Допустим, вы создаете агента, который отвечает на вопросы по CSV-файлу, загруженному пользователем. Модели для получения ответа необходимо запустить Python. Где выполняется этот код?

Один из вариантов — запустить его самостоятельно. Это означает использование платформы песочниц, такой как E2B или Modal, или собственного контейнера в Docker, а также работу по изоляции его от вашей базы данных и интернета, ограничению времени выполнения и обновлению образов.

Инструмент выполнения кода на стороне сервера — это второй вариант. Вы добавляете инструмент в свой API-запрос, модель решает, когда ей нужно что-то запустить, а провайдер выполняет команды в собственной песочнице и возвращает вывод модели в рамках того же запроса. Под песочницей здесь понимается изолированный Linux-контейнер с собственной файловой системой, ограничением по времени и по умолчанию без доступа к сети.

В этой статье рассматриваются четыре провайдера, которые сегодня предлагают выполнение кода на стороне сервера, возможности и ограничения каждой песочницы, затраты времени и денег, а также задачи, для которых по-прежнему требуется песочница, управляемая самостоятельно.

Кратко

Инструмент выполнения кода на стороне сервера запускает команды модели в песочнице провайдера во время выполнения вашего API-запроса. Вам не нужно развертывать, обновлять или обеспечивать безопасность контейнера.
OpenAI, Anthropic и Google запускают код для собственных моделей. Наш инструмент openrouter:shell выполняет команды для любой модели через API Responses и Messages, а наш инструмент openrouter:bash делает то же самое только через API Messages. Оба инструмента находятся в бета-версии.
Наша песочница представляет собой изолированный контейнер, привязанный к вашему аккаунту и рабочему пространству, с выходом в сеть, отключенным по умолчанию, и ограничениями для каждой команды по времени выполнения и размеру вывода. Время работы песочницы тарифицируется по цене $0.0001 за секунду с минимальным порогом в 30 секунд для нового или спящего контейнера.
Платформа песочниц, которой вы управляете самостоятельно, по-прежнему остается правильным выбором для нестандартного базового образа, работы с GPU или сеанса, длящегося часами.

Что означает выполнение кода на стороне сервера

Модель никогда ничего не запускает сама. Когда она вызывает инструмент, она выдает запрос с указанием имени инструмента и аргументов, и кто-то должен это выполнить. В случае инструмента на стороне клиента этим «кем-то» является код вашего приложения или фреймворк агента, на котором вы строите решение. Ваше приложение получает вызов, выполняет его и отправляет результат обратно в последующем запросе. В случае инструмента на стороне сервера провайдер выполняет вызов на собственной инфраструктуре и возвращает результат модели в том же запросе, поэтому у вашего приложения нет обработчика для него. Выполнение кода на стороне сервера — это второй тип.

Возможно, вы уже используете инструменты, которые работают таким образом. Поиск в интернете позволяет модели найти что-то в актуальном веб-пространстве, а веб-запрос — прочитать содержимое URL-адреса. В обоих случаях вы добавляете одну запись в запрос, а остальное делает провайдер. Выполнение кода применяет тот же паттерн к запуску команд.

Как вызов инструмента превращается в выполняемую команду

Эти шаги применимы к любому инструменту выполнения кода на стороне сервера. Если указано имя поля, то оно используется в нашем инструменте shell.

Вы включаете инструмент в массив tools запроса.
Модель решает, что ей нужно что-то запустить, и выдает вызов, содержащий одну или несколько команд оболочки (shell).
Провайдер выполняет эти команды по порядку внутри контейнера в песочнице.
Стандартный вывод, стандартный вывод ошибок и результат выполнения каждой команды возвращаются модели. Результатом является либо код выхода (exit code), либо истечение времени ожидания (timeout).
Модель читает результаты и либо отвечает вам, либо запускает дополнительные команды в рамках того же запроса.

Шаги со второго по пятый повторяются до тех пор, пока модель не ответит. Модель запускает что-либо, читает вывод, решает, нужна ли ей еще одна команда, и повторяет процесс. Этот цикл — то, за счет чего инструмент выполнения кода оправдывает свое существование, поскольку модель может проверять свою работу по реальным результатам, а не гадать.

