Replit reescribe su motor de sandboxes con microVMs

Un microVM es una máquina virtual liviana con su propio kernel de Linux y un conjunto mínimo de dispositivos virtuales. Replit migró cientos de millones de proyectos a un motor de sandboxes construido sobre esa tecnología, sin pérdida de datos y sin que sus usuarios notaran el cambio. El movimiento importa más allá de Replit: si tus agentes de IA ejecutan código generado por un modelo, el límite de aislamiento que uses hoy es la diferencia entre un bug contenido y un incidente con datos de tus clientes.

¿Qué cambió en el motor de sandboxes de Replit?

Durante casi una década, Replit ejecutó código sin estado en contenedores Docker sobre VMs de Google Compute Engine. Con los años le sumó workspaces persistentes, endpoints públicos, paquetes Nix cacheados, clusters regionales y almacenamiento con forks de disco instantáneos.

Cuando el equipo se planteó pasar a microVMs, la decisión fue reescribir desde cero en lugar de portar el runtime existente. Eso les permitió prototipar rápido sin arriesgar el sistema en producción.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El nuevo diseño tiene tres piezas:

Aislamiento: KVM separa cada sandbox del host y de las cargas de otros clientes. Los contenedores siguen separando procesos dentro del sandbox, pero ahora la virtualización asistida por hardware separa los sandboxes entre sí.
VMM: eligieron Cloud Hypervisor, que comparte componentes rust-vmm con Firecracker y trae virtiofs, transparent huge pages, hotplug de dispositivos y live migration. Parchearon el proyecto para mejorar la portabilidad de los snapshots entre entornos bare-metal y virtualizados.
Comunicación: un proceso init mínimo dentro de cada microVM arranca, detiene y monitorea sus contenedores; el host le habla por gRPC sobre vsock, un canal host-a-guest que no necesita red IP.

La cronología: el equipo arrancó en noviembre de 2025, en febrero ya lo usaba internamente y dedicó los meses siguientes a endurecerlo y desplegarlo. Adquirir un sandbox tarda unos 500 ms, incluyendo montar los volúmenes del cliente y configurar los servicios de soporte en paralelo. Todo esto corre igual en la nube de Replit o dentro de la cuenta de AWS, Google Cloud o Azure del cliente, vía Bring Your Own Cloud.

¿Por qué los contenedores ya no alcanzan para agentes autónomos?

El problema de fondo es que los contenedores comparten el kernel del host. Una vulnerabilidad alcanzable en ese kernel permite a un atacante escapar del contenedor y llegar a otras cargas, credenciales o endpoints de red de la misma máquina. No todos los CVE de kernel son explotables en toda configuración, pero compartir kernel hace que un escape exitoso sea mucho más grave.

Con microVMs, comprometer el kernel invitado de un sandbox no compromete el kernel del host: el atacante todavía tiene que cruzar la frontera de virtualización. Ese kernel propio también habilita herramientas como Docker, que exigen privilegios que no se pueden exponer con seguridad en un runtime de kernel compartido.

Replit enmarca la decisión en un contexto de industria: menciona los incidentes de evaluación de OpenAI y Anthropic como evidencia de que los agentes autónomos pueden alcanzar sistemas reales fuera de su alcance previsto, y señala que la convergencia ya es visible en iniciativas como DeepSeek DSec, Kubernetes Agent Sandbox o Google AX y Agent Substrate.

¿Cuánto riesgo elimina realmente un kernel mínimo?

La respuesta más concreta del post es una auditoría: revisaron 6.211 CVE de Linux-CNA publicados entre el 1 de junio y el 4 de noviembre de 2026, usando registros de CVEProject y kernel.org.

Evitaron 5.969 de ellos, el 96,1%, incorporando fixes upstream a tiempo o excluyendo el código afectado.
4.375 fixes, el 70,4%, llegaron antes de la divulgación pública.
676 CVE adicionales, el 10,9%, quedaron fuera por configuración.
Al menos 15 están descritos explícitamente por el Linux CNA o Red Hat como habilitantes o potencialmente habilitantes de escalada local de privilegios (LPE).

El kernel invitado se construye desde tinyconfig, no desde una configuración de distribución estándar: sin Bluetooth, wireless, USB ni drivers de display, con los drivers necesarios compilados dentro y la carga de módulos deshabilitada en el arranque.

El caso testigo es CVE-2026-98432, la falla de TCP en Linux que Anthropic demostró que podía dar acceso root a un atacante remoto. Replit incorporó el kernel corregido el 12 de octubre, antes de que se publicara el CVE y más de dos semanas antes de que Anthropic describiera su exploit.

¿Cómo se protegen la red, las credenciales y la cadena de suministro?

