| Environment | I/O Method | Avg TPS | Avg Latency |
|---|---|---|---|
| Baremetal | worker | 100,222 | 0.080 ms |
| Baremetal | io_uring | 84,895 | 0.096 ms |
| Nucleus | worker | 105,965 | 0.075 ms |
| Nucleus | io_uring | 107,039 | 0.074 ms |
| Capability | Docker | Nucleus |
|---|---|---|
| Root filesystem | Layered image (union mount) | tmpfs directory (agent) or Nix closure (production) |
| Images / Dockerfile / registry | Yes | No — no images, layers, pull/push, or OCI image spec |
| Persistent storage | Named volumes + storage drivers | Ephemeral tmpfs; persistence only via explicit --volume binds |
| Architecture | dockerd daemon + socket API | Single binary, direct fork/exec; detached = systemd transient unit |
| Networking | CNI plugins, overlay networks | none / host / bridge only |
| Orchestration | Compose, Swarm | nucleus compose (single-host TOML DAG over systemd) |
| Default egress | Allow-all outbound | Deny-by-default; allow per CIDR/domain via namespace iptables |
| Filesystem ACLs | AppArmor/SELinux profiles | Landlock LSM, per-service, irreversible |
| gVisor | Optional add-on runtime | First-class integrated runtime with explicit network modes |
| Security policies | Bundled defaults | Externalized seccomp/caps/Landlock, SHA-256 pinned + trace-generated |
| Reproducibility | Image digests | Nix closures, rootfs attestation, first-class NixOS module |
| Verification | — | TLA+ specs + model-based tests across subsystems |
| Default hardening | ~300 syscalls, some caps kept | All caps dropped, small seccomp allowlist, up to 8 namespaces |
| Environment | I/O Method | Avg TPS | Avg Latency |
|---|---|---|---|
| Baremetal | worker | 1,490 | 5.38 ms |
| Baremetal | io_uring | 1,382 | 5.79 ms |
| Nucleus | worker | 1,757 | 4.55 ms |
| Nucleus | io_uring | 1,585 | 5.05 ms |
| Runtime | Startup Time |
|---|---|
| Nucleus | 12 ms |
| Docker | ~500 ms |
| Mode | Behavior |
|---|---|
| bind-rw | Bind mount the host path read-write at /workspace (default). |
| bind-ro | Bind mount the host path read-only at /workspace. |
| copy-in-out | Copy the host path into a private staging directory, run against that staged tree, then sync changes back after exit. |
ტექნოლოგიურმა საზოგადოებამ წარადგინა Nucleus — მინიმალისტური და უსაფრთხო კონტეინერების გარემო, რომელიც სპეციალურად Linux-ის სისტემებისთვისაა შექმნილი. ინსტრუმენტი მიზნად ისახავს ტრადიციული კონტეინერების გარემოსთვის დამახასიათებელი გადატვირთულობის შემცირებას და უსაფრთხოების ფენების გაძლიერებას.
Nucleus-ის მთავარი უპირატესობა მისი დეკლარაციული მოდელია. Nix-ის ეკოსისტემასთან მჭიდრო ინტეგრაციის წყალობით, დეველოპერებს შეუძლიათ სერვისების კონფიგურაცია წინასწარ განსაზღვრონ, რაც პროცესს უფრო სტაბილურს და აუდიტირებადს ხდის.
მუშაობის რეჟიმები და შესაძლებლობები
პლატფორმა სამ ძირითად რეჟიმს გვთავაზობს, რომლებიც სხვადასხვა ტიპის დატვირთვაზეა მორგებული:
- Agent mode: სწრაფი სტარტის მქონე იზოლირებული გარემო AI აგენტებისთვის.
- Strict agent mode: უსაფრთხოების მაღალი სტანდარტების მქონე რეჟიმი, რომელიც გამორიცხავს დაუცველ კომპონენტებს.
- Production mode: მკაცრად იზოლირებული გარემო ხანგრძლივი სერვისებისთვის, რომელიც სრულად ეყრდნობა Nix-ის კონფიგურაციას.