Мы ограничиваем этот цикл. Поле max_tool_calls задает количество шагов серверного инструмента, которые может совершить один запрос. В нашей документации по серверным инструментам и значение по умолчанию, и максимум равны 30.

Чем размещенная в облаке песочница отличается от той, что вы запускаете сами

Запуск собственной песочницы означает самостоятельное обслуживание тех компонентов, которые в противном случае обслуживал бы провайдер. Вы выбираете базовый образ, выделяете вычислительные мощности, интегрируете SDK для запуска задач и чтения вывода, а также управляете жизненным циклом каждого запуска. Вы также отвечаете за границы безопасности.

Размещенный инструмент заменяет этот контроль одной записью в массиве JSON. Вам не нужно определять размер контейнера, обновлять его или обслуживать. Мы создали openrouter:shell для тех случаев, когда задача сводится к нескольким коротким командам на запрос.

Кто сегодня предлагает выполнение кода в облаке

В этой статье рассматриваются OpenAI, Anthropic, Google и OpenRouter. SDK для агентов и специализированные платформы песочниц — это отдельные категории, и о них речь пойдет далее в статье. Что разделяет этих четырех провайдеров, так это то, для каких именно моделей каждый из них запускает код.

OpenAI запускает облачную оболочку для моделей OpenAI

Инструмент shell tool от OpenAI выполняет команды в управляемом OpenAI контейнере через API Responses. В документации OpenAI хостинговая среда описывается как Debian 12 с рабочей директорией по умолчанию /mnt/data. Команды выполняются без sudo, интерактивные TTY-сеансы не поддерживаются. Среди предустановленных языков, указанных в документации, упомянуты Python 3.11, Node.js 22.16, Java 17, PHP 8.2, Ruby 3.1 и Go 1.23.

По умолчанию размещенные контейнеры не имеют исходящего доступа к сети. Чтобы включить его, администратор организации настраивает белый список (allowlist) в панели управления OpenAI, а вы задаете network_policy для среды контейнера в запросе. Контейнер может использоваться повторно для разных запросов, если передать его идентификатор в окружении container_reference, а срок его действия задается при создании контейнера. У OpenAI также есть отдельный инструмент интерпретатора кода (code interpreter tool) для Python.

Anthropic запускает Python и Bash для моделей Claude

Инструмент code execution tool от Anthropic выполняет Python и Bash в управляемой Anthropic песочнице через API Messages. Задокументированная среда представляет собой контейнер Linux x86_64 с Python 3.11, 5 ГиБ оперативной памяти, 5 ГиБ хранилища рабочего пространства и одним процессором. Доступ в интернет отключен, исходящие соединения не разрешены, поэтому Claude работает с предустановленными библиотеками и не может устанавливать пакеты во время выполнения.

Существует три версии инструмента, и каждая поддерживаемая модель принимает все три. code_execution_20250825 поддерживает команды Bash и файловые операции. code_execution_20260120 добавляет состояние интерпретатора Python, сохраняющееся между запросами, что зависит от программного вызова инструментов Anthropic и недоступно в Claude Haiku 4.5. Контейнеры истекают через 30 дней после создания. Примерно после 5 минут бездействия для контейнера создается контрольная точка (checkpoint), а запрос с его идентификатором в течение 30-дневного окна восстанавливает его.

Google запускает Python для моделей Gemini

Инструмент code execution tool от Google выполняет Python в управляемой Google песочнице, которая активируется добавлением записи code_execution в поле tools запроса. В документации указано, что модель может только генерировать и выполнять Python, максимальное время работы среды кода составляет 30 секунд, а устанавливать собственные библиотеки нельзя. Google публикует список библиотек, входящих в состав среды.

Мы запускаем облачную оболочку для любой модели

Каждый из трех упомянутых выше инструментов работает с моделями только одной компании. Наш инструмент работает с любой моделью, поддерживающей Responses API и Messages API, поскольку мы запускаем песочницу на уровне маршрутизации, а не внутри инфраструктуры конкретного провайдера моделей.

Мы поставляем два инструмента для выполнения кода. openrouter:shell повторяет структуру размещенного на сервере инструмента оболочки OpenAI и работает как с Responses API, так и с Messages API. openrouter:bash повторяет структуру инструмента bash от Anthropic и работает только с Messages API.

