核心用法
docker-sandbox 是一个纯文档型技能，指导用户利用 Docker Desktop 4.49+ 内置的 docker sandbox 插件创建轻量级 VM 隔离环境。核心工作流包括：通过 docker sandbox create 初始化沙箱（支持 Claude、Codex、Copilot、Gemini、Kiro 等主流 Agent），使用 docker sandbox exec 执行命令，或 docker sandbox run 直接启动 Agent 会话。关键特性是网络代理控制层——用户可通过 --policy deny 实施默认拒绝策略，再精确允许特定域名（如 registry.npmjs.org、、api.openai.com`），实现最小权限网络访问。
显著优点
安全架构领先：VM 级隔离而非容器级，配合 virtiofs 挂载实现性能与隔离的平衡。网络代理支持域名白名单、CIDR 阻断、直连绕过三重控制，满足零信任安全模型。多 Agent 生态兼容：原生支持五大主流 AI Agent，避免厂商锁定。开发体验优化：预装 Node.js LTS、Git、Python 等工具链，工作目录自动挂载保留路径结构，跨平台一致（Windows/macOS/Linux）。可复现环境：支持 docker sandbox save 将配置固化为团队共享模板。
潜在缺点与局限性
版本门槛严苛：强制要求 Docker Desktop 4.49+，旧版本用户无法使用。Node.js 代理兼容性问题：原生 fetch（undici）不识别 HTTP_PROXY 环境变量，需手动注入 require hook，增加使用摩擦。Windows 路径转换陷阱：Git Bash/MSYS2 环境存在路径自动转换问题，需设置 MSYS_NO_PATHCONV=1。资源开销：每个沙箱独立 VM，大量并行实例将显著消耗内存与 CPU。功能依赖官方：作为 Docker Desktop 专属功能，无法迁移至纯 Linux Docker Engine 环境。
适合的目标群体
安全敏感型开发者：需要运行 npm 生态中来源可疑的包、执行 LLM 生成的未审计代码。AI Agent 重度用户：频繁调用 Claude/Codex 等工具处理多项目代码，需防止交叉污染。DevOps/SRE 工程师：构建可复现的 CI 测试环境，验证破坏性变更。安全研究员：分析恶意样本或漏洞利用代码，需网络可控的隔离沙箱。企业合规团队：满足代码审计、供应链安全等合规要求。
使用风险
性能风险：VM 启动延迟（数秒级）不适合高频短命令场景；virtiofs 大文件 IO 可能瓶颈。依赖风险：Docker Desktop 更新可能破坏沙箱状态（需 docker sandbox reset 修复）。配置风险：网络策略误配可能导致 Agent 无法访问必要 API，或过度放行丧失隔离意义。隐性成本：Docker Desktop 商业许可在企业场景可能产生费用。