Docker 云沙盒实现本地笔记本与云端长时间运行编码代理的无缝切换

Docker 宣布推出 Cloud Sandboxes（云沙盒），这是对其已有 Docker Sandboxes（本地沙盒）产品线的扩展。核心承诺是只需一条命令，即可将开发者笔记本上的编码代理迁移到 Docker 管理的云实例，省去手动重新配置或数据迁移的繁琐步骤。

底层的隔离模型与本地版本保持完全一致。每个云沙盒都运行在一个微型虚拟机（micro‑VM）内部，拥有独立的内核、Docker 守护进程、密钥存储和网络策略。这种一对一的对应关系确保工作负载在笔记本或云端执行时表现相同。

面向长时间任务的设计

Docker 将云沙盒定位为可支撑数小时运行的工作负载的解决方案。由于云实例始终保持在线，开发者不再需要在任务执行期间保持笔记本开机。持续运行的环境采用按需付费模式，团队可以仅在需要时启动资源，使用结束后立即关闭，避免闲置费用。

定价模型透明且细粒度。Docker 按秒计费，最小实例类型 Micro（微型）价格为每小时 0.07 美元，最大实例 XL（超大型）为每小时 1.12 美元。数据出站、存储卷使用以及公共镜像托管均不收取额外费用，简化了长时间运行任务的预算编制。

预配置代理套件与自定义扩展

为加速采纳，Docker 提供了针对多种主流编码代理的预配置套件，包括 Claude Code、Codex、Copilot、Antigravity、Open Code 与 Hermes。这些套件内含所有必需的依赖和配置文件，开发者可以在数秒内启动带有指定代理的沙盒。

除官方套件外，Docker 还允许用户自行添加自定义套件。组织可以将专有工具或特定库打包成套件并加载到云沙盒中，仍然享有与内置选项相同的隔离保障。

突破本地沙盒的局限

安全分析公司 Publickey 指出，本地 Docker 沙盒存在两大主要限制，而云扩展正好解决了这两个问题。其一是本地沙盒要求笔记本在长时间任务执行期间保持通电；其二是单台笔记本难以同时容纳超过一百个子代理，限制了并行实验的规模。

将沙盒迁移至云主机后，开发者可以在笔记本上处理其他事务，而沙盒则在云端持续运行不受干扰。云端的弹性资源还能支持更多子代理并行运行，显著提升 AI 辅助编码流水线的吞吐量。

使用 sbx move 实现无缝迁移

Docker 的公告以及 Publickey 的报告都将迁移命令 sbx move 描述为关键特性。执行 sbx move 时，系统会捕获活动沙盒的当前文件系统状态、打包并在目标端（云端或笔记本）重新构建环境。该过程设计为连续式，使编码代理在交接期间毫无中断。

迁移过程中会完整复制挂载卷、环境变量以及密钥引用，确保运行时上下文保持一致。由于微型 VM 架构在两端保持一致，重建后的沙盒使用相同的内核版本和 Docker 守护进程配置，进一步降低不兼容风险。

定价与成本考量

虽然每小时费率看似不高，但 Docker 的按秒计费模式要求组织实时监控使用情况，以免在扩展至 XL 实例进行高强度工作负载时产生意外支出。免费提供的数据出站和卷使用额度有助于控制成本，但超出免费层的网络流量仍会计费。

• Micro 实例 – 每小时 0.07 美元
• Small 实例 – 中间价（未披露）
• Large 实例 – 中间价（未披露）
• XL 实例 – 每小时 1.12 美元

Docker 并未公布中间实例尺寸的详细费用，企业只能通过报价或自行测试来判断最适合的规格。这种缺乏细粒度定价的做法在规划大规模部署时会带来一定的不确定性。

未来治理功能展望

Docker 暗示即将推出 Docker AI Governance（Docker AI 治理）功能，旨在为企业提供集中式策略控制。然而，公司尚未给出发布日期或功能清单。因此，组织目前仍无法依赖内置治理工具在云沙盒中强制执行企业 AI 使用政策。

由于缺乏具体治理细节，团队目前必须自行部署外部控制措施，如网络防火墙、访问管理解决方案和审计日志，以满足合规要求。直至 Docker 发布承诺的治理套件，策略执行的责任仍然落在客户手中。

对组织的实际意义很明确。云沙盒消除了开发者为长时间 AI 编码会话而必须让笔记本保持开机的需求，释放了硬件资源并降低了工作中断的风险。能够并行运行更多代理大幅提升实验容量，从而加速开发周期。成本控制将依赖对实例使用的细致监控，尤其是在超出 Micro 级别扩容时。最后，待发布的治理功能提醒企业在等待 Docker 原生解决方案期间，需要规划临时的政策执行机制。