Cloud Hypervisor学习笔记 – 腾讯

Practices: 在腾讯安全容器Cube的落地实践

Sun, 23 Nov 2025 00:00:00 +0000

公开资料

Cloud Hypervisor 在腾讯安全容器Cube的落地实践: 2023-08-30
技术解读：Cube 安全容器高并发低延时实践之路:2023-07-04
Cube轻量虚拟化如何做到100ms交付一个安全容器: 2023-08-09, 内容和上面 infoq 的基本相同。可以当是一个文章。

咨询gemini

问题：帮我在网络上深度搜索一下腾讯云 Cube 这个产品在 microvm / cloud hypervisor 上的实践，包括技术博客，文档，技术峰会的演讲，官方宣传资料等。我想理解这个产品在这个技术上的发展情况，尤其我发现我找到的资料基本都是2023年的，帮我重点看看有没有最新的资料。

答复如下：

根据你提供的 Bilibili 视频链接以及对腾讯云 Cube（Serverless 容器） 在 MicroVM / Cloud Hypervisor 领域实践的深度搜索，我为你整理了如下内容。

第一部分：视频内容总结 (BV1ku4y1C7d8)

该视频主要来自腾讯云在技术峰会（如 OpenInfra 或 KubeCon 相关活动）上的演讲，题目通常围绕 《腾讯云 Serverless 容器高性能实践》。

核心内容总结：

产品定位：介绍 Cube 作为腾讯云 Serverless 容器（类似 AWS Fargate）的底层引擎，旨在提供“强隔离、秒级启动、免运维”的容器服务。
痛点解决：
- 传统虚拟机（KVM/QEMU）启动慢、内存开销大。
- 普通容器（Docker）共享内核，隔离性不足，无法承载多租户不可信代码。
技术演进：
- Cube 经历了从 QEMU 到 Firecracker，再到最终选择 Cloud Hypervisor 的路线演进。
- Cloud Hypervisor (Rust)：视频重点介绍了为什么选择基于 Rust 编写的 Cloud Hypervisor。因为它比 QEMU 更轻量，比 Firecracker 具有更好的通用设备支持（如 Virtio-blk/net/fs）。
关键优化技术：
- 启动加速：通过精简内核模板、减去不必要的枚举过程，使 MicroVM 启动达到毫秒级。
- 内存优化：利用 Virtio-mem 和内存气球技术，实现容器内存的按需分配。
- 存储与网络：采用高性能的 virtio-fs 和私有化网络协议栈加速方案。

第二部分：腾讯云 Cube 在 MicroVM / Cloud Hypervisor 上的深度实践

腾讯云在 MicroVM 领域的实践是国内最激进且最成熟的之一。以下是技术细节的深度拆解：

1. 技术栈：Kata Containers + Cloud Hypervisor

腾讯云 Cube 深度参与了 Kata Containers 社区，并将其作为 Runtime 的标准。

弃用 QEMU：因为 QEMU 代码库庞大（数百万行），安全攻击面广，且内存常驻开销（Overhead）高达 50MB+。
拥抱 Cloud Hypervisor (CH)：CH 是 Intel 发起、基于 Rust 编写的 VMM。腾讯云是 CH 社区的核心贡献者。CH 相比 Firecracker 的优势在于它支持 Live Migration（热迁移） 和更完整的 PCI 设备支持，这对于企业级容器场景至关重要。

2. 核心技术实践

Rust 语言的安全性：利用 Rust 的内存安全性，规避了传统 C/C++ 模拟器常见的缓冲区溢出等安全漏洞，这在多租户 Serverless 环境中是安全底线。
高性能 I/O (Virtio-fs)：在 Serverless 容器挂载数据卷时，腾讯云对 virtio-fs 进行了深度优化，解决了小文件读写性能差的问题。
设备热插拔：Cube 实现了在 MicroVM 运行过程中动态增减 CPU 和内存，这在 Serverless 自动扩缩容场景下表现卓越。

第三部分：2023 年以后的最新动态（重点关注 2024-2025）

你提到的资料多为 2023 年，这主要是因为 Cloud Hypervisor 已经在腾讯云内部进入了“大规模生产成熟期”。但在 2024 年及 2025 年初，有一些新的演进方向：

1. 社区地位升级 (2024)

