Docker宣布提供Cloud Sandboxes，用于在隔离的microVM环境中运行人工智能代理，使开发者能够先在本地启动任务，然后将文件系统迁移到Docker云基础设施，以继续执行长时间任务，最后将结果带回进行审查。与此同时，Docker还发布了采用Apache 2.0许可证的Sandbox Kit规范，并承诺将其提交给Cloud Native Computing Foundation（CNCF），由其进行中立治理。
该公司在WeAreDevelopers World Congress North America大会期间公布了这些进展。大会于2026年9月23日至25日在圣何塞举行，据Docker称，出席者包括超过1万名开发者、人工智能应用构建者和技术负责人。
用于长时间任务的独立运行环境
每个Cloud Sandbox环境由一个microVM组成，也就是拥有自身内核和Docker daemon的小型虚拟机。代理可以在其中安装依赖项、构建应用和运行容器，而Docker提供所需的计算能力。开发者无论在本地还是云端工作，都使用同一个命令行工具sbx。
实际上，该服务面向软件重构或迁移等任务，这类工作可能持续的时间超过保持笔记本电脑开启所能承受的时长。用户可以并行运行多个任务，而不会占用本地设备资源；即使关闭计算机，工作也会继续在云端运行。该服务目前已经可用，Docker按秒计费计算能力。
本地和云端环境使用相同的代理软件包，即Kits，但凭据和策略在每个环境中分别配置。这意味着迁移任务不会自动迁移所有权限，而是需要明确决定允许代理访问哪些资源。
用于描述代理及其权限的开放规范
Sandbox Kit以可共享、可审查的形式定义运行代理所需的环境。Kit是一个OCI镜像，其中包含代理及其工具，以及关于网络、凭据和存储访问权限的声明。团队可以像处理常规容器镜像一样，构建、推送、拉取、检查并使用数字指纹固定这些Kit。
这种模式有助于复现环境，并使权限变更对审查者可见。如果Kit请求某个网络目标或额外凭据，该变更会显示在软件包中；而runtime则决定实际授予哪些权限，并在代理之外执行策略。Docker Sandboxes是首个实现该规范的runtime；Nous Research则作为发布合作方，使用其开源代理Hermes参与其中。
实际会发生哪些变化？
Docker认为，仅隔离执行环境并不足以让代理承担更大型的工作。该公司展示了一个示例：由于Docker socket被连接到容器，代理能够读取主机上存在的机密；这并不需要新的漏洞，而是由配置授予的权限导致的。在另一场演示中，从microVM内部访问主机的尝试则失败了。
Docker还展示了默认禁止删除GitHub存储库等操作的策略，并将拒绝决定记录在审计日志中。不过，该公司承认这些控制措施存在局限：禁止未经授权的网络目标，与发现一条获准发送的消息实际上被发送给了错误的客户，是两种不同的问题。因此，授予狭窄权限仍然十分必要，例如允许读取和起草消息，但不允许发送消息；与此同时，验证某项操作是否符合用户意图，仍然是一个尚未解决的挑战。
这项公告的重要性在于，它将代理隔离、环境可迁移性以及以开放且可审查格式描述权限结合在了一起。至于材料尚未解决的问题，则包括其他runtimes将在多大程度上采用该规范，以及如何在各机构之间统一代理身份和策略；Docker自己也指出，其中一些问题仍然是行业挑战。