python, Node, Go и Rust запускаются одной и той же командой с разным --image, и то же верно для всего, что поставляется в виде образа.

Агенту нужно где-то выполнять код, который только что написала модель. kern-sandbox — это то самое место: тонкая обёртка без зависимостей поверх бинарника kern, вызываемая из вашей программы. Устанавливается выше; API описан в bindings/python/ и bindings/node/.

Каждый вызов — это свежий изолированный box: сеть отключена, ограничены память и PID, возможности сброшены, вывод ограничен по размеру, таймаут применяет сама привязка. Таймаут, завершение по OOM или заблокированный системный вызов возвращаются как типизированное поле fault в результате, а не выбрасываются как исключение. code_stderr в этом результате содержит stderr без собственных пометок kern — именно то, что нужно помещать в контекстное окно.

Пакет также включает kern-mcp — stdio-сервер без зависимостей, который даёт Claude Desktop или Cursor локальный интерпретатор кода. Поскольку сервер работает через stdio, одна та же строка конфигурации направляет клиент к box на другой машине.

Остальное находится на соответствующих страницах и здесь не дублируется: полный API, расширенный захват результатов, предварительный прогрев (prewarming) и интеграция с LangChain — в bindings/python/README.md и bindings/node/README.md; все переменные KERN_MCP_* и удалённое использование — в docs/MCP.md; для агента кодирования pi — kern-pi, маршрутизирующий его вызовы bash, read, write, edit, ls, grep и find в box, с README, разграничивающим, где граница задаётся ядром, а где это просто проверка пути, — в integrations/pi/.

Один файл, одна команда. kern читает собственный формат, а также ваш существующий docker-compose.yml — без какого-либо конвертирования.

Оба официальных образа запускаются, web обращается к db по имени сервиса, порт опубликован. В compose-файле также можно указывать специфичные для kern параметры через пространство имён расширений спецификации (x-kern-vcpu, x-kern-security-profile) — и файл по-прежнему без проблем запустится в любой другой среде, поскольку спецификация предписывает любой среде выполнения игнорировать поля x-. Опечатка в таком поле не отбрасывается молча, а сообщается явно.

Стек использует одно сетевое пространство имён, если файл в него укладывается — именно это и даёт скорость: сервисы обращаются друг к другу по 127.0.0.1 без посредников. Если файл не укладывается, kern назначает каждому сервису собственное пространство имён и сообщает, чем это обходится: лишним ретрансляционным прыжком между узлами. Два случая не укладываются: два сервиса, слушающие на одном и том же порту контейнера, и секция networks:, не оставляющая сервисам ничего общего. --pod принудительно задаёт одно пространство имён и явно отказывается выполнять такой файл вместо того, чтобы молча снять изоляцию; --no-pod принудительно задаёт отдельное пространство имён для каждого сервиса.

Официальные образы, переключающиеся на непривилегированного пользователя, требуют uidmap и строки в /etc/subuid, а для внешних загрузок нужен pasta; kern doctor явно укажет на отсутствующее. Это инструмент для локального цикла разработки, а не production-оркестратор. docs/DOCKER-COMPAT.md

Слайс (slice) объявляется один раз в ~/.config/kern/kern.toml и подключается по имени — как к изолированному box, так и к обычному процессу, одним и тем же токеном. Три вида: vcpu: (CPU и память), vdisk: (временный диск с ограничением размера) и vgpio: (узлы устройств).

Профили компонуются; явный флаг переопределяет значение из профиля; каждый ключ совпадает с соответствующим флагом CLI. Если backend ссылается на необъявленный пул, ошибка возникает при чтении конфигурации, а не при запуске box.

Две вещи, которые kern сообщает явно, а не оставляет на ваши догадки. vdisk: при rootless-запуске — это RAM-backed tmpfs, что бы ни говорил backend, а при привилегированном запуске — образ ext4 на loop-устройстве с настоящей квотой; kern сообщает, что именно вы получили, и ограничение размера действует в обоих случаях. И vgpio: работает на уровне чипа, а не отдельных линий: запрос pins привязывает весь /dev/gpiochipN, открывая каждую линию этого контроллера, так что pins = [17] — это кооперативные метаданные, а не граница безопасности. Указание узла устройства даёт доступ только к этому узлу и ничему больше. docs/RESOURCES.md

Все три столбца измерены на одном хосте, с одной рабочей нагрузкой, в один день: Intel i7-14700KF под управлением Linux 7.0.0; методология — в BENCHMARKS.md.

Intel i7-14700KF, Linux 7.0.0, бинарник релиза, чередующиеся пакеты тестов на простаивающей машине.

kern опережает bubblewrap примерно на 9%, и этот разрыв достаточно мал, чтобы его можно было подтвердить только при строгой методологии: BENCHMARKS.md содержит описание чередования, 240 пакетов тестов, результаты на платах aarch64, объяснение того, почему используется бинарник релиза, а не локальная сборка, и все оговорки. Значимый разрыв — это разрыв с движками-конкурентами: два порядка величины.

Пространства имён, pivot_root, 16 опасных возможностей (capabilities), сброшенных перед exec, всегда включённый seccomp-allowlist (стандартный фильтр moby минус 35 системных вызовов-путей к побегу, которые kern жёстко блокирует; всё вне проверенного набора возвращает ENOSYS), ограничения cgroup v2, без которых --require-limits отказывается запускаться, и /dev в режиме запрета по умолчанию. Там, где граница является кооперативной, а не обеспечивается ядром, SECURITY.md явно об этом говорит и называет способ обхода.

Не нужно верить на слово. pentest/ содержит пять наборов состязательных тестов, которые проверяют эти границы на уровне ядра, а не по отчётам самого kern, — без аккаунта в реестре и без сети:

Сообщить об уязвимости конфиденциально можно через GitHub Security Advisories или по адресу hello@getkern.dev.

Ядро готово, CLI заморожен. 1217 тестов на Rust, 458 на Python и 93 на Node, без предупреждений clippy и cargo-deny, на Linux, WSL2, Raspberry Pi 5, Jetson Orin Nano и Arduino UNO Q.

Скрипт, написанный под текущий CLI, продолжит работать: ни один глагол, флаг или поле --json не меняет смысл внутри патч-релиза. Что изменилось в каждом из них — в changelog.

Известные пробелы: ROADMAP.md#known-gaps-and-what-would-settle-them.

Issues и pull request’ы приветствуются. CONTRIBUTING.md описывает рабочий процесс и требования; на вклады распространяется CLA.

Алессандро Полито (Alessandro Polito), @realexhub, Италия. В ранних коммитах фигурирует @getkerndev — аккаунт, с которого был опубликован проект.

Apache-2.0. См. LICENSE и TRADEMARK.md.