Docker Cloud Sandboxes leva os agentes de programação do portátil para a nuvem com um comando

A Docker lançou o Cloud Sandboxes, um serviço que alarga a servidores na nuvem geridos pela Docker os ambientes isolados que tinha criado para agentes de programação nos computadores dos programadores, noticiam o iThome e o blogue da Docker. Os programadores podem entregar a um agente tarefas longas, como grandes refatorações ou baterias de testes, na nuvem, e mover um ambiente entre o portátil e a nuvem com o comando sbx move.

Um sandbox, ou ambiente isolado, é aqui um espaço em que um agente de IA pode instalar pacotes, executar comandos e arrancar contentores sem chegar a recursos da máquina do programador que não lhe tenham sido deliberadamente abertos. O Docker Sandboxes, lançado no início do ano, executa cada agente numa microVM com o seu próprio núcleo Linux, sistema de ficheiros, rede e daemon Docker, explica o iThome.

Porque é que os agentes precisam de um sítio para trabalhar

A mudança mais importante nos agentes de programação no último ano é que conseguem trabalhar durante muito mais tempo, escreve a Docker: tarefas que antes exigiam que um programador verificasse de poucos em poucos minutos, como uma migração de dependências ou uma bateria de testes de uma hora, podem agora ser entregues e revistas no fim. Um portátil é pensado para uma pessoa, argumenta a empresa: suspende quando se fecha a tampa, abranda com bateria e desliga-se quando nos deslocamos, o que não importa numa tarefa de 30 segundos, mas importa numa que corre a noite toda.

O Cloud Sandboxes usa o mesmo isolamento por microVM e a mesma ferramenta de linha de comandos da versão local, segundo a Docker. Os programadores podem lançar um agente na nuvem antes de saírem e rever o trabalho de manhã, começar localmente e mover uma tarefa para a nuvem quando ela ultrapassa o portátil, ou executar muitas tarefas em paralelo, cada uma na sua microVM com segredos e política de rede próprios.

O que está incluído

• Kits: ambientes pré-construídos para Claude Code, Codex, GitHub Copilot, Google Antigravity, OpenCode e Hermes, ou um ambiente personalizado.
• MCP: ligação única a servidores como Jira, Linear, Grafana ou incident.io, através de um gateway comum.
• Segredos: as chaves são guardadas uma vez e injetadas em cada pedido; o agente nunca vê o segredo real.
• Políticas: regras de rede que definem os endereços a que os agentes podem aceder.
• Preços: de 0,07 dólares por hora com 1 vCPU e 2 GiB a 1,12 dólares por hora com 16 vCPU e 32 GiB, faturados ao segundo.

A gestão de segredos conta para a segurança. O proxy do Cloud Sandboxes injeta as credenciais em cada pedido, pelo que os agentes não veem o segredo real; uma injeção de prompt não pode tocar em segredos que o agente nunca teve, escreve a Docker. Uma injeção de prompt é um ataque em que instruções maliciosas escondidas num conteúdo lido pelo agente tentam levá-lo a agir contra o seu utilizador. A Docker anuncia para breve uma governação centralizada para empresas, com um produto chamado Docker AI Governance.

Os limites de mover um ambiente

A passagem entre portátil e nuvem não preserva os processos em execução, nota o iThome. O comando sbx move guarda o sistema de ficheiros do ambiente como imagem de contentor e cria um novo ambiente no destino, pelo que os programas em execução e o conteúdo da memória não acompanham. Também não passam os diretórios montados localmente, as chaves geridas pelo sbx nem as regras de acesso à rede; o destino precisa da sua própria configuração, e o ambiente original é mantido. A própria Docker avisa que os ambientes locais e na nuvem têm segredos, modelos e políticas de rede separados.

O Cloud Sandboxes é pago por utilização: a computação é medida ao segundo, um ambiente em pausa não custa nada, e os volumes, o tráfego de saída e as imagens e kits públicos são gratuitos, segundo a Docker. O custo dos modelos é faturado à parte pelo fornecedor do modelo, acrescenta o iThome, e o cliente pode usar a sua própria chave. Os ambientes funcionam uma hora por omissão e até 24 horas por sessão. O serviço exige o sbx 0.45.1 ou posterior e o plano de pagamento por utilização das contas Docker Personal ou Pro; o Docker Sandboxes local continua gratuito e não requer o Docker Desktop.

Porque é que a Docker fez um só ambiente para dois sítios

A Docker diz ter evitado de propósito criar um produto de nuvem separado com comandos próprios, porque o grau de confiança num agente não deveria depender do sítio onde está a correr. Tanto quanto a empresa sabe, nenhum outro ambiente isolado para agentes funciona assim. O trabalho interativo cabe no portátil e o que demora horas cabe na nuvem, defende a Docker, e a maioria dos programadores precisa de ambos. Por tempo limitado, as contas novas recebem 250 dólares de crédito gratuito no Cloud Sandboxes.

O que muda para as empresas portuguesas

Para as equipas de desenvolvimento que já usam agentes de programação, o Cloud Sandboxes transforma as execuções de agentes num recurso de nuvem medido, com o mesmo isolamento da máquina do programador. O custo é fácil de estimar, mas dois pontos merecem atenção antes da adoção: o código e os dados saem das máquinas da empresa para os servidores da Docker, o que levanta a questão do alojamento e do RGPD, e o uso de modelos soma-se à fatura do fornecedor do modelo. As equipas devem ainda definir desde o início as políticas de rede e os segredos de cada ambiente, porque essas definições não acompanham um ambiente que muda de sítio.