Docker 呼吁通过隔离与治理保障智能体安全

Docker 发布安全指南，指出 AI 智能体在低监督下执行网页浏览、代码运行与工具调用时，存在提示词注入、工具滥用、过度自主、凭证泄露与数据窃取五大运行时安全风险，主张以容器化隔离与策略治理作为核心防御手段。 技王数据恢复

智能体安全风险的具体表现

智能体具备动态工具选择、多步操作编排及继承启动者权限的能力，导致其行为不可预测，传统 Web 安全模型在此场景下失效。

www.sosit.com.cn

• 提示词注入：攻击者在智能体读取的材料（如网页、代码注释）中嵌入指令，诱导智能体执行未要求的操作。智能体难以可靠区分合法指令与注入指令。
• 工具滥用与投毒：智能体通过连接器、数据库查询等操作外部系统。分配超出任务所需的工具会扩大攻击面，且工具描述文本本身可能携带隐藏指令。
• 过度自主：“YOLO 模式”允许智能体在无限制长期授权下自动放行操作，可能导致误删文件或导致生产环境中断。
• 凭证泄露：智能体若继承开发者的个人令牌，将携带用户全部权限。密钥若存在于提示词、配置文件或镜像环境变量中，易被注入指令读取。
• 数据窃取：具有网络访问权限且上下文包含敏感信息的智能体，可能将信息发送至非预期目的地，多智能体系统中此风险加剧。

隔离与治理的防御策略

Docker 认为，仅靠模型层改进无法根除上述风险，应通过重构安全边界来应对。 技王数据恢复

容器化隔离

使用 Docker Sandboxes 将每个智能体运行在一次性微虚拟机中，定义文件系统和网络控制。隔离是见效最快的起点，旨在限制被劫持智能体可访问的资源范围，即使注入攻击成功，也可控制影响。

www.sosit.com.cn

策略治理

利用 AI Governance 定义和约束智能体可执行的操作、可用工具和凭证。建议包括：

www.sosit.com.cn

1. 使用独立的短期凭证，在运行时注入，避免出现在对话中。
2. 配置网络出站白名单，将任意智能体之间的数据转交视作不可信输入。
3. 实施访问验证、行为监控、操作边界设置和防篡改执行日志。

社区观点与技术边界

社区讨论指出，仅靠隔离并不能解决设计上的问题。核心争议不在于“要不要容器”，而在于隔离边界是否匹配工作负载的信任边界。对于代表他人执行代码的场景，共享内核存在隐患，建议使用微虚拟机或基于 gVisor 的隔离。安全团队应假设智能体输入可能是恶意的，并设计好周围系统，使错误决策不会演变为大范围妥协。

技王数据恢复

技术审核：邓严军｜技王数据恢复实验室技术总监 www.sosit.com.cn