Firecracker 是 AWS 开源的一款轻量级虚拟机监视器（VMM，Virtual Machine Monitor，也常叫 hypervisor），它启动出来的虚拟机叫「微虚拟机」（microVM，micro Virtual Machine）——一个把不必要的零件全拆掉、只留下跑程序所需最低配置的迷你虚拟机。
要理解它，先看虚拟化的两难。容器（container，比如 Docker）像合租房：几个室友共用一套水电管路和总闸（宿主机的操作系统内核），靠 namespace、cgroup 划出各自房间。好处是便宜、开门就住；坏处是隔断是石膏板——谁捅穿了墙（内核漏洞），整层楼都可能被牵连。传统虚拟机（VM）像独栋别墅：每户有自己的地基、水管、总闸（独立内核），中间隔的是实打实的承重墙（CPU 的硬件虚拟化）。但别墅要配门厅、车库、花园——对应到技术上就是 BIOS、PCI 总线、显卡、各种设备模拟，于是启动要好几秒，光空转就吃掉不少内存。
microVM 就是「集装箱公寓」：它有自己独立的墙、独立的门锁、独立的电表（独立内核 + 硬件虚拟化边界），但砍掉了花园、车库和大理石门厅。具体做法是——底层借用 Linux 的 KVM 提供硬件虚拟化，上层只保留极简设备模型（virtio 系列，比如一个网卡、一个块设备），不做 BIOS、不做 PCI 枚举、不模拟显卡；虚拟机里跑一个裁剪过的 Linux 内核，只承载一个进程或一份工作负载。这样一来，启动能压到百毫秒量级，单个实例的内存开销能低到数 MB 级别（具体数字以官方页面为准）。
| 维度 | 容器 | 微虚拟机 | 传统虚拟机 |
|---|---|---|---|
| 隔离边界 | 共享宿主内核，靠 namespace/cgroup | 硬件虚拟化，各自独立内核 | 硬件虚拟化，各自独立内核 |
| 启动速度 | 毫秒级 | 百毫秒量级 | 秒级甚至更久 |
| 设备模型 | 无（直接用宿主设备） | 极简 virtio | 完整模拟（含 BIOS、PCI 等） |
| 隔断强度 | 较软，内核漏洞可能逃逸 | 硬，接近传统虚拟机 | 硬 |
| 典型用途 | 长驻服务、微服务 | Serverless、代码沙箱 | 跑异构系统、重负载 |
对从业者的意义有两块。一是 Serverless：函数计算要做到「每个请求一个隔离实例、用完即焚」，容器的隔断不够硬，传统虚拟机又太贵太重，microVM 刚好卡在中间——AWS Lambda 和 Fargate 的底层就用了它。二是 Agent 沙箱：大模型生成的代码不可信，必须扔进一个既能秒级创建、又能真正隔离执行的地方，microVM 是目前的主流选择之一。对普通人来说，你在用某些在线代码执行、数据分析类产品时，背后那个「用完就消失的执行环境」，很可能就是一个 microVM。
一句话记：它把虚拟机拆到只剩墙和锁，于是拿到了接近容器的速度、接近虚拟机的安全感。