AI资讯|给 AI 画个围栏:Docker 把“能做什么”做成了标准

“

昨天说它推开了那扇没关的窗，今天说说怎么把窗户也装上锁。

—— 小智

昨天那篇讲了“HTTP 封了、DNS 没封”的尴尬：很多团队以为关上了门，其实只关了正门。

今天讲一个好消息：有人开始给 AI 画围栏了，而且是把围栏做成了一份谁都能用的开放标准。

9 月下旬，Docker 把自家的智能体沙箱规范 v3 捐给了 Linux 基金会与 CNCF（云原生计算基金会），推动它成为中立开放标准。

具体捐的是什么？简单说，就是把“一个智能体能干什么”这件事，装进了一个普通的 OCI 镜像里：

这四样东西一旦进了镜像，性质就变了。

为什么说这件事重要？因为它带来了三个之前没有的属性。

可版本化。 权限配置进了镜像，就可以像代码一样提交、diff、回滚。上周它能连外网、这周不能，改动记录一清二楚。

可审查。 安全同事可以像 review 代码一样 review 权限 —— 不用再靠开会问“这个 Agent 到底开了哪些口子”。

可复现。 同一份规范，在你机器上和我机器上跑出来的边界是一样的。出事之后，也能原样回放。

打个比方：以前给 AI 权限，像配一把万能钥匙；现在是给它一张门禁卡，哪扇门能进、几点能进、进了留不留痕，全都写在卡里。

因为之前没人觉得需要。

早期的 AI 只是“你问它答”，输出一段文字，不需要网络、不需要文件、不需要凭据。给它一个 API key 就够了。

但 2026 年的智能体会自己调工具、写代码、跑命令、访问网页、读你的文件。它的权限边界，已经和一个刚入职的实习生差不多。

问题在于：我们给实习生办入职，会签保密协议、开最小权限、装行为审计；给 AI 配环境的时候，这些步骤全被跳过了 —— 默认“都给你”。

所以这份规范真正的意义不是技术多先进，而是把一件本来凭自觉的事，变成了流程里必须有的一步。

门禁卡

不管你用不用 Docker，这四条今天就能照做：

一、最小权限。 先什么都不给，报错了再加。反过来做（先给全、出问题再收）基本收不回来。

二、出口白名单。 别只封 HTTP。DNS、ICMP、代理端口都要一起管 —— 昨天那起 DNS 隧道逃逸就是活例子。

三、凭据不落地。 密钥走环境变量或临时注入，别写进配置文件、别让智能体能读到自己的凭据文件。

四、行为可回放。 把“它执行了什么命令、访问了什么地址”记下来。没有日志，出事就是一笔糊涂账。

顺带说一句：OpenAI 那套替代监控方案，要对每个采样 token 跑激活分类器，额外增加约 20% 的推理算力。工程侧的围栏和规范侧的围栏，都是要花钱的 —— 这笔账迟早会算进价格里。

你可能会说：我又不管服务器。

但这套思路可以平移到你用的每一个 AI 产品上。挑产品时问四个问题：

四个问题里有一个答不上来，就把它当“还没装围栏”来用 —— 也就是：别给它钱和隐私相关的活。

四个问题

这两天的三篇其实是连贯的：

技术会继续往前跑，围栏也会跟着长。对我们这些用的人来说，知道围栏在哪、知道自己有没有开权限，比知道模型多少分更重要。

明天（10 月 5 日）换个角度：dots、豆包、CodeBuddy、WorkBuddy 这几类“AI 同事”到底有什么不一样 —— 用我们第 7 期讲过的“七层”把它们摆在一起看一遍。

本文事实依据：Docker 于 2026 年 9 月下旬将智能体沙箱规范 v3 捐赠给 Linux 基金会与 CNCF 的公开信息、OpenAI 9 月披露的监控方案成本、近期智能体沙箱逃逸事件报道。核查时间：2026 年 9 月 28 日。

你给 AI 开的权限，有几项是它其实用不到的？

评论区聊聊，小智攒一攒，节后做一期「AI 权限清单」。

下期见 · 评论区聊聊

如果你觉得今天这篇有收获，欢迎 点赞、在看、转发 三连，我们下篇见。

小智：AI时代最大的能力，是持续提出好问题。