Claude Codeがsmolvmで未検証コード実行を検証、KVM不在はGitHub Actionsで回避

検証の目的

Simon Willison氏は、AIアシスタントのClaude Fable 5に、smolvmを未検証コードの実行環境として評価するよう依頼した。対象となるコードは、PythonとJavaScriptのユーザー提供タスクで、データ変換などの処理を想定している。要件は、RAMとCPU時間を制限し、無限ループなどの暴走を防ぐこと、ネットワークアクセスを遮断すること、そしてファイルシステムへのアクセスを指定ファイルに限定することだ。

smolvmは、このような用途に特化した高速なサンドボックスとして紹介されている。実際にsmolvmを操作するコマンドとして「smolvm machine run」が使われており、仮想マシンを起動してコードを実行する仕組みとみられる。

環境の壁と回避策

Claude Code for webの実行環境は、FirecrackerをゲストOSとするLinux 6.18.5-fc-v20で、4vCPUと15GBのRAMを備えていた。しかし、/dev/kvmが存在せず、CPUにもvmx/svmフラグがなかったため、入れ子型仮想化が不可能だった。このため、smolvm machine runは「kvm not available」というエラーで失敗したと記録されている。

Willison氏は、この制約に対してAIがGitHub Actionsのubuntuランナーを代替環境として選んだことに注目している。GitHub Actionsのランナーには/dev/kvmが公開されているため、一時的なワークフローをブランチに追加し、そこで実際のテストを実行した。最後にワークフローを削除してクリーンな状態に戻すという手順だった。

smolvmの位置づけ

smolvmは、未検証コードを隔離して実行するための選択肢の一つとして評価されている。従来のコンテナやサンドボックスと異なり、軽量な仮想マシンを起動して、リソース消費をハードに制限できる点が特徴とみられる。この記事では、RAMとCPU時間の制限によって「while true」のような無限ループから保護できること、ネットワークアクセスを遮断できること、ファイルシステムへのアクセスを指定ファイルに限定できることが挙げられている。

検証はあくまで実行可能性の確認に焦点が当てられており、具体的なパフォーマンス数値や制限の強度は示されていない。GitHub Actions上でテストが通ったという事実が、CI環境での利用可能性を示す一つの証拠になる。

残る課題

現時点では、smolvmが実際にどの程度のオーバーヘッドで動作するのか、またリソース制限がどのように実装されているのかは公開情報だけでは判断できない。記事では、テストの詳細や結果のログも提示されていないため、実運用での安全性を確認するには追加の情報が必要だ。

また、Claude Code for webのようにKVMを利用できない環境では、smolvmは直接動作しない。GitHub ActionsのようなKVM付き環境を用意するか、別の仮想化技術を検討する必要がある。