Оба инструмента находятся в стадии бета-тестирования, поэтому API может измениться. Исполнение в песочнице работает только на глобальной конечной точке openrouter.ai. Конечные точки в регионах не поддерживают инструмент оболочки, а Chat Completions отклоняет оба инструмента с ошибкой 400, в которой указаны поддерживающие их API.

Установите для параметра engine значение openrouter в любом из инструментов, и команды будут выполняться в нашей песочнице. Значение по умолчанию для engine — auto. Для openrouter:shell значение auto сохраняет встроенную хостинговую оболочку провайдера, если она существует, а в противном случае выполняет маршрутизацию в нашу песочницу. Для openrouter:bash значение auto возвращает вызов инструмента вашему приложению для выполнения на стороне клиента, и на наших серверах ничего не запускается.

Запуск команды в нашей песочнице

Вот полный запрос, который запускает две команды и считывает результаты.

Мы выполнили этот запрос 22 сентября 2026 года. Модель отправила обе команды в одном вызове оболочки, и каждая команда вернула свой собственный результат. Полный вывод os-release занимает несколько строк, здесь он сокращен до первых двух строк.

sandbox сообщил о наличии Ubuntu 22.04.5 LTS с Python 3.11.14 на эту дату. Образ среды выполнения может измениться, поэтому считывайте версию из контейнера, а не жестко кодируйте ее. Описание остальных параметров приведено в справочнике по серверным инструментам.

SDK агентов, оборачивающие песочницу для вас

Если вы создаете решение на базе SDK агентов, а не вызываете API напрямую, некоторые SDK уже оборачивают один из этих инструментов.

OpenAI Agents SDK поставляет CodeInterpreterTool, который выполняет код в песочнице OpenAI, и ShellTool, который запускается либо в вашей локальной среде выполнения, либо в хостинговом контейнере OpenAI в зависимости от настройки его окружения. Проверьте, какой режим вы настроили, прежде чем предполагать, что команда была выполнена удаленно. С нашей стороны openrouter:shell является таким же элементом массива tools, как и любой другой, поэтому он интегрируется в цикл OpenRouter Agent SDK точно так же, как и в обычный запрос.

Для чего по-прежнему нужна собственная песочница

Инструмент на базе хостинга подходит для коротких ограниченных задач, таких как запуск скрипта, преобразование файла или проверка результата. Все, что требует определенного базового образа или графического процессора, выходит за рамки всех четырех хостинговых инструментов и требует собственной платформы песочницы, которой управляете вы.

Сравнение

Данные для каждой ячейки хостингового инструмента взяты из документации соответствующего вендора, ссылки на которую приведены выше, за исключением ячейки среды выполнения OpenRouter — это то, что сообщила песочница при выполнении описанного выше запроса. Колонка «Самоуправляемая» описывает песочницу, которую вы запускаете самостоятельно, а не какую-то конкретную платформу.

Что обеспечивает наша песочница

Смысл песочницы в том, что вам не нужно доверять модели. Непредусмотренная вами команда не сможет получить доступ к сети или к чужому контейнеру, а ее работа прекратится при достижении жестких лимитов на время выполнения и объем вывода. Все в этом разделе описывает нашу песочница. В таблице выше показано, чем отличаются остальные три инструмента.

Ограничения, применимые к каждой команде

Мы запускаем каждую команду в изолированном контейнере, отдельно от инфраструктуры, обслуживающей ваш запрос, и от вашей машины, с ограничением на уровне вашего аккаунта и рабочей области. Вы задаете собственные ограничения с помощью timeout_ms для максимального времени выполнения команды и max_output_length для максимального объема вывода. Значение timeout_ms по умолчанию составляет 120 000 мс и не может превышать 300 000 мс. Значение max_output_length по умолчанию составляет 16 384 символа на поток и не может превышать 65 536. Вызов оболочки, содержащий более 100 команд, отклоняется.

Исходящий сетевой доступ отключен, если вы его не включите. Мы проверили это 22 сентября 2026 года, отправив запрос без network_policy и попросив модель получить https://example.com с помощью curl, выводя только HTTP-код состояния и прекращая работу через 5 секунд. Команда вывела 000, что выдает curl при отсутствии ответа, и завершилась с кодом 28 (тайм-аут curl).

