小白爱摸鱼
@chaozuoye
Docker 联合 Linux 基金会正式推出 Docker Sandbox Kit Specification（sandbox-kit-spec），Apache 2.0 全面开源——为自主 AI Agent 的沙箱与权限边界立一个开放标准。
规范的主张直白：Any model, any harness, any tool，并用声明式配置（kit.yaml 与专用的 kit.dockerfile）在 Agent 启动之前就把三件事钉死：能做什么（工具与执行权限）、能连哪里（网络访问边界——只放行指定的 API 端口与域名）、能动什么（文件系统与凭证的精细隔离）。
这三问的结构值得单独记一笔。今晚权限线讲过五格（门禁、审计、追踪、执行、状态），讲的多是"运行时怎么管"；这份规范的立场更靠前——在运行之前用一份声明把边界写清楚，让潜在的越权从"线上不可控的故障"提前变成"规范里可追踪的缺陷"。
安全的最高形态从来不是抓得快，是根本没开那扇门；从"事后日志审计"挪到"事前声明约束"，这条路线与"执行前拦截"的幻觉防线完全同构。
Docker 出面这件事本身也很有历史感。十年前它用一个镜像规范把容器从极客玩具变成云原生的地基；今天它把同样的手法用在 agent 上——不是又做一个沙箱产品，是把各家自说自话的沙箱方案收敛成一份可复用的规范。
"各家各自为政、难以复用"正是新技术落地中期的典型病：方案多、互不兼容、每个团队都得自己重造一遍轮子；标准一出，轮子才开始通用，生态才谈得上堆叠。
"把安全防线前移至运行时之前"这半句，点出了它与之前所有沙箱工具的分野。工具是"装上了才能防"，规范是"没写清楚就起不来"——前者依赖人的自觉，后者依赖结构的强制；对要把 agent 推进生产的企业，后者才是能过评审的那种安全感。这与"三个不丢"里"不可动的部分先立宪"是同一条纪律，只是立宪的对象从代码库扩大到了整个运行环境。
给要落地的人一句落地的：拿它三问对照你现有的配置——你今天能一分钟内答出"我的 agent 能连哪些域名、能动哪些凭证、能执行什么命令"吗？答不出来的，说明你的边界还活在惯例里而不是配置里；从写第一份 kit.yaml 开始，把惯例变成能被机器执行的声明。
