Docker opísal, ako chce spúšťať AI agentov v sandboxoch od notebooku po cloud

Docker na podujatí WeAreDevelopers predstavil spôsob, ako oddeliť beh AI agentov od hostiteľského prostredia vývojára a rovnaký pracovný model preniesť aj do spravovaného cloudu. V dodaných podkladoch firma tvrdí, že Docker Sandboxes sú dostupné cez samostatné bezplatné CLI a že Docker Cloud Sandboxes sú dostupné už teraz s priebežným účtovaním podľa spotreby. Popri tom opisuje novú generáciu Sandbox Kits, ktoré majú zabaliť agenta, jeho nástroje a pravidlá prístupu do verziovaného artefaktu postaveného na štandardných OCI images. Podstatné je rozlíšenie stavu: dostupný produkt sú podľa textov Sandboxes a Cloud Sandboxes, kým odovzdanie špecifikácie Kits do CNCF je zatiaľ záväzok a plán, nie hotová neutrálne spravovaná norma.

Kľúčová myšlienka v podkladoch je, že agent nie je len workload, ktorý vykoná proces v kontajneri. Agent môže inštalovať závislosti, pristupovať k sieti, používať prihlasovacie údaje a pokračovať v práci aj bez priameho dohľadu človeka. Preto má podľa Dockeru nestačiť izolácia aplikácie v kontajneri; hranica sa má rozšíriť na celé prostredie, do ktorého agent dosiahne. Firma opisuje, že každý agent dostane vlastný izolovaný microVM s vlastným kernelom, oddelený od hostiteľského systému vývojára. Vývojár pritom určuje prístup k súborom, sieťam a secretom a tieto politiky majú zostať mimo kontroly samotného agenta. V recape Docker uvádza aj demonštráciu, v ktorej agent v kontajneri s pripojeným hostiteľským Docker socketom dokázal prečítať secret z hosta, zatiaľ čo rovnaký pokus v sandboxe zlyhal. To je dôležitý praktický rozdiel: nejde o sľub „bezpečného AI“, ale o pokus zúžiť vykonávacie hranice a oprávnenia.

Druhá vrstva sa týka reprodukovateľnosti. Docker tvrdí, že Sandbox Kits sú budované ako štandardné OCI images a balia do jedného artefaktu samotného agenta, jeho nástroje aj pravidlá toho, kam sandbox smie siahať. Pre tím to má praktický význam v tom, že agentovo prostredie a jeho autorita nemajú zostať skryté v jednorazovej lokálnej konfigurácii. Zmeny v oprávneniach majú byť zdieľateľné rovnakými workflowmi ako kontajnerové obrazy a zároveň viditeľné na kontrolu. Docker zároveň deklaruje, že chce špecifikáciu predložiť CNCF a smerovať k neutrálnej správe. Z dodaných dôkazov však vieme potvrdiť iba tento zámer a to, že partner Nous Research ukázal Hermes ako Kit v sandboxe; nevieme z nich doložiť širšiu adopciu ani finálnu podobu otvoreného štandardu.

Najpraktickejšia zmena v podkladoch je prechod medzi lokálnym a cloudovým behom. Docker opisuje workflow sbx, v ktorom môže vývojár začať lokálne, presunúť filesystem sandboxu do Dockerom spravovaného cloudu a po dokončení si výsledky stiahnuť späť. To má riešiť dlhé alebo paralelné úlohy bez vlastného provisioningu infraštruktúry. Zároveň podklady upozorňujú, že samotná izolácia nerieši všetko: zablokovať nepovolenú sieťovú destináciu je iný problém než rozoznať, že agent pripravuje e-mail nesprávnemu zákazníkovi. Redakčne povedané, opísaný model dáva zmysel ako infraštruktúrny základ pre coding agentov a podobné workflowy, ale nie ako dôkaz, že problém dôveryhodného správania agentov je vyriešený. Navyše ide takmer výlučne o vendor zdroje a vynechané časti originálov neumožňujú potvrdiť nevypísané technické detaily, limity výkonu ani nezávislé porovnanie s inými riešeniami.