CoWメモリフォークによるサブミリ秒VMサンドボックス

新規VMを起動する必要がなければ、隔離されたコードサンドボックスの起動がどれほど速くなるのか試してみたかった。そこで実行ごとに新しいマイクロVMを起動する代わりに、Pythonとnumpyを事前に読み込んだFirecrackerを一度起動し、完全なVM状態をスナップショットした。その後は、スナップショットメモリの`MAP_PRIVATE`マッピングを基盤とする新しいKVM VMを毎回作成するため、Linuxが自動的にコピーオンライトページを提供する。つまり各サンドボックスは、実際のVM内で既に動作しているPythonプロセスから開始し、コードを実行して終了する。これらはコンテナではなく本物のKVM VMだ：独立したゲストカーネル、独立したゲストメモリ、独立したページテーブル。VMがメモリに書き込むと、そのページのプライベートコピーを取得する。難しい部分はCoW自体ではなく、スナップショットしたVMを正しく再開することだった。Rust、Apache 2.0。