Replit이 자율 에이전트가 코드를 실행하는 환경의 격리를 강화하려 샌드박스 엔진을 전면 재작성하고, 수억 개 프로젝트를 데이터 손실·중단 없이 이전했다. 기존엔 샌드박스들이 호스트 커널을 공유했지만 이제 샌드박스마다 자체 커널을 가진 microVM(Cloud Hypervisor 기반)을 쓰며, 미리 띄운 웜 풀 VM에 고객 디스크를 붙여 약 500ms에 내준다. VM 안에서는 eBPF로 프로세스·파일·네트워크를 관찰하고, API 키를 샌드박스에 넘기지 않고도 GitHub 연결이나 npm·pip 악성 패키지 차단을 처리한다.
배경에는 자율 에이전트가 의도한 범위를 넘어 실제 시스템에 손대 피해를 줄 수 있다는 우려가 있다. Replit은 OpenAI의 Hugging Face 사건, Anthropic 평가 사건, 그리고 지난 1년간 쏟아진 리눅스 커널 LPE 버그들을 근거로, 샌드박스가 호스트 커널을 공유하던 기존 구조로는 부족하다고 봤다.
새 엔진은 샌드박스마다 자체 리눅스 커널과 최소 가상 장치를 가진 microVM을 띄우고 KVM으로 분리한다. VMM으로는 Firecracker와 rust-vmm 구성요소를 공유하는 Cloud Hypervisor를 골라 virtiofs·장치 핫플러그·라이브 마이그레이션을 활용했다. 게스트 커널이 뚫려도 호스트까지 가려면 가상화 경계를 한 번 더 넘어야 한다.
운영 측면에선 미리 띄운 웜 풀 VM에 고객 디스크를 핫플러그로 붙여 약 500ms에 샌드박스를 내준다. 외부 통신 규칙과 서비스 자격증명은 VM 밖에서 관리해 샌드박스에 API 키를 주지 않고도 GitHub에 연결하고, npm·pip의 알려진 악성 패키지 설치를 막는다. 2025년 11월 시작한 재구축은 2월부터 내부 사용을 거쳐 수개월째 프로덕션에서 돌고 있다.