Чтобы открыть сеть, задайте allowlist для network_policy, содержащий до 50 доменных имен или шаблонных масок. Доступны только порты 80 и 443, а политика фиксируется при запуске контейнера. Для pip install в списке разрешенных должны присутствовать и pypi.org, и files.pythonhosted.org.

Промпт-инъекции и ограничения песочницы

Предоставление модели доступа к оболочке подвергает вас риску промпт-инъекций. Если ваш агент читает веб-страницу, тикет поддержки или загруженный кем-то файл, злоумышленник может скрыть в этом тексте инструкции, приказывающие модели проигнорировать ваш промпт и выполнить что-то другое.

Указанные выше ограничения действуют независимо от того, следует ли модель вашему промпту или инструкциям злоумышленника. Команда, запущенная в рамках внедренной инструкции, не может обратиться ни к какому хосту за пределами настроенной вами network_policy, а при отключенной политике у нее вообще нет сетевого доступа. Она не может получить доступ к контейнеру другого тенанта и останавливается по тому же тайм-ауту. Список разрешенных хостов расширяет возможности инъецированной команды, а allowed_domains: ["*"] разрешает неограниченный исходящий трафик, поэтому ограничивайте allowlist только теми хостами, которые необходимы для задачи.

Вы также можете обнаружить попытку атаки, поступающую в самом запросе. Обнаружение промпт-инъекций в защитном фильтре рабочей области (guardrail) проверяет содержимое сообщения пользователя каждого входящего запроса на соответствие регулярным выражениям для распространенных методов инъекций до того, как мы перешлем запрос модели. Фильтр не проверяет то, что серверный инструмент запрашивает после этого момента, поэтому страница, файл или вывод команды, которые модель читает через инструмент, требуют вашего собственного контроля, например проверки вывода песочницы, получаемого вашим приложением. Совпадение выполняет одно из трех действий в зависимости от настроенного вами правила.

Флаг (Flag) регистрирует обнаружение и пересылает запрос без изменений.
Замена (Redact) заменяет совпавший фрагмент на [PROMPT_INJECTION] и пересылает очищенный запрос.
Блокировка (Block) отклоняет запрос с кодом 403 до того, как он попадет к модели.

Если к запросу применяется несколько защитных фильтров, побеждает наиболее строгое действие в следующем порядке приоритета: блокировка, замена, флаг. Механизм обнаружения не является исчерпывающим и может давать ложноположительные срабатывания, поэтому измеряйте частоту совпадений на собственном трафике в режиме флага, прежде чем применять замену или блокировку. Вы можете сообщить о ложноположительном срабатывании со страницы «Журналы» (Logs).

Во что обходится хостинговая песочница в секундах и долларах

Хостинговая песочница добавляет секунды к времени выполнения запроса и избавляет вас от необходимости обслуживать инфраструктуру. Она также предоставляет контейнер, к которому можно вернуться.

Файлы сохраняются между запросами

Команды выполняются в каталоге /workspace/home, и мы сохраняем измененные файлы в этом каталоге после каждой команды. Отправляйте стабильный параметр session_id или укажите идентификатор контейнера в конфигурации окружения инструмента, и каждый запрос с этим идентификатором будет попадать в один и тот же контейнер и к тем же файлам. Идентификатор session_id должен состоять только из букв, цифр, символов подчеркивания (_) и дефисов (-). Идентификатор с любыми другими символами игнорируется, и мы выбираем контейнер так, будто вы не отправляли session_id — то есть используем последний container_id в воспроизводимом диалоге, если он есть, а в противном случае создаем новый контейнер для этого запроса. Если длина session_id превышает 20 символов, мы используем только последние 20, поэтому два длинных идентификатора с одинаковым окончанием используют один и тот же контейнер. Идентификатор container_reference может содержать от 1 до 40 символов из того же набора и не усекается, поэтому используйте его, когда требуется точное совпадение идентификатора. Мы подтвердили это 22 сентября 2026 года, записав файл в одном запросе и прочитав его во втором запросе, который использовал тот же session_id.

