Docker Sandboxes AI Agent Isolation Architecture and Hardening Guide

漏洞关键信息总结 漏洞概述 该页面介绍的是 Docker Sandboxes 的隔离机制，核心是“隔离层”（Isolation layers），用于保护宿主系统免受 AI 编码代理（如 Claude Code、Codex、Cursor 等）执行代码、安装软件包、运行工具时的风险。 影响范围 Hypervisor 隔离：每个沙箱运行在轻量级 microVM 中，代理无法访问宿主内核、文件系统、网络、Docker 引擎、工作区及外部代理。 网络隔离：沙箱拥有独立网络，无法与宿主或其他沙箱直接通信；出站 TCP 流量通过代理强制网络策略，DNS 查询使用沙箱内部解析器，仅转发策略允许的目标。 Docker 引擎隔离：沙箱内运行独立的 Docker 引擎，与宿主 Docker 守护进程隔离，代理无法访问宿主 Docker 套接字。 工作区隔离：支持三种模式： - Mountless：沙箱不挂载宿主工作区，代理在沙箱模板的默认工作目录中工作。 - Direct mount：将宿主工作区以只读方式挂载到沙箱，代理可读写工作区文件，但无法访问宿主其他路径。 - Clone mode：代理在私有克隆仓库中工作，与宿主仓库隔离，避免直接修改宿主仓库。 凭证隔离：API 密钥等敏感信息存储在宿主侧，通过拦截出站 API 请求并注入认证头，沙箱内代理无法直接访问凭证。 修复方案 使用 Mountless 模式：通过 创建无挂载沙箱，代理在沙箱模板的默认工作目录中工作。 使用 Direct mount 模式：通过 将宿主工作区以只读方式挂载到沙箱，代理可读写工作区文件，但无法访问宿主其他路径。 使用 Clone mode：通过 创建克隆仓库，代理在私有克隆仓库中工作，与宿主仓库隔离，避免直接修改宿主仓库。 使用 凭证隔离：API 密钥等敏感信息存储在宿主侧，通过拦截出站 API 请求并注入认证头，沙箱内代理无法直接访问凭证。 POC 代码或利用代码

目標達成 すべての支援者に感謝 — 100%達成しました！

Docker Sandboxes AI Agent Isolation Architecture and Hardening Guide

目標達成すべての支援者に感謝 — 100%達成しました！