Harbor 新增 Docker Sandboxes 支持，可在隔离的 MicroVM 中运行可重现的 AI 代理评估

Docker 宣布其开源代理评估框架 Harbor 现已支持 Docker Sandboxes，使编程代理评估任务能够在隔离的微虚拟机（microVM）中运行。这一变更旨在解决传统容器共享环境导致的不可复现性和安全性问题，特别是针对“大规模运行不可信 AI 代码”的评估场景。Docker 已在云端完成了 64 个并发任务的验证，该功能旨在提升性能并杜绝奖励破解等越界行为。 www.sosit.com.cn

核心功能与隔离机制

Harbor 通过 Docker Sandboxes 实现了 microVM 级隔离，每个评估任务运行在独立的微虚拟机中，拥有独立内核。这种架构确保了编码代理的活动仅限于虚拟机内部，不会触及主机、其他任务或任何环境外的内容。主要特性包括： www.sosit.com.cn

• 安全隔离：任务不再共享同一个容器，而是运行在隔离环境中，从而提升了性能并防止代理通过篡改测试或覆盖分数文件来获取及格分数（即“奖励破解”）。
• 网络策略控制：在 Docker Cloud Sandboxes 中，可配置的网络策略允许任务在设置期间拉取依赖项，并在随后的代理运行期间限制其互联网访问，确保所有代理在相同的网络条件下接受评估，解决了结果无法复现的问题。
• 多容器协同：通过支持 Docker Compose，Harbor 可以在单个云沙箱内运行多容器任务，让服务和边车（sidecars）共享同一个微虚拟机。

运行模式与配置要求

该集成功能提供了本地和云端两种运行模式，具体配置如下： www.sosit.com.cn

• 本地运行：免费，需在 sbx login 后通过 Docker Sandboxes CLI 进行，并在 Harbor 命令中添加 --ek target=local 参数。目前本地集成仅支持公共模式和无网络模式，具体取决于机器现有的沙箱策略。本地运行不支持细粒度网络策略和多容器协同。
• 云端运行：需要已启用云端访问权限的 Docker 账户以及具有 Cloud Sandboxes 权限的个人访问令牌（PAT）。Harbor 会从 SBX_DOCKER_USERNAME 和 SBX_DOCKER_PAT 环境变量中读取这些信息。运行时可通过 -e sbx 标志选择沙箱环境，例如：harbor run -t hello-world/hello-world -a oracle -e sbx。

版本状态与生态集成

该集成功能已在 Docker Sandboxes 的夜间构建版本中提供，固定版本为 0.24.1.dev202610150414。Docker 表示该功能已于 2026 年 10 月 23 日进入稳定版。如需更高上限的并发任务，可通过 Docker 的官方联系渠道提出申请。

技王数据恢复

Harbor 框架已展示与多个云沙箱提供商的水平扩展集成，包括 Daytona、Modal、E2B、Runloop、Tensorlake、LangSmith、Blaxel、Novita Sandbox、EC2 和 Beam。其中，Daytona 被文档建议为最佳选择，因为它支持通过 docker-compose.yaml 文件进行多容器部署，而 Modal、E2B 和 Runloop 暂不支持此项功能。此外，Docker 沙箱已集成至 NanoClaw 代理平台（2026 年 7 月随 gh-aw 0.82.9 版本发布），并支持 GitHub Agentic Workflows。

技王数据恢复

注意事项

公告未包含有关启动开销、每项任务成本或评估分数波动的基准数据。用于保障评测公平性的细粒度网络策略仅与云沙箱深度绑定，因此需要此类控制的团队应规划采用云端方案。目前，公告未说明如何防止沙箱内的奖励破解行为（例如代理修改其可写入的测试文件）。团队若对每项任务的延迟或成本较为敏感，需自行进行度量。 www.sosit.com.cn

技术审核：邓严军｜技王数据恢复实验室技术总监 技王数据恢复