Google העבירה את סביבת הריצה לאיזולציה של קונטיינרים gVisor ל-CNCF

Google הכריזה כי היא מעבירה את gVisor, כולל שם המוצר וסימני המסחר שלו, ל-Cloud Native Computing Foundation (CNCF). CNCF היא ארגון בן של Linux Foundation, ש-Google הקימה בתרומת Kubernetes. על כך כתבו תורמי הפרויקט בבלוג פוסט שפורסם ב-2 באוקטובר. gVisor הוא סביבת ריצה לאיזולציה של קונטיינרים (sandbox), ש-Google פתחה ב-2018 תחת רישיון Apache 2.0; לפי הערכת התורמים, מאז היא ההטמעה השנייה המוכרת ביותר של Linux.

מה שכבר קרה

ההגשה הוגשה ב-7 בספטמבר, CNCF בחנה אותה ב-22 בספטמבר, ואישרה אותה ב-28 בספטמבר. בשבועות האחרונים הפרויקט עבר לסטטוס "Sandbox" של CNCF, תשתית הבנייה והבדיקות עברו ל-GitHub Actions ו-Buildkite, ותשתית הבדיקות הפנימית של Google כבר לא חוסמת מיזוגי PR. הניהול עבר למודל המבוסס על מחזקים (maintainers): מחזקים חדשים שאינם מ-Google יקבלו הרשאות מיזוג. בכמה חודשים הפרויקט יבצע את הצעדים הנדרשים לסטטוס "Incubation", המאגר יעבור מארגון GitHub של Google, והניהול יעבור להצבעה מבוססת ארגונים, כך ש-Google לא תוכל עוד לקבל החלטות ניהוליות באופן חד-צדדי.

למה Google העבירה את gVisor ל-CNCF

סיבת ההעברה היא שתי בעיות ממושכות. gVisor לא משתלב במסגרות המקובלות של התעשייה: הוא עומד בין קונטיינרים למכונות וירטואליות ומספק בטיחות שווה ערך אמפירית, אך לא נושא את התג המוכר של "וירטואליזציה", אותו מבקרים ורגולטורים רבים מחשיבים כמדד ישיר לבטיחות. הבעיה השנייה היא תפיסת הביצועים: ב-Google ובחברות כמו Ant Group ו-Modal, תיקוני ליבה של Linux משפרים משמעותית את ביצועי gVisor, אך עבור שאר המשתמשים הביצועים עדיין נופלים בעומסי I/O מסוימים, מה שמשאיר רושם ראשון גרוע אצל משתמשים חדשים. שילוב תיקונים אלה בליבה לא אושר על ידי מחזקי הליבה, מכיוון ש-gVisor היה בבעלות מלאה של Google.

Google רוצה ש-gVisor יכסה גם כיוונים שלא הפכו לעדיפות בבעלות תאגידית: הרצת תוכנות Linux על macOS (gVisor-on-Mac, בדומה ל-Wine) ובידוד אפליקציות שולחן עבודה של Linux, שהוא בטוח יותר מ-bubblewrap, flatpak ו-nsjail, אך קל יותר להטמעה מאשר וירטואליזציה מסוג Qubes OS.

מחזקים חדשים וצעדים הבאים

בטווח הארוך מחזקי gVisor יצטרפו Ant Group, Modal ו-Tines, בעוד OpenAI, Tencent ו-NVIDIA ימשיכו לתרום. gVisor משתלב ישירות עם טכנולוגיות של CNCF, כגון Kubernetes, containerd ו-Agent Substrate. מודל תהליכים דמוי קונטיינר מאפשר פריסה בצפיפות כה גבוהה של עומסים בטוחים, שסביבות ריצה מבוססות מכונות וירטואליות לא מצליחות להשיג, ולא דורש וירטואליזציה חומרתית או מוטמעת, ולכן gVisor עובד בכל מקום שבו Linux עובד. חלק מתורמי הפרויקט יהיו נוכחים ב-KubeCon North America 2026.