Контейнер переходит в спящий режим после 5 минут простоя, и время простоя не настраивается. Спящий режим не удаляет файлы. Когда позже поступает запрос с тем же идентификатором, запускается новая песочница, которая сначала загружает сохраненные файлы. Открытые процессы, переменные окружения и установленное системное состояние не восстанавливаются, поэтому относиться к проснувшемуся контейнеру следует как к новому устройству, на котором находятся ваши файлы. Сохраненные файлы хранятся в течение 30 дней с момента последнего использования контейнера. Чтобы извлечь артефакт, вызов GET /api/v1/containers/{container_id}/files выводит список созданных контейнером файлов, а конечная точка promote копирует файл в документы вашей рабочей среды, где у него нет срока действия.

Что вы можете проверить после

Каждый результат выполнения инструмента оболочки в ответе содержит команды, выполненные моделью, а также стандартный вывод (stdout), стандартный вывод ошибок (stderr) и результат для каждой команды, поэтому ваше приложение может регистрировать их так же, как и остальную часть ответа. Журналирование ввода и вывода сохраняет ваши промпты и завершения на OpenRouter для проверки на странице «Журналы», и там же отображаются результаты срабатывания систем защиты (guardrails). Для мониторинга в продакшене Broadcast передает трассировки на внешнюю платформу наблюдаемости по мере завершения запросов.

Если вы используете маршрутизация в пределах региона (in-region), инструмент оболочки недоступен, а журналирование ввода и вывода пропускается, даже если оно включено. Broadcast поддерживает маршрутизацию в пределах региона, и для каждого направления настраиваются регионы данных, из которых оно получает трассировки.

Во что вам обходится круговой обход (round trip)

Запрос, выполняющий команду в изолированной среде, занимает больше времени, чем аналогичный запрос без нее. В серии одиночных запросов, отправленных нами 22 сентября 2026 года, запрос без инструмента оболочки возвращался примерно за 2 секунды, а запросы с одним вызовом оболочки возвращались через 8–21 секунду в зависимости от модели. Это единичные замеры из одного сеанса, а не бенчмарк. Закладывайте в бюджет несколько секунд накладных расходов на каждый вызов оболочки.

Время работы песочницы тарифицируется по цене $0,0001 за секунду. Отсчет начинается, когда запрос впервые выполняет команду в песочнице, и останавливается при завершении ответа. Для запроса, запускающего новый или спящий контейнер, установлен минимальный тариф в 30 секунд, в то время как последующие запросы, использующие тот же прогретый контейнер, оплачивают только фактически измеренное время. Упомянутый выше запрос запустил новый контейнер, и в его объекте использования было указано значение server_tool_cost, равное 0,003, что соответствует минимальному порогу в 30 секунд. Контейнер, простаивающий между запросами, не тарифицируется.

Смените модель, не меняя код инструментов

Вы меняете модель, а определение вашего инструмента остается прежним.

Мы отправили одно тело запроса шесть раз 22 сентября 2026 года, меняя только поле модели, и попросили каждую модель выполнить python3 -c "print(sum(range(1, 101)))" в песочнице. Каждая модель сделала один вызов оболочки и вернула значение 5050.

Все шесть работали в одной песочнице с одинаковым определением инструмента независимо от возможностей нативных предложений конкретных провайдеров, поскольку песочница принадлежит нам, а не провайдеру модели. Протестируйте модель, которую планируете использовать, прежде чем строить на ней решение, поскольку надежность вызова инструментов у разных моделей отличается. В нашем руководстве по вызову инструментов описано, как серверные инструменты и ваши собственные функции-инструменты совместно используют один массив tools.

Когда вам нужна собственная платформа песочниц

Выбирайте выделенную платформу песочниц, когда вам требуется то, чего не может дать размещенный (hosted) инструмент. Modal документирует песочницы, созданные на основе пользовательских образов, с настраиваемым временем жизни до 24 часов и поддержкой графических процессоров (GPU). Daytona документирует песочницы, созданные из общедоступного контейнерного образа, включая песочницы с GPU. E2B документирует песочницы, которые работают до 24 часов в тарифе Pro и до 1 часа в базовом тарифе, с возможностью паузы и возобновления для более длительных рабочих нагрузок.

