逆向 Claude Web MicroVM:挖出 Anthropic 隐藏的 Antspace 沙箱架构与 Agent 运行时底层

2026 年 9 月 14 日,工程师 AprilNEA 在 Hacker News 上发布了「Anthropic's Hidden Vercel Competitor 'Antspace'」(109 个点赞)逆向工程报告;另一篇「Reverse-Engineering Claude Web's MicroVM: Uncovering Anthropic's Hidden Antspace」(17 个点赞)进一步从技术细节揭示了 Anthropic 隐藏的浏览器 Agent SaaS 平台 Antspace 的完整架构。本章从「逆向工程的工程方法」视角综述这两份报告,深入挖掘 Claude Web 沙箱架构、Antspace 平台设计、Agent 运行时底层等关键工程基线,提炼企业部署 Agent 运行时基础设施的工程新基线。Claude Web 的完整架构已经在 topic 678 详细分析过(Firecracker MicroVM、bubblewrap 内核沙箱、pasta 网络隔离、Snapstart 快照架构、3 块块设备等);本报告进一步揭示了这些组件之间的协作方式、Agent 进程的实际工作环境、Agent 任务生命周期的完整工程实现。AprilNEA 详细记录了逆向工程的方法——用标准 Linux 工具(strace、strings、objdump、go tool objdump)在 Claude Code 会话内部运行,最终揭示了 Anthropic 一个未公开发布的应用托管平台;所有内容都是通过沙箱内部可以访问的标准工具发现的,没有利用漏洞、没有权限提升、没有网络攻击,二进制就在那里,未剥离、带有完整调试符号。这一工程方法展示了「基础设施的可观察性」是一个重要的安全工程原则——任何复杂的 Agent 运行时,如果开发者能够用标准工具逆向分析,那么攻击者也能;企业 Agent 部署必须假设「沙箱内部的所有内容都是可被分析的」,并据此设计安全策略。两份报告共同指向一个工程判断:Agent 运行时基础设施的安全设计必须基于「假设 Agent 完全可见基础设施」,而不是「隐藏基础设施」。

一、Antspace 的工程架构

Antspace 的工程架构是一个完整的浏览器 Agent SaaS 平台,从逆向工程中可以看到几个关键组件。第一个组件是「多租户浏览器 Agent 基础设施」——Anthropic 在 Antspace 平台上运行多个客户的浏览器 Agent 任务,每个任务运行在隔离的 Firecracker MicroVM 中;MicroVM 是轻量级硬件虚拟化,启动时间毫秒级,资源占用极少,适合大规模并行 Agent 任务。逆向工程报告揭示,MicroVM 配置包括 4 vCPU、16GB RAM、252GB 磁盘、Linux 6.18.5 内核;这种配置足够运行复杂的浏览器 Agent 任务,同时成本可控。第二个组件是「Firecracker 的安全特性」——Firecracker 故意剥离了嵌套虚拟化支持(vmx/svm 标志被隐藏),MicroVM 内部无法运行嵌套 VM;这种设计防止 Agent 在沙箱内启动额外的 VM 来绕过沙箱。第三个组件是「无 systemd 的极简进程树」——MicroVM 内 PID 1 不是 systemd、sshd、cron、logging daemon,而是 Anthropic 自定义的 Rust/tokio 二进制 process_api;process_api 同时承担 init 进程、WebSocket API 网关、HTTP API 容器控制三种职责,让 Agent 进程的进程树极度精简。

二、Agent 进程的实际工作环境

Agent 进程(在 Antspace 平台中)的实际工作环境有几个关键特征。第一个特征是「进程树极简」——Antspace 进程树是 `PID 1 (process_api) → PID 517 (environment-manager task-run) → PID 532 (claude)`,只有 3 个进程,没有 systemd、sshd、cron 等传统 Linux 服务;这种极简降低了 Agent 沙箱的攻击面。第二个特征是「WebSocket API 网关」——process_api 在端口 2024 提供 WebSocket API,在端口 2025 提供次要 HTTP 端点;Agent 通过 WebSocket 与 process_api 通信,process_api 负责会话管理、命令执行、状态同步;strace 显示 process_api 运行 epoll 事件循环,定期检查 `/proc/*/children` 与 `/proc/*/status` 监控子进程状态。第三个特征是「initramfs 极简」——initramfs 只有 3.1MB,仅包含 process_api 二进制;Ubuntu 根文件系统在 vda(ext4 块设备),按需注入到快照;这种极简确保启动速度极快。

