Docker Sandboxes 是 Docker 于 2025 年底推出的一种面向 AI 编码 Agent 的本地隔离沙盒方案，核心思路是把 Claude Code、Gemini CLI、Codex 等编码 Agent 包裹在一个独立的隔离环境中运行，让 Agent 拥有足够的操作空间，同时对宿主机不产生任何影响。
Docker首席运营官Mark Cavage在接受采访时表示："Docker Sandbox是一种新的原语，具有Docker的人体工程学特性和我所描述的Docker理念。但它从根本上是一种不同的原语。它实际上是一个微虚拟机，具有真正的隔离性，拥有自己专用的内核和硬件空间。"
Cavage说Docker的本质是可移植性、隔离性和简洁性。但他表示，容器假设某种程度的不可变性。Docker Sandbox更像是一个真正的进程监狱，强制执行隔离。
关键差异在于隔离层级。
普通 Docker 容器的隔离基于 Linux 的 namespace 和 cgroup，本质上是进程级隔离——所有容器共享宿主机的同一个内核。这对服务部署足够了，但如果容器内跑的是 AI Agent，共享内核意味着 Agent 一旦触发某些内核漏洞，就可能影响到整个宿主机。
Docker Sandboxes 是微虚拟机 microVM ，拥有自己专用的内核和硬件空间，实现真正的隔离。每个 Sandbox 拥有自己独立的 Docker Daemon、文件系统和网络栈。Agent 可以安装软件包、修改配置、甚至在 Sandbox 内部再启动 Docker 容器，但宿主机完全不受影响。这使得Sandbox比普通容器更安全，Sandbox能够防止智能体接触宿主机器，即使出现幻觉或行为异常也不会造成系统性风险。
microVM 提供的轻量性、低开销(对比完整虚拟机)与完整隔离的组合，使 Docker Sandboxes 比普通容器或完整虚拟机更适合 AI Agent 工作负载——普通容器隔离不够，完整 VM 开销又太大。
| 普通 Docker 容器 | Docker Sandboxes | |
|---|---|---|
| 隔离层级 | OS-level（namespace） | Hypervisor-level（microVM） |
| 内核 | 共享宿主机内核 | 独立内核 |
| Docker Daemon | 共用 | 每个 Sandbox 独立一个 |
| 宿主机风险 | 存在逃逸风险 | 硬隔离，宿主机不受影响 |
| 适用场景 | 服务部署、CI/CD | AI 编码 Agent 无人值守执行 |
| 启动速度 | 毫秒级 | 比完整 VM 快，比普通容器稍慢 |
| 支持的 Agent | — | Claude Code、Gemini CLI、Codex、Kiro 等 |
在 Docker Sandbox 内，Agent 可以完整镜像你的工作区——项目文件、目录结构和凭证完全按宿主机的状态挂载进来，同时执行过程完全隔离，Agent 安装的包、修改的配置、运行的构建操作都不会触碰宿主机系统。
只需运行 docker sandbox run <agent>，就会创建一个新的隔离环境，并将当前工作目录以挂载方式绑定进去。这让你可以放心开启 Agent 的"YOLO 模式"（无需人工审批确认），大幅提升开发效率。
简而言之：普通容器是为服务部署设计的，Docker Sandboxes 是为 AI Agent 的安全自主运行设计的，核心卖点是把"Agent 跑起来有多快"和"宿主机有多安全"这两个目标同时实现。
这是理解 Docker Sandboxes 实现方式的关键背景。
Firecracker 是最知名的 microVM 运行时，但它是为云端基础设施（Linux/KVM 环境，如 AWS Lambda）设计的，没有对 macOS 或 Windows 的原生支持。而编码 Agent 不跑在云端，它们跑在开发者的笔记本上，横跨三个平台。如果强行给 Linux-first 的 VMM 打补丁来支持多平台，只会得到脆弱的兼容层，反而让开发者嫌麻烦、跳过沙盒。 因此 Docker 选择自己造轮子，构建了一个专有 VMM，核心目标就是跨平台原生支持。
Docker 自研的 VMM 在 macOS 上直接调用 Apple 的 Hypervisor.framework，这是 macOS 内置的原生虚拟化框架，M 系列芯片和 Intel Mac 均支持，无需任何额外安装。 InfoWorld
Windows 上需要启用 Windows Hypervisor Platform 功能Enable-WindowsOptionalFeature -Online -FeatureName HypervisorPlatform -All，用管理员权限在 PowerShell 中执行一条命令即可开启，底层依托 Hyper-V 内核层提供硬件级隔离。 Docker
Linux 上使用 KVM（内核虚拟机），要求 CPU 支持硬件虚拟化（Intel VT-x 或 AMD-V）。如果在虚拟机内运行，还需要开启嵌套虚拟化。检测kvm:lsmod | grep kvm
简而言之：普通容器是为服务部署设计的，Docker Sandboxes 是为 AI Agent 的安全自主运行设计的，Sandboxes以更高的资源开销（一个虚拟机及其独立的守护进程）换取了完全的隔离性.
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。