加入 Linux 基金会项目：Cloud Hypervisor 已正式从 Intel 孵化并成为 Linux 基金会的关键项目。腾讯云作为 Advisory Board（咨询委员会）成员，目前在社区的话语权极大，持续将内部的补丁（如异步 I/O 增强、特定的虚拟化中断优化）推向主线。

2. 重点方向：机密计算 (Confidential Computing) - 2024 热门

最新进展：2024 年腾讯云 Cube 的研究重点转向了 机密容器 (Confidential Containers)。
实践：结合 Cloud Hypervisor 支持 Intel TDX 和 AMD SEV-SNP。这意味着 Cube 不仅提供隔离，还能提供“硬件级加密内存”，使得即便是腾讯云的系统管理员也无法查看用户容器内的运行数据。这是 2024 年高端政企客户和金融客户的主打方向。

3. 与 AI 算力的结合 (2024-2025)

GPU 穿透与虚拟化：最新的 Cube 实践正在解决 MicroVM 挂载 GPU 的问题。传统 MicroVM 对复杂 PCI 设备（如 H100/L40s）支持较弱，腾讯云通过定制 Cloud Hypervisor 的 PCI 模拟层，实现了 Serverless 容器秒级调用 GPU 资源，支持 AI 推理任务的快速拉起。

4. 架构整合：从 Cube 到 TKE Serverless

产品趋势：腾讯云正在将 Cube 的能力完全融入到 TKE (Tencent Kubernetes Engine) Serverless 节点中。你现在看到的最新文档可能不再单独强调 “Cube” 品牌，而是作为 TKE 的“原生节点（Native Node）”或“虚拟节点”存在。

总结与建议

目前的现状是：

技术成熟度：Cube 使用 Cloud Hypervisor 的方案已经从“实验室探索”完全进入“大规模工业化应用”。
最新资料去向：
1. GitHub 提交：如果你想看最硬核的进展，可以查看 Cloud Hypervisor GitHub 的 Commits，搜索腾讯邮件地址（@tencent.com），你会发现他们在 2024 年依然活跃于 Memory Hotplug 和 Vhost-user 的优化。
2. 机密计算文档：搜索“腾讯云 TDX 机密实例”或“机密容器”，这是 Cube 底层技术的最新延伸。
3. 2024 演讲：建议关注 2024 OpenInfra Days China 以及 KubeCon China 2024，腾讯云在这些会议上分享了关于“高性能机密计算容器”的最新实践。

结论：你找不到太多 2024 年后的“Cube”品牌宣传，是因为这项技术已经化作腾讯云底层的基础设施资产，现在的演进重心已从“怎么跑起来”变成了“怎么跑 AI 任务”和“怎么跑得更安全（机密计算）”。

Practices: 在腾讯TKE serverless的落地实践

Sun, 23 Nov 2025 00:00:00 +0000

公开资料

咨询gemini

问：请帮我在网络上深度搜索一下 TKE Serverless 在 microvm / cloud hypervisor 上的实践

答复：

针对 TKE Serverless（腾讯云弹性容器服务） 在 MicroVM / Cloud Hypervisor 上的最新实践，我进行了深度的网络搜索和技术追踪。

目前的现状是：腾讯云已经将早期的 “Cube” 引擎完全融入到 TKE Serverless 的底层架构中。在 2024 年至 2025 年初，其实践重点已从“如何实现虚拟化”转向了**“高性能 AI 算力、机密计算、以及超大规模调度优化”**。

以下是为您整理的深度技术实践总结：

1. 核心架构：Kata Containers + Cloud Hypervisor 的“工业化”

在 2024 年的实践中，TKE Serverless 已经标准化了基于 Rust 编写的 Cloud Hypervisor (CH) 作为默认 VMM（Virtual Machine Monitor）。

全栈 Rust 化：腾讯云不仅使用 Cloud Hypervisor，还深度参与了 rust-vmm 生态。通过 Rust 的内存安全特性，TKE Serverless 在高并发拉起容器时，避免了 QEMU 常见的内存溢出和安全漏洞。
极简 VMM：相比 QEMU，TKE 实践中的 CH 剥离了所有不必要的传统设备（如软盘、老旧总线），仅保留 Virtio 设备。这使得 MicroVM 的冷启动时间压缩到了 100ms 级别，单机 Pod 密度提升了 3 倍以上。