三、Agent 任务生命周期的工程实现

Antspace 平台的 Agent 任务生命周期包含几个关键阶段。第一个阶段是「快照创建」——Firecracker 启动一个最小 initramfs + process_api,process_api 执行最小 init(mount /proc、/sys、/dev、cgroups、配置网络 IP=192.0.2.2/24、GW=192.0.2.1、MTU=1400),向 host 发送 SNAPSTART_READY 信号;host 调用 PUT /snapshot/create 保存整个 VM 状态。第二个阶段是「快照恢复」——host 准备会话特定的块设备(vda 256 GiB ext4 会话根文件系统、vdb 63.7 MB squashfs /opt/claude-code、vdc 12.1 MB squashfs /opt/env-runner),调用 PUT /snapshot/load 恢复 VM;VM 恢复时 kernel 检测设备变化、reseed CRNG,process_api 丢弃页缓存、remount devtmpfs、挂载 ext4、pivot_root 到新根文件系统、挂载 squashfs 覆盖层(包含 claude-code、env-runner)、修正 wall clock、丢弃 CAP_SYS_RESOURCE、接受 WebSocket 连接。第三个阶段是「Agent 执行」——Agent 在快照恢复的 VM 中运行,所有行为被 process_api 通过 WebSocket 监控;当 Agent 完成时,VM 销毁,快照保留供下一个会话复用。

四、企业 Agent 运行时基础设施的工程基线

Claude Web 与 Antspace 共同代表了一个工程判断:企业 Agent 运行时基础设施需要专门的设计,而非依赖通用云服务。这个新基线包含几个关键维度。第一维度是「轻量级硬件虚拟化」——Agent 应该运行在 Firecracker、gVisor 等轻量级硬件虚拟化中,启动时间毫秒级、资源占用极少;这种虚拟化适合大规模并行 Agent 任务,降低企业成本。第二维度是「无 systemd 的极简进程树」——Agent 沙箱应该避免 systemd、sshd、cron 等传统 Linux 服务,只运行 Agent 必要的进程(process_api、environment-manager、claude);极简进程树降低了攻击面,也让 Agent 行为更可预测。第三维度是「会话特定的块设备」——Agent 任务应该使用快照 + 增量块设备的组合,实现快速启动与任务隔离;Snapstart 架构展示了这种设计的工程实现。第四维度是「initramfs 极简」——Agent 沙箱的 initramfs 应该只包含必要的初始化组件,避免无关服务带来的攻击面。

五、从 Agent 运行时底层到企业 AI 基础设施新基线

Claude Web 与 Antspace 的逆向工程揭示,大型 AI 实验室的 Agent 运行时基础设施经过精密设计,既考虑安全性又考虑性能,值得企业借鉴。「基础设施可观察性」这一工程原则是其中的核心——任何复杂系统,如果开发者能用标准工具逆向分析,那么攻击者也能;企业 Agent 部署必须假设「沙箱内部完全可见」,并据此设计安全策略。「Fences Not Sandboxes」的工程哲学仍然适用——Anthropic 的沙箱不是「隐藏基础设施」的沙箱,而是「用栅栏与快照控制 Agent 行为」的栅栏,这种栅栏哲学让 Agent 可以在受控环境中高效工作,同时保持可审计、可复现、可信任。这一年 Agent 运行时基础设施的密集发布(包括 Claude Web 的 Antspace、Trail of Bits 的 Coop、OneCLI 的 bubblewrap + pasta、ANOLISA 的 AgentSight、Opal 等)共同说明:Agent 运行时基础设施是一个新兴且重要的工程领域,企业应该基于公开的设计原则与开源参考,建立真正符合自身需求的可观测、可治理、可复现的 Agent 运行时基础设施。