---

Docker 发了 Sandbox Kit Specification v3，实验性质，Q4 2026 定稿。这套规范要解决一个 Dockerfile 时代留下来的问题：**镜像里的东西描述清楚了，镜像外的东西没人管。**

镜像外的东西是什么？`docker run` 的一堆 flag、Compose 文件、CI 配置、搭环境那个人的记忆。对普通应用，这些够用了。对 Agent，不够。

---

先看 Docker 自己在文档里写的论证，这段写得真好：

> 容器隔离的是一个应用：一个跑起来、干完活、只碰它被给到的东西的进程。Agent 是一个行动者。它决定下一步做什么，然后去做——碰你的文件系统、你的网络、你的数据库、你的云账号，用你主动给它的权限。

> 这份权限不是要堵住的漏洞，它就是重点。一个不能装依赖、不能调 API、不能持有凭证的 Agent 干不了活。但每一次授权都换掉了一部分你指望的隔离——让 Agent 有用的那些能力，最后会把围住它的墙拆光。

所以边界要外移：从容器移到**围栏**——机器、文件系统、网络、凭证，Agent 能碰到的一切。

---

Kit 做的事一句话：**把内容和它要的权限，放进同一个镜像，同一个 digest。**

没有新 media type，没有 sidecar 文件。Kit 就是一个普通 OCI 镜像，manifest 的 annotation 里带声明（declarations），layers 里带内容。没听过 Kit 的 registry 照常存它，忽略 annotation 的引擎照常当普通镜像跑。

这个选择的实际后果：**权限变成可 diff 的了。**

Agent 的下一个版本多要一个凭证、多要一个网络目的地，这在 git 里显示出来的是一次权限变更，能停下来审批，跟着制品走到任何运行的地方。而以前，这只是 `docker run` 命令行里多一个 flag，没人看得见。

他们给这个想法配了一句口号：**Dockerfile 让软件可复现。Kit 让权限可复现。**

---

两类 Kit：

| 类型 | 是什么 |
|------|--------|
| workload | 跑起来的东西，根文件系统，每个组合恰好一个 |
| mixin | 叠上去的东西：一个 CLI、一个凭证绑定、一条网络规则、一段给 Agent 的上下文 |

`sbx run shell --kit claude-mixin .` 这种命令，就是把 shell 工作负载和 Claude Code 的 mixin 拼成一个环境。组合按依赖图排序，同一组输入永远组合出同一个镜像——可锁定、可复现、可缓存。

---

规范里还有几条设计原则值得抄走：

**Fail closed**。未知字段报错，不静默忽略。要求的能力宿主给不了，直接拒绝启动——被悄悄丢掉的权限和被从未请求过的权限长得一模一样，错误会从行为里冒出来，错误信息反而干净。

**能力带版本号**。每种能力类型有自己的 `@version`，想改形状就发 `@2` 和 `@1` 并存，descriptor 写明自己对哪个版本写的——今天能解析的 Kit，以后也能解析。

**语法只管声明，行为归运行时**。descriptor 说想要什么，不说宿主怎么给。实现不了就诚实拒绝，不糊弄。

---

现在做 Agent 环境的人都在解决同一个问题：沙箱有了、编排有了、凭证管理有了，但「这个 Agent 到底能碰什么」还是散在命令行、配置文件和文档里。Kit 的答案是把它收进制品本身，让它和代码一起版本化、一起审查、一起分发。

一个九天的规范，谈什么落地都早。但方向值得盯着：Agent 时代的供应链安全，会从「代码怎么变」管到「权限怎么变」。


Docker 发了 Sandbox Kit Specification v3，实验性质，Q4 2026 定稿。这套规范要解决一个 Dockerfile 时代留下来的问题：镜像里的东西描述清楚了，镜像外的东西没人管。

Docker 的新规范：把 Agent 的权限装进镜像

Docker 发了 Sandbox Kit Specification v3，实验性质，Q4 2026 定稿。这套规范要解决一个 Dockerfile 时代留下来的问题：镜像里的东西描述清楚了，镜像外的东西没人管。 镜像外的东西是什么？d…

软件研发

云计算

开发工具

架构设计

Docker发布Sandbox Kit Specification v3实验规范，计划2026年Q4定稿，首次将容器外权限声明与镜像内容绑定为同一OCI制品。通过manifest注解和layer实现权限可复现、可diff、可审计，支持Fail Closed安全策略及能力版本化。该方案解决Agent时代权限散落于CLI与配置文件的问题，推动供应链安全从代码变更管理延伸至权限变更管理。

文件系统

数据库

容器

Agent

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

Docker发布Sandbox Kit Specification v3实验规范，计划2026年Q4定稿，首次将容器外权限声明与镜像内容绑定为同一OCI制品。通过manifest注解和layer实现权限可复现、可diff、可审计，支持Fail Closed安全策略及能力版本化。该方案解决Agent时代权限散落于CLI与...

Docker 的新规范：把 Agent 的权限装进镜像-腾讯云开发者社区-腾讯云

Docker 的新规范：把 Agent 的权限装进镜像

Docker 的新规范：把 Agent 的权限装进镜像

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