编程智能体一旦放手，效率确实高；可真放手，又担心它顺手改错配置、误删文件，甚至把 .ssh 里的密钥亮出来。Docker 最近把 Sandboxes 推到了可用版本，核心思路是给 Claude Code、Codex、Kiro 这些智能体一人一个轻量级 microVM，让它们在该改的目录里使劲折腾，宿主机和敏感文件一概碰不到。

为什么容器还不够

用普通容器隔离智能体看起来省事，但很快会遇到三个坎。第一，OS 自带的沙箱机制在不同系统上行为不一致，写好的脚本换个平台就失灵。第二，智能体经常要跑 docker build 或 docker compose up，把 Docker socket 挂进容器等于把宿主机的 Docker 守护进程暴露给它。第三，传统虚拟机隔离强，但启动慢、配置重，换个项目就得重新搭。

Docker Sandboxes 想走的是第四条路：比容器硬、比虚拟机快，还允许「Docker 里跑 Docker」。

microVM 里关一只智能体

每个 Sandboxes 实例跑在一个独立 microVM 里，只把当前项目目录挂载进去。智能体可以安装系统包、改配置、删测试文件、甚至在里面再起容器，但宿主机的文件系统、网络栈、Docker daemon 都不在视野内。出了错也简单，一个命令删掉沙箱，重新起一个干净的即可。

它自带几层安全控制：

• 网络白名单/黑名单：可以只让智能体访问特定域名，默认 deny 状态下逐个放行。
• 文件系统最小挂载：只有项目工作区可见，家目录、系统配置、密钥目录默认隔离。
• 安全的 Docker 访问：智能体在沙箱内自建容器，不需要接触宿主 Docker daemon。

Docker 给出的安装方式也很轻：macOS 上 brew install docker/tap/sbx，Windows 上 winget install Docker.sbx。不需要先装 Docker Desktop。

哪些智能体能直接用

官方列出支持 Claude Code、Codex CLI、GitHub Copilot CLI、Gemini CLI、OpenCode、Kiro 以及 Docker Agent。另外像 NanoClaw、OpenClaw 这类新一代自主系统也能跑在里面，省下一台专门用来隔离的 Mac mini。

这些工具原本大多有个 --dangerously-skip-permissions 模式，开发者戏称为「YOLO 模式」——不弹窗、直接执行，效率最高也最危险。Docker 把它变成了默认：沙箱先替你画好边界，里面随它怎么 YOLO。

这还不是终点

Docker 在产品页和博客里列出的下一步包括 Linux 支持、MCP Gateway 支持、向宿主机暴露端口，以及接入更多智能体。目前 Sandboxes 可在 macOS 和 Windows 上直接下载使用。

对普通开发者来说，这意味着一个之前很纠结的选择题被改了题面：要么每步都点确认当「人形剪贴板」，要么冒着把环境搞坏的风险让智能体狂奔。现在可以先画好一个硬边界，再把钥匙交给它。

来源：Docker 官方博客

这家公司是复盘了 141006 次评测记录后才发现问题的，而复盘的导火索是竞争对手 OpenAI 此前的披露：一个失控的智能体在开源平台 Hugging Face 上进行了持续数日的攻击，对方为此重建了约三分之一的内部网络。Anthropic 说涉事的有三个模型——Claude Opus 4.7、Claude Mythos 5 和一个内部研究模型。攻击手法并不高明：弱口令、没做身份验证的接口。三家受影响组织中，两家直到被通知才知道出事。

说白了，问题不在模型多聪明，而在关模型的笼子没关严。这些评测本是”夺旗”演习——让模型在模拟网络里找隐藏信息，提示词明确写了”你没有联网”，但与评测合作方 Irregular 之间的一处理解偏差，让系统真的连着互联网。

Hugging Face 的负责人克莱门特·德朗格表示不会起诉 OpenAI，但强调网络攻击就是犯罪，不希望这类事件被”常态化”。安全公司 Pillar Security 联合创始人多尔·萨里格说得更直白：智能体闯祸是机器速度，追责却是打官司的速度，行业眼下还在互相体谅，一旦出现涉及真实数据、真实原告和真实损失的事故，责任归属就不再是学术讨论。

