Le projet Hyperlight, un projet au sein de l'incubateur de la Cloud Native Computing Foundation (CNCF), a annoncé l'extension de ses capacités pour exécuter des applications Linux sans avoir besoin de modification ou de recompilation, grâce au lancement de hyperlight-unikraft. Cette évolution vise à combler le fossé entre la vitesse des conteneurs (Containers) et la sécurité des machines virtuelles (Virtual Machines).
Qu'est-ce que Hyperlight change concrètement ?
La plupart des systèmes cloud actuels reposent sur l'exécution de code non fiable, comme des extensions téléchargées par les utilisateurs ou des codes générés par des agents d'intelligence artificielle. Traditionnellement, les développeurs devaient choisir entre des conteneurs rapides mais moins sécurisés, ou des machines virtuelles sécurisées mais lentes au démarrage. Hyperlight propose un compromis via :
- Isolation ultra-performante : Il fonctionne comme un VMM intégré à l'application, où le code est isolé dans une micro-VM utilisant les extensions de virtualisation du processeur (CPU virtualization extensions).
- Exécution d'applications Linux natives : Grâce à l'intégration de la technologie Unikraft, il est possible d'exécuter les mêmes fichiers binaires Linux sans aucune modification, avec une prise en charge de multiples langages de programmation tels que Python, Node.js, Go, Rust et Java.
- Vitesse ultra-rapide via les instantanés : Au lieu de démarrer un système d'exploitation complet, Hyperlight exécute l'application, puis prend un "instantané" (Snapshot) de l'état prêt à l'emploi. En cas de besoin, cet instantané est restauré en quelques millisecondes seulement, ce qui le rend plus rapide qu'un démarrage traditionnel.
Pourquoi cette nouvelle est-elle importante ?
L'importance de cette évolution réside dans sa capacité à transformer une "évasion de conteneur" (Sandbox escape) d'une faille de sécurité catastrophique en une simple interruption d'un environnement isolé. Lorsqu'un code est exécuté au sein de hyperlight-unikraft, il ne voit que la mémoire qui lui est allouée, ce qui empêche l'accès aux secrets du système hôte ou aux fichiers sensibles.
Plusieurs intégrations ont déjà commencé à tirer parti de cette technologie, notamment :
- Kubernetes : Via le projet urunc qui permet d'exécuter des conteneurs en tant que micro-VMs sans avoir besoin de conteneurs privilégiés.
- Agents d'intelligence artificielle : Fournir un environnement isolé pour chaque session de travail afin d'exécuter des codes générés automatiquement.
- Bases de données : Permettre l'exécution de fonctions définies par l'utilisateur (UDFs) dans un environnement totalement isolé au sein de bases de données comme ClickHouse.
Ce projet constitue une étape importante pour les développeurs à la recherche d'une sécurité accrue sans sacrifier les performances, en particulier dans les environnements de cloud computing qui traitent des entrées de code provenant de sources inconnues.