kern - AI 생성 코드를 매번 새 컨테이너에서 실행하는 경량 루트리스 런타임

저장소 README 앞부분(소개와 "kern이란")을 읽고 옮겼어요. 도구 목록, 벤치마크, 플랫폼별 설치 부분은 다 읽지 못했어요.

한 줄 소개

kern은 데몬이 없는 루트리스 컨테이너 런타임이자 샌드박스예요. 에이전트의 도구 호출과 LLM이 생성한 코드를 커널이 강제하는 컨테이너 안에서 실행해요. 정적 바이너리 하나로 몇 밀리초 만에 진짜 컨테이너를 띄우고, 쉬는 동안 RAM을 쓰지 않는다고 해요. Rust 의존성은 libc 하나뿐이래요. Kern Sandbox를 통해 Claude Code, Cursor, Claude Desktop, LM Studio에서 MCP로 쓸 수 있어요.

kern이 하는 일

• 진짜 OCI 이미지: pull, build, commit, push, save/load를 지원하고, kern은 컨테이너를 "box"라고 불러요. box는 한 자릿수 밀리초 안에 시작해요.
• 모델이 쓴 코드용 샌드박스: 파일을 넘겨주지 않으면 내 파일에 닿지 못하고, 요청하지 않으면 네트워크도 없어요. Python, Node, 아무 MCP 클라이언트에서 불러 쓸 수 있어요.
• 데몬 없음, 루트 불필요: 네임스페이스 6개, 읽기 전용 또는 오버레이 루트, 기본 seccomp 허용 목록, cgroup v2 제한을 써요.
• docker-compose.yml을 그대로 쓰거나 kern 자체 stack.toml을 쓸 수 있어요.
• 샌드박스 없는 제한: kern run은 호스트의 일반 프로세스에도 같은 자원 제한을 걸어요.

저장소에는 1,700개가 넘는 커밋과 pentest, fuzz, provenance 디렉터리가 있어요.