Docker推出云端沙箱，支持本地与云端任务迁移

Docker Cloud Sandboxes面向运行在Docker基础设施上的AI编码智能体，提供基于硬件强制隔离microVM的托管执行环境。它与本地沙箱采用相同的隔离机制和CLI工作流，开发者可以在笔记本与云端之间迁移任务，保持执行环境和工作状态一致。

该服务是Docker Sandboxes的扩展。此前推出的本地版本主要解决智能体自主运行时的安全问题，但笔记本在合盖、使用电池或移动网络时可能休眠、降速或断网，难以支撑数小时乃至更长时间的任务。随着开发者同时运行多个长周期任务，持久化且可扩展的云端执行能力变得更加重要。

使用Cloud Sandboxes时，开发者可通过一条命令把沙箱转移到云端，例如执行：

$ sbx move my-project --to cloud

该操作会捕获本地沙箱的文件系统，并在目标环境重新创建，因此代码和任务成果也会一并迁移。用户可以先在本地启动任务，资源不足时转移到云端，或在离开电脑前交由云端继续执行；平台还支持同时运行十几个智能体，每个任务持续5小时、10小时甚至21小时，也可以让数十个任务分别在独立云端沙箱中并行处理。

Docker同时更新了Sandbox Kits套件。按照Docker Sandbox Kit Specification构建的预配置沙箱，在Kits v3规范中被打包为标准OCI镜像，不再作为独立构件存在，因此能够像普通Docker镜像一样使用build和pull命令，也可以作为更复杂Kit的基础。

德意志银行首席DevOps工程师Florin Lungu认为，在microVM中实现安全、自主编码，有助于提升工作流灵活性。不过，Reddit用户CircumspectCapybara指出，沙箱只是解决了部分问题：实用的智能体仍需访问受限的外部服务、真实工具和库，以及PyPI、Docker Hub或Hugging Face等资源，这些连接可能形成攻击面，使智能体在未离开沙箱的情况下影响获准访问的服务。Hacker News用户ongedierte也认为，传统沙箱未必是合适抽象层，未来可能需要采用对象能力模型，更精确地限制智能体访问资源的方式和范围。