Docker 推出 Sandboxes：给 AI agent 的一次性隔离环境

• 原文标题：Docker Sandboxes – Disposable, isolated sandboxes for AI agents
• 作者：docker.com
• 内参日期：2026-08-11
• 来源类型：blog
• 原文：https://www.docker.com/products/docker-sandboxes/
• 标签：harness engineering, ai 安全

官方产品页，主打用完即弃的隔离沙箱来跑 agent，HN 讨论 226 分。和今天 Anthropic 那条正好是两条路线：一边把模型训得更抗打，一边干脆不让它碰到真东西。

导读

Docker Sandboxes

核心观点

• Docker 推出 Sandboxes：专为 coding agent 打造的 disposable、isolated 执行环境，点名支持的对象是 Claude Code、Gemini CLI、Codex、Copilot 和 Kiro。
• 全文的判断浓缩成一句口号：Permission prompts aren't autonomy. Isolation is.（权限提示不是自主性，隔离才是。）
• 由此推出的产品选择是激进的：因为风险被容器住，--dangerously-skip-permissions 这类放宽权限的模式和 flag 不但可以放心用，而且直接就是默认值。

出发点：coding agent 只有无人值守时才发挥最大价值

• 原文的前提判断是 coding agent work best when they run unattended——最佳工作状态是无人值守地连续跑完一长串任务，而不是每一步都等人确认。
• 这个前提决定了后面所有的取舍：任何会把人重新拉回循环的机制，都是在削弱 agent 的核心价值。
• 现实是 today's options force tradeoffs——今天可选的隔离方案，都要在自主性、性能与一致性之间付出代价。

三条既有路径各自的断点

• OS sandboxing（操作系统级沙箱）：interrupts workflows，而且 varies by platform——既打断工作流，行为还随平台不同而不同。
• Containers（容器）：原文的措辞很克制，说容器 is a path until agents need Docker too——容器一直是条可行的路，直到 agent 自己也需要用 Docker 的那一刻，套娃就断了。
• Full VMs（完整虚拟机）：slow, heavy, and hard to reset——慢、重，而且难以重置。其中 hard to reset 是最要命的一条，因为重置成本直接决定了你敢不敢让环境去承担风险。

诊断：把权限提示当安全机制是一种错配

• Permission prompts aren't autonomy. Isolation is. 这是全文的转折点，也是产品定位的支点。
• 权限提示保护的是「每一步你都点过头」，防的是 agent 做你不知道的事；隔离保护的是「就算做错也伤不到你」，防的是后果本身。
• 两者付出的成本不同：前者持续消耗人的注意力，后者一次性买断一道边界。对于以无人值守为前提的场景，前者与目标直接冲突。

方案形态：一次性 + 隔离，于是默认放开权限

• Sandboxes 的两个定语必须一起看：disposable（用完即弃）与 isolated（相互隔离）。能随手扔掉，才敢让它去承担风险；风险被限制在边界内，才谈得上放开权限。
• 产品化的表现是把安全默认值反过来设：过去需要用户自己承担后果的跳过权限 flag，在这里成为默认行为——In fact, that's the default.
• 原文接着给出的理由链是 Because risk is contained, agents can:——因为风险被容纳，agent 才得以做更多事。 ※ 本地原文归档在 Because risk is contained, agents can: 一句处截断，其后具体的能力清单不可得；上述四点为归档可见范围内的完整论证链。

概念网络

关键概念

一次性隔离沙箱（Docker Sandboxes）

context：文章开篇即定义，Docker Sandboxes are disposable, isolated execution environments specifically built for coding agents，服务对象点名 Claude Code、Gemini CLI、Codex、Copilot、Kiro。它是全文所有论证的落点。

费曼一下：给 AI 编程助手准备的一间「用完就拆」的独立房间。它在里面怎么折腾都行，因为房间是隔开的，也因为房间随时可以拆掉重建。

无人值守运行（unattended）

context：原文的前提性判断——coding agents work best when they run unattended，无人值守是 coding agent 的最佳工作状态，也是后续所有取舍的评判标准。

费曼一下：你把活交给它就走开，回来时活已经干完了。中途每喊你一次，这件事的价值就掉一截。

一次性（disposable）

context：与 isolated 并列构成 Sandboxes 的两个定语，也是原文批评 full VMs 时 hard to reset 的正面对照。

费曼一下：环境是消耗品不是资产。搞砸了就扔掉重开，成本几乎为零——正因为便宜，你才敢让它去冒险。

隔离（isolation）

context：口号 Permission prompts aren't autonomy. Isolation is. 里被抬到自主性来源位置的那个词，也是 Because risk is contained 的实现方式。

费曼一下：不去逐条审查每个动作安不安全，而是让所有动作都发生在一个即使出事也波及不到外面的圈子里。管边界，不管细节。

权限提示不等于自主性

context：全文的核心反命题。Permission prompts aren't autonomy 直接否定了「用弹窗确认来换取安全」的主流做法，理由是它与 unattended 的前提冲突。

