Docker发布Cloud Sandboxes实现笔记本与云端间一致的AI智能体沙箱迁移

Docker推出了Cloud Sandboxes作为其本地Docker Sandboxes的演进版本，旨在为AI编码智能体提供基于硬件强制隔离microVM的安全托管执行环境。该平台允许开发者通过统一CLI在本地机器与云端基础设施之间无缝迁移工作负载，解决了长周期任务（如数小时运行）受限于笔记本电脑休眠、降速或断网的问题。核心功能包括单条命令即可捕获文件系统并在另一端重新创建沙箱，支持同时并行运行数十个独立任务。

技术实现上，最新的Kits v3规范将预配置沙箱打包为标准OCI镜像，使其可像普通Docker镜像一样使用build和pull命令，并可作为构建复杂Kit的基础。这种设计保持了与本地相同的隔离模型和管理方式，使得开发者可以在下班前将本地任务移交云端继续执行，或在需要更多资源时进行迁移。德意志银行首席DevOps工程师对此表示认可，认为其增强了工作流灵活性。

然而，社区评论指出了该方案在安全边界上的局限性。Reddit和Hacker News用户指出，仅靠沙箱化无法完全解决智能体连接外部服务（如PyPI、Docker Hub、Hugging Face）带来的攻击面问题，智能体仍可能通过受限通信破坏外部服务。有观点认为传统沙箱并非正确的抽象层，未来应转向基于对象能力的约束机制以精确限制资源访问。事实部分确认了Docker的产品发布和技术细节；推断部分认为该工具适合处理长时、高并发但对外部依赖可控的任务；猜测部分关于对象能力架构成为主流尚需验证。