2. 2024-2025 最新进展：Serverless GPU 与 AI 实践

这是目前腾讯云最领先的领域。随着大模型（LLM）推理需求的激增，TKE Serverless 在 MicroVM 上实现了 GPU 的快速交付。

vGPU 与直通技术（Pass-through）：在 2024 年的技术分享中，腾讯云披露了如何在 Cloud Hypervisor 中优化 PCI 直通协议，使得 Serverless 容器能够秒级挂载 NVIDIA GPU（如 L40s、H800）。
动态资源调整 (Hot-plug)：AI 推理任务往往有明显的波峰波谷。腾讯云利用 CH 的特性，实现了在不重启 MicroVM 的情况下，动态增加或减少 GPU 显存和算力配额。

3. 机密计算 (Confidential Computing) 的深度融合

这是 2023 年底到 2024 年腾讯云重点宣传的技术突破。

机密容器 (TDX/SEV-SNP)：在最近的全球技术峰会上，腾讯云展示了基于 Intel TDX 技术的 TKE Serverless 实例。通过 Cloud Hypervisor 的硬件抽象层，TKE 能够为用户提供一个完全加密的运行环境（TEE）。
实践场景：主要面向金融、政企客户。即使是腾讯云的系统底层（Host OS），也无法读取 MicroVM 内部的内存数据。这标志着 TKE Serverless 迈向了“零信任虚拟化”。

4. 存储与网络的高性能优化 (2024 最新补丁)

搜索发现，腾讯云团队在 2024 年持续向 Cloud Hypervisor 社区贡献代码，重点解决 I/O 瓶颈：

Vhost-user-blk 增强：为了解决 Serverless 容器在处理数据库等高 IOPS 任务时的延迟，腾讯云优化了 Cloud Hypervisor 的 vhost-user 实现，将存储 IOPS 损耗降低到了物理机的 5% 以内。
Net-accelerator：通过私有的网络加速组件，TKE Serverless 在 MicroVM 环境下实现了单 Pod 20Gbps 的网络吞吐量。

5. 关键技术动态追踪 (2024-2025)

时间	渠道	核心实践内容
2024.Q3	KubeCon China	腾讯云分享《在 TKE Serverless 中构建高性能机密计算节点》，强调 CH 在隔离性上的贡献。
2024.Q4	Cloud Hypervisor 社区	腾讯云工程师提交了关于 Virtio-mem 的多项优化，旨在提升 Serverless 容器内存回收的效率。
2025.Q1	腾讯云官网更新	推出“原生节点” (Native Node) 2.0，底层全面切换至优化后的 MicroVM 架构，支持即时弹性。

深度搜索结论：为什么你感觉 2023 年后的资料少了？

通过对技术博客和 GitHub Commits 的分析，我发现两个原因：

品牌整合：腾讯云内部已不再强调 “Cube” 作为一个独立产品，而是将其作为 TKE Serverless 的“底层引擎”或“虚拟化运行时刻”。因此，最新的搜索关键词应改为 “TKE Serverless 机密容器” 或 “TKE 弹性节点虚拟化”。
进入“深水区”：2023 年之前是在解决“能不能跑”的问题，2024 年之后腾讯云的实践主要集中在 Cloud Hypervisor 社区的底层代码贡献（例如对 Rust 异步 I/O 的改写）。这些内容往往存在于 GitHub 的 Pull Request 或 Linux 邮件列表中，而不是通俗的技术博客。

Practices: 在腾讯SCF的落地实践

Sun, 23 Nov 2025 00:00:00 +0000

腾讯云函数（SCF - Serverless Cloud Function）

公开资料

首次公开：腾讯云虚拟化技术原理及可用性提升实践: 2020-06-24, 实际还是vm，没有用到 cloud hypervisor
腾讯云函数访问VPC网络架构优化: 2019-07-11
腾讯云Serverless2.0架构精解: 2019-10
腾讯云函数计算冷启动优化实践: 2019-07-11

Practices: 在腾讯Agent Runtime的落地实践

Sun, 23 Nov 2025 00:00:00 +0000

公开资料

听说，Agent都在找这个“箱子”: 2025-12-15
腾讯云推出“龙虾”密钥沙箱：给权限，不给密钥: 2026年03月18日, 宣传文稿
Agent 沙箱服务 - 快速入门: 2025-11-19，官方文档，展示了腾讯云沙箱如何完美兼容国际主流的 E2B (e2b-code-interpreter) 协议栈
腾讯云函数计算冷启动优化实践腾讯云Agent Runtime 执行引擎开放内测！专为 Agent 而生、超安全、极致弹性的Serverless AI 运行时: 22025-09-29