Docker 发布 Cloud Sandboxes 与 Sandbox Kit v3：把 Agent 沙箱变成可搬运的云算力，权限打包进 OCI 镜像

要点

• Docker 于 2026-09-24 发布 Cloud Sandboxes，把原本只能跑在开发机上的 microVM Agent 沙箱延伸到 Docker 托管的云算力。同一套 sbx CLI 同时管本地与云端，sbx move 能抓取沙箱文件系统并在另一端重建。
• 计费按秒：官方公布的价格区间从 1 vCPU / 2 GiB 的 $0.07/小时 到 16 vCPU / 32 GiB 的 $1.12/小时；暂停的沙箱不计费；模型推理费用另算，可用开发者自己的 API key。
• Sandbox Kit 规范 v3 同期开源，Apache-2.0 授权，Docker 宣布拟提交 CNCF 走中立治理。v3 Kit 用普通 OCI 镜像承载：清单注解 vnd.docker.sandbox.kit.descriptor 写「这个 Agent 要访问哪些主机 / 凭证 / 卷 / 端口」，镜像层装 Agent 本体与工具。
• Kit 分 workload 与 mixin 两种角色：workload 给根文件系统与启动命令，mixin 叠加 CLI、凭证绑定、网络规则或 Agent 上下文。组合顺序由 provides / requires 依赖图决定，不是按命令行 flag 顺序；依赖不满足直接解析失败，冲突显式报错而不是静默覆盖。
• Kit set 可以把一个 workload 加若干 mixin、锁死版本后发布成单个 OCI 引用，团队一次 sbx run 就能拉起完整环境。
• 权限声明 ≠ 权限强制。Docker 官方措辞很明确：Kit 只是「申请（asks）」，真正 grant / refuse 的是 conforming runtime；Docker Sandboxes 是第一个符合实现，但不应是唯一一个。仓库随附两套一致性测试套件：一套判「制品是否是合格 Kit」，一套判「runtime 是否实现了能力页」。
• CLI 侧事实（官方 release notes 一手）：0.45.0（2026-09-21） 起支持 v3 kits 与 sbx --cloud；0.45.1（2026-09-22） 改进沙箱迁移与云沙箱对私有 kit 镜像的支持。v3 不能与 v1/v2 混用——内置 agent 名（claude、codex）选中的是 v2 kit，加 v3 mixin 会失败。
• 状态标注：官方 README 把规范标为 experimental，最终版目标 Q4 2026；能力类型独立版本化（network-policy@1 / @2）；Sandbox API 与 TypeScript SDK 目前是实验性的。
• 生态伙伴（官方点名）：AWS、Box、Datadog、Dynatrace、JFrog、NanoClaw、OpenClaw、Palo Alto Networks、Snyk。

背景与分析

沙箱的问题从来不是「能不能隔离」，而是「能不能带走」

本站 Agent 沙箱 条目里写过：2026 年选型的真问题是「沙箱在哪一侧」——托管沙箱省事但执行环境与审计日志由供应商定义，自托管沙箱麻烦但源码密钥不出自己的机器。

Docker 这次补的是第三个问题：执行环境能不能在两侧之间移动。

长任务 Agent 的现实是「开始比结束容易」——你在本机起一个重构任务，跑四十分钟，中途要合上笔记本。过去的解法只有两个：要么把任务切成小块（牺牲连贯性），要么专门为它开一台云主机（牺牲本地迭代的便利）。sbx move 把这件事变成一次文件系统搬迁：本地调好上下文 → 搬到云上跑完 → 再搬回来继续。

这个形态对无人值守场景尤其实际。Docker 官方把定价做成「按秒 + 暂停免费」，等于承认这类工作负载是间歇性的算力而非常驻服务——和「订阅制 AI 编程工具」是两种完全不同的成本模型，别拿 token 账单的思路去估它。

Kit v3 真正有意思的地方：把「权限」变成可 diff 的制品

Kit 的命题值得单独说。

过去一个 Agent 的权限散落在四处：shell 历史里的 export、控制台上的 OAuth 授权、Compose 的 flag、某个同事的记忆。结果是三件谁也做不了的事：

• 同事 pull 不到「这个 Agent 到底能干什么」；
• reviewer diff 不出「上周和这周的授权差在哪」；
• runtime 执行不了一份可移植的契约。

Kit 的答案是：既然容器时代已经证明 OCI 能赢，就不要再发明一个新格式。Kit 就是一个普通 OCI 镜像，所以 registry、签名、扫描、digest 锁定全都现成能用。锁住镜像 digest = 同时锁住内容与权限。

由此带来一个很实用的性质：放宽权限的改动一定会表现为 manifest 里新增的行。加一个主机、多一份凭证、删掉一条 deny 规则——都是人眼能拒绝的 diff，runtime 也可以对归一化后的授权集做门禁，让静默的权限爬升 fail closed。

但别把「便携式权限声明」误当成「强制」

这是本次最容易被误读的一点，值得写清楚：

Kit 是许可证，不是围栏。 换到一个不合规的 runtime 上，descriptor 里的 deny 规则未必有人执行。评估时应该问的是「你实际用的那个 runtime 怎么执行网络、凭证与文件系统策略」，而不是「Kit 里写了什么」。