El aislamiento del kernel es la base, no la estrategia completa. Sobre ella, Replit monta:

Visibilidad en runtime: programas eBPF que observan ejecución de procesos, acceso a archivos y actividad de red, más Linux Security Modules (LSM) para bloquear operaciones prohibidas en la frontera del kernel.
Un monitor de seguridad por sandbox, que opera en el host y en el guest, se auto-repara tras un crash o manipulación y se puede actualizar con hot-reload en menos de 15 minutos desde que se fusiona un cambio.
Red: cada sandbox tiene su propio network namespace y tabla de rutas, así que todos pueden usar las mismas IPs privadas. La política de egress se aplica fuera del guest: un proxy del host inspecciona los hostnames del handshake TLS sin descifrar el payload, filtra DNS y rechaza el tráfico fuera del camino permitido. El guest no puede desactivar esas reglas.
Credenciales: los conectores usan brokers que adjuntan la credencial upstream después de autorizar, de modo que la carga de trabajo puede usar GitHub o Google Docs sin recibir nunca la API key de la cuenta.
Cadena de suministro: npm y pip pasan por un registry firewall que bloquea dependencias maliciosas conocidas; el agente de Replit reemplaza o elimina los paquetes bloqueados de forma autónoma.

Un caso que vale la pena copiar: cuando se comprometieron las claves de la CA intermedia de eMudhra, el harness de sandboxes inyectó automáticamente un bundle de CA actualizado en todos los sandboxes en ejecución, sin pedirle a cada cliente que actualizara su entorno.

¿Qué significa esto para tu startup?

Primero, audita dónde está tu frontera de aislamiento. Si tus agentes ejecutan código generado por un modelo sobre contenedores que comparten kernel, un CVE de escalada de privilegios deja de ser un problema de tu proveedor de nube y pasa a ser tuyo. Preguntar si el sandbox tiene kernel propio es una pregunta de procurement, no de ingeniería.

Segundo, usa este post como checklist de compra si estás evaluando infraestructura de sandboxes de terceros. Cuatro preguntas que separan un sandbox serio de uno decorativo: ¿la política de egress se aplica fuera del guest o dentro? ¿las credenciales se inyectan vía broker o se pasan al workload? ¿puedes actualizar el componente de seguridad sin reiniciar los sandboxes? ¿el kernel está minimizado o es una configuración de distribución estándar?

Tercero, no construyas tu propio sandbox si no es tu core. El mercado ya tiene oferta especializada y la barrera de entrada subió: mantener un kernel al día, auditar CVE y operar decenas de miles de microVMs en paralelo es trabajo de un equipo completo.

¿Quién más está compitiendo en la capa de sandboxes?

El propio post de Replit cifra en US$59,3M las rondas anunciadas desde 2025 por cuatro startups del rubro: Daytona, E2B, Runloop y Blaxel.

Daytona es la que más ruido hizo: cerró una Serie B de US$60M a una valoración de US$1.000M liderada por FirstMark, según reportó Fortune, con inversores como Patrick Collison de Stripe, Tobi Lütke de Shopify, Aravind Srinivas de Perplexity y los fondos Qualcomm Ventures, Samsung Next y Okta Ventures. El total levantado ronda los US$91M y entre sus clientes figuran Anthropic, OpenAI, Nvidia, Cursor, Cognition, Meta y Cohere.

Los números de uso muestran por qué la categoría se calentó: según Fortune, Snorkel provisionó más de un millón de sandboxes en la plataforma de Daytona, y Writer pasó de operar su propio sandbox interno, que se quedó corto al superar los 20.000 sandboxes diarios, a provisionar 300.000 en un solo mes.

Del lado de la demanda, el negocio enterprise de Replit pasó de representar alrededor del 2% de sus ingresos en 2025 a cerca del 15% en 2026, y el B2B ya supera la mitad del total, según Crypto Briefing. Antes, en septiembre de 2025, la compañía había levantado US$250M a una valoración de US$3.000M y proyectaba superar los US$1.000M de ingresos anuales, según Business Insider.

Conclusión

La reescritura de Replit no es una nota de infraestructura para ingenieros de plataforma: es la señal de que el aislamiento de agentes dejó de ser un detalle de implementación y se convirtió en una categoría de producto con capital propio. La lección para un founder es simple: si tu producto ejecuta código que no escribiste tú, la pregunta no es si necesitas sandboxes, sino si el límite que tienes hoy aguanta un agente que se equivoca a escala. Replit tardó meses en migrar cientos de millones de proyectos sin que nadie lo notara; tú no necesitas ese heroísmo, pero sí necesitas la misma pregunta de fondo.