Claude нашёл секрет хоста из контейнера Docker, но не из Docker Sandbox
Изображение: OpenAI
Claude, запущенный в контейнере Docker, нашёл локально сохранённый секрет на хосте через смонтированный Docker socket, но не смог повторить это в Docker Sandbox. Docker представила Cloud Sandboxes — размещаемые в облаке изолированные среды для запуска ИИ-агентов.
Новый сервис даёт разработчикам возможность выполнять длительные задачи агентов во внешней инфраструктуре вместо локальной машины. При этом работу при необходимости можно перенести обратно на локальное устройство, а облачная инфраструктура устраняет необходимость обращаться к локальной машине.
Президент и операционный директор Docker Mark Cavage на конференции WeAreDevelopers заявил, что Cloud Sandboxes запускаются за сотни миллисекунд и тарифицируются посекундно. В Docker Cloud Sandboxes встроены управление секретами, политики, сети, конфигурация агентов и шлюзы CloudMCP.
Во время демонстрации Cavage показал, как Claude исследовал окружение контейнера, обнаружил Docker socket хоста и через него получил доступ к секрету за пределами контейнера. Затем ведущий инженер Docker Michael Irwin запустил модель в Docker Sandbox с тем же запросом. По его словам, модель нашла Docker socket и попыталась использовать его для монтирования других областей хоста и привилегированного контейнера, но не смогла этого сделать, поскольку песочница работает как полноценная микро-ВМ.
«Песочницы — часть истории сдерживания, но не вся она. Они представляют собой детерминированный базовый уровень, тогда как политики регулируют намерения агента», — заявил Cavage на конференции WeAreDevelopers.
Docker также обновила спецификацию Kits для упаковки агентов, инструментов и правил в распространяемый артефакт. Теперь Kits поставляются как стандартные OCI-образы. Один из таких Kits предлагает BAND, разрабатывающая корпоративную инфраструктуру для распределённых развёртываний ИИ-агентов. BAND Python Kit для Docker Sandboxes позволяет агентам взаимодействовать по WebSocket, не работая в одной среде.
Стоимость Docker Cloud Sandboxes зависит от размера экземпляра. Конфигурация Micro с 1 VCPU и 2 GB памяти стоит от $0,07 в час, а XL с 16 VCPU и 32 GB — $1,12 в час.