费曼一下：每一步都问你一次，看起来是你在掌控，实际上是这套自动化根本没敢自动起来。真正的自主不是问得更礼貌，而是不需要问。

容器套娃困境（agents need Docker too）

context：原文对 Containers 这条路径的精确限定——is a path until agents need Docker too，指出容器方案在 agent 自身也要调用 Docker 时失效。

费曼一下：你把它关进箱子里，但它的工作恰恰是造箱子。箱子套箱子这一层一旦需要，原来的隔离办法就不成立了。

放宽权限的默认值（permissive agent modes）

context：产品结论落地处——Docker Sandboxes let you more confidently use permissive agent modes and flags like --dangerously-skip-permissions，并强调 that's the default。

费曼一下：过去要你自己签字画押才肯放开的开关，现在出厂就是开的。前提是环境已经把后果兜住了——危险的动作放在承受得起的地方，就不再危险。

概念网络

graph TD
C1["无人值守运行"]
C2["权限提示"]
C3["隔离"]
C4["一次性"]
C5["操作系统级沙箱"]
C6["容器套娃困境"]
C7["完整虚拟机"]
C8["一次性隔离沙箱"]
C9["放宽权限的默认值"]
C1 ---|对立| C2
C3 -->|替代| C2
C5 -->|受阻| C1
C6 -->|受阻| C1
C7 -->|受阻| C1
C3 -->|支撑| C8
C4 -->|支撑| C8
C8 -->|支撑| C9
C9 -->|支撑| C1

整张网络由一个需求发动：无人值守运行是 coding agent 价值最大化的形态，也是评判一切方案的唯一尺子。权限提示与它构成正面对立——每一次弹窗都把人拉回循环，自动化就退化成有人陪着的手动。这组对立是全文的张力源头。

第二层是三条既有路径对同一需求的受阻关系。操作系统级沙箱卡在打断工作流与跨平台不一致；完整虚拟机卡在慢、重、难重置；容器套娃困境则是最微妙的一条——容器本来是可行路径，失效点精确地落在 agent 自己也需要 Docker 的那一刻。三者受阻的原因各不相同，但指向同一个结论：现有工具都没能在不牺牲自主性的前提下提供安全。

第三层是替代关系。隔离取代权限提示成为安全的承担者，这是全文的思想枢纽。替代之所以成立，是因为两者防的东西不同：权限提示防「未经许可的动作」，隔离防「动作造成的后果」。前者要求人在场，后者不要求，于是只有后者与无人值守相容。

第四层是构造关系。隔离与一次性共同支撑起一次性隔离沙箱这一产品形态，二者缺一不可：隔离限制风险的作用范围，一次性使风险的清除成本趋近于零。正因为环境可以随手扔掉，隔离才敢被信任到底。

最后一层闭合回起点。沙箱形态支撑放宽权限的默认值——跳过权限的 flag 从「你自己负责」变成出厂默认；而这个默认值又反过来支撑无人值守运行，让最初的需求得以成立。网络因此不是一条直线，而是一个闭环：需求提出问题，隔离改变安全的承担方式，产品形态兑现它，默认值把成果交还给需求。

费曼 x3

我们给 agent 加的每一道权限确认，本质上都在说同一句话：我不信任你，所以你每走一步都要回来问我一次。这在心理上很安慰，在工程上却自相矛盾——coding agent 的价值恰恰来自 unattended，无人值守地跑完一长串工作；而每一次弹窗都把人重新拴回循环，把自动化降级成有人陪着的手动。

Docker 这次的判断很干脆：权限提示不是自主性，隔离才是。这句话值得多想一层。权限确认保护的是「每一步你都点过头」，它防的是 agent 做你不知道的事；隔离保护的是「就算做错了也伤不到你」，它防的是后果。前者用注意力换安全，后者用边界换安全。注意力是稀缺且不可囤积的，边界却可以一次性买断——所以这不只是一个安全等级的选择，更是一个成本结构的选择。

有意思的是三条既有路径为什么都不够用。操作系统级的沙箱会打断工作流，各平台行为还不一致；容器一直是条可行的路，直到 agent 自己也需要 Docker 的那一刻，套娃就断了；完整虚拟机则慢、重，而且 hard to reset——重置成本恰恰是这件事的关键变量。一个真正敢放开手的环境必须是用完即弃的：disposable 与 isolated 是同一枚硬币的两面，能随手扔掉，才敢让它去承担风险。

于是最激进的一步出现了。--dangerously-skip-permissions 这类过去被当成「后果自负」标志的开关，在这里成了默认值。当风险被容纳，危险的动作不再危险。这其实是所有安全工程反复验证过的老道理——与其让每一个操作都变得安全，不如让不安全的操作发生在一个承受得起它的地方。真正该被问的问题，也许从来不是「这一步能不能做」，而是「这件事出了错，我需要付出什么」。