AWS تُطلق Lambda MicroVMs: عزل الأجهزة الافتراضية يصل إلى الحوسبة بدون خوادم

أبرز النقاط

• كل جلسة تعمل في آلة Firecracker افتراضية مستقلة بعزل على مستوى العتاد، لا نواة مشتركة
• الإطلاق من لقطة snapshot مُهيّأة مسبقاً يُلغي زمن البدء البارد التقليدي للآلات الافتراضية
• حفظ الحالة يصل إلى 8 ساعات مع تعليق واستئناف تلقائي يحافظ على الذاكرة والملفات

أعلنت Amazon Web Services عن إطلاق Lambda MicroVMs، وهي بنية حوسبة جديدة بدون خوادم تُشغّل كل جلسة مستخدم أو وكيل ذكاء اصطناعي داخل آلة افتراضية Firecracker مستقلة تماماً. الخدمة متاحة الآن في خمس مناطق على معمارية ARM64، وتدعم حتى 16 نواة افتراضية و32 غيغابايت من الذاكرة و32 غيغابايت من التخزين لكل نسخة، مع إمكانية حفظ الحالة حتى ثماني ساعات.

لماذا احتاجت AWS إلى بنية جديدة غير Lambda Functions؟

Lambda MicroVMs مورد منفصل كلياً عن Lambda Functions التقليدية، بواجهة برمجية خاصة به. السبب أن Functions صُمّمت أصلاً لنمط الطلب-الاستجابة قصير العمر، بينما ظهرت خلال السنوات الأخيرة فئة جديدة من التطبيقات متعددة المستأجرين تحتاج منح كل مستخدم بيئة تنفيذ مخصصة لتشغيل كود لم يكتبه المطور نفسه — سواء كان كوداً يولّده نموذج ذكاء اصطناعي أو سكريبتات يرفعها المستخدم النهائي.

حتى الآن، واجه من يبنون هذه التطبيقات مفاضلة ثلاثية قاسية: الآلات الافتراضية الكاملة توفر عزلاً قوياً لكنها تستغرق دقائق للإقلاع؛ الحاويات تنطلق بسرعة لكنها تتشارك النواة مما يتطلب تقوية أمنية مكثفة للكود غير الموثوق؛ والدوال بدون خوادم مُحسّنة للأحداث القصيرة لا للجلسات التفاعلية طويلة العمر التي تحتفظ بحالتها.

كيف يعمل نموذج التنفيذ بالتفصيل؟

يبدأ المطور بإنشاء MicroVM Image: يرفع ملف Dockerfile ومخرجات الكود إلى S3، ثم تُشغّل Lambda الحاوية وتُهيّئ التطبيق وتلتقط لقطة snapshot للذاكرة والقرص عبر Firecracker. كل نسخة MicroVM تُطلق لاحقاً من تلك الصورة تستأنف مباشرة من اللقطة المُهيّأة بدلاً من الإقلاع البارد.

عند استدعاء run-microvm مع تمرير ARN الصورة وسياسة الخمول، تُعيد الخدمة نقطة نهاية HTTPS مخصصة والتطبيق يعمل فعلاً. لا موازنات حِمل، لا إعداد شبكات، لا بنية تحتية تُدار يدوياً.

• الإطلاق من لقطة مُهيّأة مسبقاً يُلغي زمن البدء البارد التقليدي
• كل نسخة تحصل على نقطة HTTPS مخصصة فوراً
• دعم HTTP/2 وgRPC وWebSocket على منافذ قابلة للتكوين

التعليق والاستئناف: ما الذي يجعل الخدمة عملية للجلسات التفاعلية؟

دورة حياة التعليق/الاستئناف هي ما يجعل Lambda MicroVMs عملية لحالات الاستخدام التفاعلية. حين يترك المستخدم جلسة برمجة، تتعلق النسخة بعد نافذة خمول قابلة للتكوين، وتُلتقط لقطة للذاكرة والقرص. حين تعود الحركة، تستأنف النسخة بكل شيء سليماً: الحزم المُثبّتة، النماذج المُحمّلة، ملفات العمل.

اختبر فريق DevelopersIO الدورة الكاملة مع تطبيق Flask في منطقة طوكيو، وأكدوا أن التعليق والاستئناف حافظا على حالة التطبيق بسلاسة تامة. من جهة العميل، لم يظهر أي انقطاع.