和 MCP 的分工：一个管「怎么调工具」，一个管「整个装置怎么发布」

MCP 标准化的是 Agent 与工具之间的对话；Kit 想标准化的是整个装置（Agent + 工具 + 可达范围）怎么被打包和分发。两者不冲突，是不同层。

对已经在做 Agent 编排 的团队，Kit 的价值更直接：子 agent 各自的权限边界可以随镜像版本走，「这个 subagent 能碰什么」变成一条可 review 的配置行，而不是启动脚本里的一堆环境变量。

本站未做一手实测：Cloud Sandboxes 需要 Docker Agentic Platform 订阅（官方 release notes 标注 cloud support 为 experimental），本文所有事实来自官方新闻稿与文档，性能、迁移耗时与实际账单未验证。

对开发者的影响

1. 先分清两笔钱。 Docker 公布的是算力价格（$0.07–$1.12/小时），不含模型 token；可用自己的 API key。别把云沙箱的账单和模型账单合起来估。
2. 暂停即停费。 间歇性长任务适配度很高；反过来，长期挂着的沙箱不会被自动回收，记得主动暂停。
3. v3 与 v1/v2 不能混用。 内置 agent 名选的是 v2 kit，sbx run claude --kit ./some-v3-mixin 会失败。要上 v3 就得整条链（workload + 所有 mixin）都是 v3。
4. 别在实验性 API 上裸建生产链路。 Sandbox REST API 与 TS SDK 官方标注 experimental，建议套一层自己的抽象再依赖。
5. 规范还会变。 官方 README 标 experimental、最终版目标 Q4 2026；能力类型独立版本化意味着后续演进是加法的，但仍应锁定 digest 而不是追 latest。
6. 权限 review 要落到 descriptor 上。 团队引入 Kit 后，真正的收益点是把「加一个域名」做成需要人批准的 diff——如果还是随便改完就 push，Kit 就只是个打包格式。
7. 国内团队注意网络面。 云沙箱是 Docker 托管算力，出网与地域可用性需自行核对；官方新闻稿未说明中国大陆区域可用性，属待确认项。

AI 之家 观点

其一，Docker 把「Agent 沙箱」的竞争维度从安全挪到了可移植性。 隔离能力各家趋同（Seatbelt / bubblewrap / gVisor 都是已知解），真正的痛点是环境带不走。谁先把「本地起、云上跑、搬回来继续」做成一条命令，谁就握住了长任务 Agent 的入口。这一步比再宣传一次「我们隔离得更严」有价值得多。

其二，Kit v3 是今年少见的「借力而非造轮子」的标准设计。 它没有发明新格式，而是复用 OCI 的扩展点——于是 registry、签名、扫描、digest 锁定全部现成。这是它能被 CNCF 接住的原因，也是它比一堆 Agent 打包格式更可能活下来的原因。 反过来看，正因为 digest 现在同时锁住内容与权限，「只锁内容不锁权限」的历史习惯会变成一个真实的安全缺口。

其三，权限声明与权限强制的分离必须被反复强调。 历史上每一代「声明式安全策略」都会遇到同一件事：声明写得漂亮，执行层各做各的。Kit 已经把话说清楚了（asks vs grants），但社区大概率还是会出现「我有 Kit 所以我安全」的错觉。选 runtime 时问「你怎么执行 deny」，比问「你支不支持 Kit」重要。

其四，按秒计费的云沙箱可能改变成本心智。 过去「要不要为 Agent 开一台机器」是个需要论证的决策，现在它变成一次 $0.07/小时 的试错。门槛降低的副作用是滥用：没人关的沙箱、忘了暂停的长任务。计费模型越细，运维纪律越要跟上。

相关阅读

• 概念：Agent 沙箱 · MCP · 智能体编排 · 智能体编程
• 工具：Claude Code · OpenCode · Codex CLI · OpenAI Agents API · GitHub Copilot
• 评测：MCP 生态实测

来源

• Docker Launches Cloud Sandboxes, Extending Secure AI Agent Isolation Beyond the Laptop（Docker 官方新闻稿，2026-09-24） — 一手来源，发布日、Kit 规范定位、CNCF 意向、生态伙伴以此为准
• Docker Sandboxes release notes（Docker 官方文档，0.45.1 2026-09-22 / 0.45.0 2026-09-21） — CLI 侧事实、v3 与 v1/v2 不兼容、实验性标注以此为准
• Kits（Docker 官方文档，v3 workload / mixin / kit set）

本条由 AI 之家 编辑部根据 Docker 官方新闻稿与官方文档原文整理，未做一手实测。待确认项：① Cloud Sandboxes 在中国大陆区域的可用性与网络出口；② 规范最终版（官方 README 标 experimental，目标 Q4 2026）的落地时间；③ 除 Docker Sandboxes 之外尚无公开的其他 conforming runtime。价格与规格随产品阶段变化，落地前请以 Docker 官方定价页与文档为准。欢迎在 反馈邮箱 反馈更新。