სისტემა იყენებს Linux-ის ბირთვის მექანიზმებს, როგორიცაა namespaces, cgroups v2, seccomp და Landlock, რაც უზრუნველყოფს მყარ იზოლაციას ვირტუალური მანქანების ზედმეტი ხარჯების გარეშე. PostgreSQL-ის ტესტებში Nucleus-მა აჩვენა შესრულების მაჩვენებლები, რომლებიც თითქმის უტოლდება "bare-metal" სერვერების სიჩქარეს.
| Feature | Agent Mode | Strict Agent Mode | Production Mode |
|---|---|---|---|
| Service mode | --service-mode agent (default) | --service-mode strict-agent (alias: --service-mode mitos-agent) | --service-mode production |
| Degraded security | Allowed with flag | Forbidden | Forbidden |
| Chroot fallback | Allowed with flag | Forbidden | Forbidden |
| Host networking | Allowed with flag | Native host forbidden; gvisor-host allowed with gVisor + explicit opt-in | Native host forbidden; gvisor-host allowed with gVisor + explicit opt-in |
| Cgroup limits | Best-effort | Required (fatal on create/apply failure) | Required (fatal on create/apply failure) |
| Bridge DNS | Defaults to 8.8.8.8/8.8.4.4 | Must be configured explicitly | Must be configured explicitly |
| Rootfs | Host bind mounts unless --rootfs or --agent-toolchain-rootfs is supplied | Host bind mounts unless --rootfs or --agent-toolchain-rootfs is supplied | Pre-built Nix closure (--rootfs) |
| Workspace | Optional /workspace; bind/copy-in-out for agents | Optional /workspace; bind/copy-in-out for agents | Optional, non-executable unless read-only or policy-specific |
| Egress policy | Optional | Optional | Deny-all default where enforceable; unavailable with gvisor-host |
| Memory limit | Optional | Optional | Required |
| PID 1 init | Direct exec | Direct exec | Mini-init with zombie reaping + signal forwarding |
| Workload uid/gid | Root by default | User namespace remapping required when running as host root | Configurable post-setup drop via --user / --group |
| Secrets | In-memory tmpfs | In-memory tmpfs | In-memory tmpfs with volatile zeroing |
| /proc | Mounted normally | Mounted normally | hidepid=2 (hides other processes) |
| Mount audit | Skipped | Skipped | Post-setup flag verification (fatal) |
| Seccomp trace mode | Allowed | Forbidden | Forbidden |
| Landlock ABI | Best-effort | Full enforcement required on native | V3 minimum required |
| Health checks | Optional | Optional | Optional |
| sd_notify | Optional | Optional | Optional |
| Security policies | Optional | Optional | Optional (recommended) |
Nucleus არ არის Docker-ის პირდაპირი ჩამნაცვლებელი. ის არ მუშაობს ტრადიციული იმიჯების ან რეესტრების კონცეფციით. პირიქით, მისი მიზანია უზრუნველყოს უსაფრთხო, აუდიტირებადი და რეპროდუცირებადი გარემო იქ, სადაც სტანდარტული კონტეინერიზაციის მეთოდები არასაკმარისია.
| --nat-backend | When used | Implementation |
|---|---|---|
| auto | Default | Kernel bridge/veth/iptables when privileged, slirp4netns userspace NAT when rootless |
| kernel | Explicit opt-in | Kernel bridge + veth + iptables MASQUERADE/DNAT |
| userspace | Explicit opt-in | slirp4netns userspace NAT + API-socket port forwarding |
პროექტი ორიენტირებულია NixOS-ის მომხმარებლებზე და მათზე, ვისაც სჭირდება სერვისების დეკლარაციული მართვა. ინტეგრირებული OpenTelemetry-ის მხარდაჭერა და სტრუქტურირებული აუდიტის ჟურნალები მას მიმზიდველს ხდის სისტემური ადმინისტრატორებისთვის, რომლებიც უსაფრთხოებას პრიორიტეტად მიიჩნევენ.
| Container --network | gVisor --network flag | Description |
|---|---|---|
| none | none | Fully isolated (default for agents) |
| bridge | host | Nucleus prepares a bridge/userspace NAT namespace, then runsc inherits it |
| gvisor-host | host | gVisor hostinet mode; omits the OCI network namespace and requires --allow-host-network |
დისკუსია
0 კომენტარი
ჯერ კომენტარი არ არის — იყავი პირველი.