ما مستوى العزل الأمني الذي توفره Firecracker؟

ضمان العزل يأتي من Firecracker، مدير الآلات الافتراضية الخفيف نفسه الذي يُشغّل أكثر من 15 تريليون استدعاء Lambda شهرياً. كل MicroVM تعمل في آلة افتراضية مخصصة بدون نواة مشتركة وبدون موارد مشتركة بين الجلسات. هروب من حاوية في جلسة ما لا يمكنه الوصول إلى جلسة أخرى أو إلى المضيف.

للفرق التي تُشغّل كوداً يولّده الذكاء الاصطناعي على نطاق واسع — ملايين التنفيذات يومياً من نماذج لا يمكن تدقيقها — هذا حد أمني أقوى جوهرياً من عزل الحاويات.

كيف تقارن Lambda MicroVMs بالبدائل من المنافسين؟

اكتملت الآن صورة المقارنة بين مزودي السحابة الرئيسيين لمن يُقيّم أين يُشغّل الكود الذي تولّده الوكلاء الذكية:

• Cloudflare Sandboxes: عزل قائم على الحاويات موزّع على شبكة الحافة، مع V8 isolates للأحمال الأخف — مُحسّن لزمن الاستجابة والتوزيع العالمي
• Google GKE Agent Sandbox: يستخدم اعتراض نواة gVisor كبنية أصلية لـ Kubernetes — مُحسّن لقابلية النقل داخل نظام Kubernetes
• Azure Container Apps dynamic sessions: آلات Hyper-V المصغرة مع عزل على مستوى العتاد — مُحسّن للتكامل مع Logic Apps ومنصات Foundry
• AWS Lambda MicroVMs: Firecracker مع إطلاق من لقطة — مُحسّن للعزل مع التحكم في دورة التعليق/الاستئناف

ما رأي المطورين في الإطلاق؟

على Reddit، وازن الممارسون بين الحماس والواقعية. أحد المعلقين تحدى الإطار القائل بأن MicroVMs تُتيح شيئاً جديداً كلياً، مشيراً إلى أنها لا تُمكّن أحمال عمل كانت مستحيلة سابقاً، بل تُغيّر معادلة التكلفة والأداء والأمان.

أكبر حالات الاستخدام وفق النقاش المجتمعي: تنفيذ الكود غير الموثوق، تطبيقات SaaS متعددة المستأجرين، وكلاء الذكاء الاصطناعي، والأحمال بدون خوادم التي تتطلب عزلاً عالياً حيث لم تكن الحاويات آمنة بما يكفي لكن الآلات الافتراضية الكاملة كانت ثقيلة جداً. الإنجاز الحقيقي هو عزل على مستوى الآلات الافتراضية بمقياس يقترب من بدون خوادم.

الأسئلة الشائعة

ما الفرق بين Lambda MicroVMs وLambda Functions التقليدية؟

Lambda Functions مُحسّنة للطلبات قصيرة العمر (حتى 15 دقيقة) بدون حالة، بينما MicroVMs مصممة للجلسات طويلة العمر (حتى 8 ساعات) مع حفظ كامل للحالة والذاكرة والملفات عبر التعليق والاستئناف.

هل Lambda MicroVMs آمنة لتشغيل كود يولّده ChatGPT أو نماذج AI أخرى؟

نعم، هذه حالة الاستخدام الأساسية. كل جلسة تعمل في آلة Firecracker افتراضية معزولة بدون نواة مشتركة، فحتى لو نجح الكود الخبيث في الهروب من الحاوية، لا يمكنه الوصول لجلسات أخرى أو المضيف.

ما المناطق المتاحة حالياً وما المواصفات القصوى؟

متاحة في 5 مناطق على ARM64، بحد أقصى 16 نواة افتراضية و32 غيغابايت ذاكرة و32 غيغابايت تخزين لكل نسخة.

كيف تقارن التكلفة مع تشغيل EC2 أو ECS للمهام المشابهة؟

التسعير التفصيلي لم يُعلن بعد، لكن نموذج التعليق التلقائي يعني أنك لا تدفع خلال فترات الخمول، مما يُرجّح تكلفة أقل من EC2 الدائم للأحمال المتقطعة.

هل يمكن استخدام Lambda MicroVMs مع Kubernetes؟

Lambda MicroVMs خدمة مُدارة بالكامل من AWS بواجهة برمجية خاصة، وليست بنية Kubernetes أصلية. إن كنت تحتاج تكاملاً مع Kubernetes، قد يناسبك GKE Agent Sandbox من Google أكثر.