Ngày 13/8/2026, Google chính thức ra mắt Gemini 3.7 Flash, mẫu AI workhorse mới nhất được tối ưu cho lập trình và các dự án agent đa bước. So với Gemini 3.6 Flash ra mắt chỉ ba tuần trước, phiên bản mới tăng điểm FrontierCode 1.1 Main từ 34,4% lên 43,6%, còn DeepSWE v1.1 nhảy từ 49% lên 65,3%. Với cửa sổ ngữ cảnh một triệu token và khả năng gọi công cụ mạnh hơn, Gemini 3.7 Flash được thiết kế để chạy trong các agent tự viết, tự sửa và tự thực thi mã mà gần như không cần con người can thiệp giữa chừng.

Nhưng điều đáng hỏi là: khi một agent như vậy tự sinh ra đoạn code rồi tự chạy nó, ai đảm bảo đoạn code đó không xóa nhầm ổ đĩa, không mở cổng mạng lạ, hay không đọc trộm biến môi trường chứa API key? Câu trả lời nằm ở một lớp hạ tầng ít được nhắc tới: sandbox thực thi mã, cơ chế cách ly mà mọi nền tảng chạy mã do AI tạo ra, từ Code Interpreter của OpenAI đến Cloud Functions của Google, đều phải dựa vào.

Namespace và cgroup: bức tường đầu tiên

Lớp cách ly rẻ và nhanh nhất là container, dựa trên hai cơ chế của nhân Linux: namespace và cgroup. Namespace cho mỗi tiến trình một thế giới riêng: nó thấy một cây tiến trình riêng gọi là PID namespace, một hệ thống file riêng gọi là mount namespace, một ngăn xếp mạng riêng gọi là network namespace. Mã do AI viết chạy bên trong container và tưởng như đang một mình trên máy, dù thực ra hàng chục container khác đang chạy song song trên cùng một kernel vật lý. Cgroup thì lo phần giới hạn tài nguyên: khống chế CPU, RAM, số tiến trình con để một vòng lặp vô hạn do agent tạo ra không thể ngốn hết máy chủ. Vấn đề là namespace và cgroup vẫn dùng chung một kernel Linux với máy chủ thật, nên nếu code khai thác được lỗ hổng trong chính kernel, nó có thể thoát ra khỏi container, tình huống giới bảo mật gọi là container escape.

seccomp và microVM: khi tường container chưa đủ

Vì rủi ro escape đó, các nền tảng nghiêm túc thêm hai lớp phòng thủ nữa. seccomp, viết tắt của secure computing mode, chặn container gọi các lời gọi hệ thống nguy hiểm bằng một bộ lọc theo danh sách cho phép: chỉ vài chục lời gọi kernel cần thiết như đọc, ghi, cấp phát bộ nhớ mới được phép đi qua, còn những lời gọi hiếm khi dùng nhưng dễ bị khai thác thì bị chặn ngay từ đầu, trước khi kernel kịp xử lý. Lớp mạnh hơn nữa là microVM, ví dụ Firecracker mà AWS Lambda dùng, hay gVisor của chính Google. gVisor không cho mã chạm trực tiếp vào kernel thật, mà chặn mọi lời gọi hệ thống rồi giả lập lại bằng một kernel viết bằng Go chạy trong không gian người dùng, đánh đổi vài phần trăm hiệu năng để lấy một bề mặt tấn công nhỏ hơn hẳn. Đây chính là kiểu hạ tầng mà các agent lập trình dựa trên mô hình như Gemini 3.7 Flash cần có phía sau: mô hình càng giỏi tự viết và tự chạy code, bề mặt cần cách ly càng rộng, và công nghệ sandbox mới là thứ quyết định một agent tự động có được tin tưởng chạy trên hạ tầng thật hay không, chứ không chỉ riêng độ thông minh của mô hình.