Заключение

Для коротких ограниченных команд внутри запроса модели используйте размещенный инструмент. Вы добавляете одну запись в массив tools и получаете изолированный контейнер с отключенным исходящим сетевым доступом, при этом вы платите за инференс плюс секунды работы песочницы. Закладывайте в бюджет несколько секунд накладных расходов на каждый вызов оболочки и по возможности используйте контейнеры повторно.

Переходите на управляемую вами платформу песочниц, когда задача требует пользовательского базового образа, графического процессора, сеанса продолжительностью в несколько часов или контроля над самой границей безопасности. В любом случае перед принятием решения ознакомьтесь с актуальной документацией провайдера, поскольку оба наших инструмента находятся в стадии бета-тестирования, а инструменты трех других провайдеров также изменяются.

Часто задаваемые вопросы

Существует ли размещенный инструмент изолированной оболочки, к которому модели могут обращаться напрямую во время запроса?

Да. Наш серверный инструмент openrouter:shell предоставляет модели изолированную оболочку Linux, которая работает на нашей инфраструктуре во время запроса, как в Responses API, так и в Messages API. Задайте для параметра engine значение openrouter, и команды будут выполняться в изолированном контейнере, а стандартный вывод, вывод ошибок и результат завершения или таймаута каждой команды будут возвращены модели. OpenAI, Anthropic и Google предлагают собственные размещенные инструменты выполнения кода для своих моделей.

Могу ли я предоставить модели изолированную оболочку для выполнения команд?

Да. Добавьте {"type": "openrouter:shell", "parameters": {"engine": "openrouter"}} в массив tools запроса Responses API или Messages API. После этого модель сможет инициировать вызовы оболочки, а мы выполним команды в изолированном контейнере и вернем вывод каждой команды модели. Контейнер не имеет исходящего сетевого доступа, если вы не настроите список разрешенных адресов network_policy.

Какие SDK или платформы обеспечивают выполнение кода на стороне сервера из коробки?

Наш серверный инструмент openrouter:shell выполняет команды для любой модели через Responses API и Messages API, а наш серверный инструмент openrouter:bash делает то же самое только для Messages API. OpenAI, Anthropic и Google выполняют код для собственных моделей с помощью инструмента оболочки Responses API, инструмента выполнения кода и инструмента выполнения кода Gemini API соответственно. OpenAI Agents SDK оборачивает размещенные инструменты OpenAI как CodeInterpreterTool и ShellTool. E2B, Modal и Daytona — это платформы песочниц, которые вы интегрируете и эксплуатируете самостоятельно, а не инструменты, запускаемые провайдером внутри вызова API.

Какая песочница лучше всего подходит для ИИ-агентов?

Это зависит от того, как долго выполняется задача и насколько жесткий контроль вам необходим над временем выполнения. Для коротких команд в рамках запроса такое хостинговое средство, как openrouter:shell, означает, что вам не нужно обслуживать инфраструктуру. Для использования собственного базового образа, доступа к GPU или сеансов, длящихся часами, платформа песочницы под вашим управлением, такая как Modal или Daytona, предоставляет необходимые средства контроля.

Как изолировать с помощью песочницы ИИ-агента?

Вы запускаете команды агента в среде, изолированной от ваших собственных систем, и ограничиваете доступ этой среды к ресурсам. В случае с хостинговым инструментом это берет на себя провайдер. В OpenRouter контейнеры изолированы от нашей инфраструктуры и вашего компьютера, привязаны к вашей учетной записи и рабочему пространству, исходящий сетевой доступ по умолчанию отключен, выполнение каждой команды ограничено параметром timeout_ms, а вывод ограничен параметром max_output_length. Защитные механизмы рабочего пространства добавляют систему обнаружения инъекций промптов перед моделью.

Что такое изолированный (в песочнице) инструмент ИИ?

Это инструмент, побочные эффекты которого ограничены изолированной средой, а не вашими производственными системами. Для выполнения кода команды модели запускаются в контейнере с собственной файловой системой, ограниченным сетевым доступом и лимитом времени, а обратно к модели передается только вывод команды. Наши серверные инструменты shell и bash работают именно так.