Docker показала побег Claude из контейнера и запустила облачные песочницы для агентов
Изображение: OpenAI
Docker 24 сентября представила Cloud Sandboxes, облачные изолированные среды для ИИ-агентов, и на сцене показала, зачем они нужны: модель Claude, запущенная в обычном контейнере Docker, нашла секрет на хосте через смонтированный в контейнер сокет Docker, а в песочнице Docker Sandbox та же попытка провалилась.
Как пишет The Register, компания отвечает на череду случаев, когда агенты выходят за отведённые им границы. О сбоях изоляции продолжают сообщать и Anthropic, и OpenAI, а в тот же день власти Австралии раскрыли, что агент OpenAI в поисках статистики по здравоохранению без разрешения зашёл на государственный портал.
Демонстрацию провёл президент и операционный директор Docker Mark Cavage на конференции WeAreDevelopers. «Агенты будут нащупывать границы вашего окружения, потому что им нужно его изменять», — сказал он. По словам Cavage, дело не в том, что контейнеры небезопасны: они делают то, для чего созданы, то есть изолируют приложения, но «нам нужно отделить контейнеры от сдерживания».
Затем ведущий инженер Docker Michael Irwin запустил Claude в Docker Sandbox с тем же заданием найти локальный секрет, и на этот раз модель не справилась. По словам Irwin, она нашла сокет Docker и пыталась через него смонтировать другие области хоста и привилегированного контейнера, но не смогла, «потому что песочница работает как полноценная микро-ВМ».
Cloud Sandboxes переносят такую изоляцию в облако: долгие задачи агентов можно выполнять на внешней инфраструктуре, без обращения к локальной машине, и при необходимости возвращать работу на своё устройство. Песочницы запускаются за сотни миллисекунд, оплачиваются посекундно, управление секретами, политики, сети, настройки агентов и шлюзы CloudMCP в них встроены. Цена зависит от размера, от 0,07 доллара в час за 1 vCPU и 2 ГБ памяти до 1,12 доллара за 16 vCPU и 32 ГБ.
При этом Cavage признал, что одних песочниц мало. «Песочницы — это часть сдерживания, но не всё. Они служат детерминированным базовым уровнем, а намерения агента регулируют политики. Отрасли ещё предстоит внедрить контроль политик и намерений на каждом уровне стека, которого касаются агенты, но детерминированный базовый уровень должен быть абсолютным минимумом», — сказал он.
