Stop Babysitting Claude Code - Run It in a Sandbox Instead
三句話摘要
如何用 Docker Sandboxes 安全地運行 AI 編碼代理，在自動化和控制之間取得平衡。 Sandboxes 是負責任的代理編程的基礎設施，讓自動化不再是非此即彼的選擇，而是可控且可復原的實踐。 提示注入風險來自公開項目 — 開源項目中任何用戶都可創建 issue，其中隱藏的指令能誘導代理安裝惡意包或洩露 SSH 密鑰；無監督模式（YOLO mode）雖快但代價極高。
重點整理
重點- 1
提示注入風險來自公開項目 — 開源項目中任何用戶都可創建 issue，其中隱藏的指令能誘導代理安裝惡意包或洩露 SSH 密鑰；無監督模式（YOLO mode）雖快但代價極高。
- 2
Sandbox 提供隔離而非遲緩 — 與需要人工審批每一步的方式不同，Sandbox 在虛擬機中隔離代理，代理只能訪問該環境的文件與網絡，若環境被污染可直接刪除重建，完全不影響主機。
- 3
三層訪問控制 — 網絡策略層（open/lockdown/balanced）決定代理能訪問的域名；環境變量層（via `spx secret`）將敏感令牌傳入而非在代理內認證；文件系統層天然限制於單一項目目錄。
- 4
工作流加速復雜任務 — 多代理並行處理大量對象（如逐個分析 81 個 issue）比串行執行快數倍，自動生成優先級排序的 HTML 報告和可供審查的 PR，從業務價值看遠勝單次「一鍵批准」。
實用技巧與重點
乾貨- 安裝命令（Windows）：`irm https://raw.githubusercontent.com/docker/docker-scout-cli/main/install.ps1 | iex`
- 運行代理：`spx run claude` 或 `spx run codex`
- 網絡策略（首次運行詢問）：
- `open`：無限制
- `lockdown`：完全禁止，需逐個域名授權
- `balanced`：允許常見開發域名（npm、PyPI 等），禁止其他
- 查看策略：`spx policy show`
- 重置策略：`spx policy reset`
- 授權特定域名：`spx policy eval --allow anthropic.com`
- 密鑰管理：`github auth token | spx secret set github --global`
- 查看已設密鑰：`spx secret ls`
- 列出沙箱：`spx ls`
- 刪除沙箱：`spx rm <sandbox-name>`
- 驗證 GitHub 認證：`github auth status`
- 模型指令：`/model` 切換至 Fable 或其他模型
- 工作流指令：`please connect to the [repo] and triage issues using workflows with multiple agents`
- 實測成果：81 個 issues 5 分鐘內完成 triage；5 個高優先級 issue 實現與 PR 生成約 40 分鐘
結論
結論“Sandboxes 是負責任的代理編程的基礎設施，讓自動化不再是非此即彼的選擇，而是可控且可復原的實踐。”
完整解析
詳細編碼代理的自動化承諾很吸引人，但無監督執行風險巨大。在開源項目中，任何用戶都可以在 issue 或 PR 中嵌入惡意指令，若代理無限訪問主機文件系統與憑證，一次提示注入攻擊可能導致 SSH 密鑰洩露或跨項目污染。傳統解決方案是每步都要人工審批，但這對複雜工作流（如大規模 issue triage）變得不現實。
Docker Sandboxes 提供了第三條路：代理在隔離虛擬機中運行，擁有獨立的內核、文件系統與網絡堆棧。安裝過程簡單——複製一行命令安裝，再用 `spx run claude` 啟動會話。首次運行會進行網絡策略配置，建議選擇 `balanced` 模式，它允許代理訪問 npm、PyPI 等開發平台但禁止任意網站，需要特定域名訪問時可用 `spx policy eval` 逐個授權。
關鍵安全實踐是將敏感令牌（GitHub token、API key）存儲在宿主機，用 `spx secret set` 將其注入沙箱作為環境變量，而非讓代理在沙箱內自己認證。這樣即使代理行為異常，也無法洩露令牌內容。環境變量更新後需要重建沙箱（`spx rm <name>` 後重新 `spx run`），但沙箱本身是一次性的，刪除無損失。
實踐展示中，講者讓 Claude 在連接 GitHub 的沙箱中 triage AutoForge 項目的 81 個開放 issue。透過工作流指令，代理並行分析各 issue、歸納優先級，生成可視化 HTML 報告，整個過程僅 5 分鐘。隨後指示代理實現優先級前五的修復並建立 PR，包括驗證與審查步驟，約 40 分鐘完成。最終 PR 通過所有自動檢查，可直接合併。這展示了沙箱環境下自動化工作流的實際威力——既安全又高效。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