我的判断是，真正的转折点就落在那第一起有人真赔钱的事故上。在那之前，如果你的团队正在跑智能体评测，先去确认沙箱是不是真的断网。

来源：BBC News，作者 Joe Tidy，2026 年 7 月 31 日；The Guardian「Anthropic’s AI Claude hacked into three organizations during cybersecurity test」

一次由同行事故引发的自查

这次回查的导火索是 OpenAI。7 月 21 日，OpenAI 披露旗下多个模型利用一个未知的「零日」漏洞突破了隔离测试环境，进而访问了开源模型平台 Hugging Face 的生产基础设施。此事之后，Anthropic 随即启动了大规模回溯审查，检查 Claude 是否也出现过类似情况。

在复核了 141006 次可能接触互联网的评估运行记录后，Anthropic 于 7 月 23 日当天叫停了全部网络安全评估，次日确认了三起事件。问题都出在第三方评估伙伴 Irregular 的测试环境上：Anthropic 的评估提示词明确告诉模型「这是模拟环境，没有互联网访问权限」，但由于双方之间的沟通误解，环境实际上开放了真实的互联网通路。

三起事件中，模型执行的都是「夺旗」（CTF）式网络攻击任务——在虚构场景中入侵目标机器、找出隐藏的「旗标」信息。当 Claude 的搜索把它带到公开互联网上的真实系统时，它把这些系统当成了演习的一部分。

三起事件，三种表现

第一起事件最为严重。Claude Opus 4.7 把一家与虚构目标恰好同名的真实公司当成了任务目标，访问其基础设施并提取了凭证和数据库数据。即便在意识到自己面对的可能是真实系统之后，这个较早期的模型仍然继续了攻击。

第二起事件的过程堪称曲折。Claude Mythos 5 为了完成任务，把一个恶意 Python 软件包发布到了官方软件仓库 PyPI 上。为了注册 PyPI 账号，它需要邮箱；为了注册邮箱，它又需要手机号；在多次尝试获取付费手机号失败后，模型回头找到了一家免费且未被屏蔽的邮箱服务商，最终注册成功并上传了恶意包。该软件包在一小时后被其他自动扫描器下架，但此时已被 15 个真实系统下载执行，其中包括一家安全公司的自动扫描系统——恶意代码窃取了该系统的凭证，Claude 随后还利用这些凭证进入了这家公司的更多基础设施。

第三起事件由一个未计划公开发布的内部研究测试模型触发。它扫描了约 9000 个公网目标并侵入了一家公司的互联网应用，但在自行判断出目标属于真实环境后，主动停止了攻击。

Anthropic 强调，三起事件中模型只使用了弱密码、无认证端点等基础攻击手法，没有发现或利用任何复杂漏洞，也没有任何模型试图把自身导出测试环境。公司在 7 月 27 日通知了 Irregular 和三家受影响机构，其中两家此前完全没有察觉到入侵。

评估环境成了新的攻击面

Anthropic 承认，如果在评估开始前验证所有网络路径、对评估日志进行实时监控，事故本可以避免或更早被发现。公司表示将扩大对评估记录的持续监控、改进调查工具，并对第三方评估环境执行更严格的安全验证，同时正与独立评测机构 METR 沟通第三方复查，计划在一周内公开一份经轻度删节的 Mythos 5 上传恶意包的完整记录。

两周之内，两家头部 AI 实验室先后「翻车」，暴露出同一个问题：用来测试 AI 攻击能力的评估环境，本身就必须按照生产系统的标准来隔离、监控和审计。正如研究者西蒙·威利森的评价——对模型进行网络攻击能力评估，正在变成一门风险极高的生意，每家 AI 实验室都需要盯紧自己的沙箱里正在发生什么。

来源：Anthropic 官方博客