摘要： Docker 正式推出 Sandboxes，用可拋棄 microVM 為 AI 編碼代理提供隔離執行環境；每個沙箱有獨立 Docker daemon、檔案系統與網路。CLI 個人使用免費，Docker AI Governance 則讓組織集中管理沙箱政策。
AI 編碼代理身上有個難以迴避的矛盾：想讓它好用，修改檔案、安裝套件、執行指令的完整權限就得整套給出去；想讓它安全，這些權限卻一項都不該隨手發放。Docker 選擇把這個難題做成商品。Sandboxes 已經正式推出，用可拋棄的 microVM 替 AI 編碼代理圍出一塊安全區域，官方的一句話定位是：「給需要安全、無人值守執行的 AI 代理用的拋棄式隔離沙箱」。
發表討論串在 Hacker News 上累積到數百點。這股熱度反映出一場真實的轉變：代理的角色正從「提供建議的工具」變成「實際動手的同事」，而開發者心裡最難跨過的那道檻，已經不是模型能力強不強，而是自己敢不敢放手讓它跑。
核心難題：權限悖論
代理必須真的動手才有價值：安裝相依套件、改設定檔、啟動本地服務、執行測試。這些事若直接在開發機上進行，等於把主機的每個角落都交出去；於是不少人索性開啟「YOLO 模式」，把所有權限確認全部略過。Docker 產品頁的講法很直白：該問的不是要不要略過權限，而是略過之後一旦出事，爆炸半徑會有多大。
運作方式：一個代理配一台 microVM
Sandboxes 以 microVM 作為隔離單位。每個沙箱都擁有自己的 Docker daemon、檔案系統與網路，主機端只把專案工作區掛載進去，兩者之間隔著一道「硬安全邊界」。代理在沙箱內可以安裝套件、調整設定，甚至再起自己的容器——不論做了什麼，都碰不到主機的其餘部分。檔案系統、網路、憑證這三類資源，可以分別設定各自的政策。
支援的代理名單包括 Claude Code、Gemini CLI、Copilot CLI、Codex、OpenCode、Kiro，另外也接受自訂代理。
三行指令就能開始用
安裝方式涵蓋三大平台：macOS 用 brew，Windows 用 winget，Ubuntu 用 apt。裝好之後，在專案目錄下執行 sbx run claude，代理就會在沙箱裡啟動。值得注意的是 Docker Desktop 並非必要——這個設計明顯是衝著 CI 與伺服器情境而來。進階設定則涵蓋憑證管理、宣告式專案環境、GPU 直通與上游代理。
商業模式：CLI 免費，治理付費
個人使用完全免費，商用也包含在內。真正收費的是組織治理：透過 Docker AI Governance，管理者可以在全組織的開發機上集中落實沙箱的網路、檔案系統與 MCP 政策。這樣的切分相當聰明——個人開發者的採用門檻降到零，等使用慣性養成，企業治理就成了自然而然的轉化點。
這對 AI 編碼工作流的意義
兩個訊號。第一，沙箱正從「團隊自建」走向「桌面標配」：Warp 正在整合 Sandboxes，該公司工程主管 Ben Navetta 表示，目的是讓開發者「在一致的環境裡放手讓代理跑」；NanoClaw 作者 Gavriel Cohen 則稱它是「基礎設施層級」的解答。第二，無人值守執行的風險模型已經不同：當爆炸半徑從「你的機器」縮到「一台可拋棄的 VM」，讓代理半夜自己跑長任務的心理門檻會大幅下降。對產品團隊來說，問題已經不是「要不要給代理沙箱」，而是「你的沙箱政策會長成什麼樣子」。