Docker 发布智能体安全指南，隔离与治理成核心防御

智能体自主性引发的新挑战

Docker 首席产品营销经理 Srini Sekaran 与产品经理 Eric Jia 联合撰文，指出当 AI 智能体在人工监督有限的情况下浏览网页、运行代码时，传统安全控制措施已显得不足。智能体能够自行读取文件、安装依赖项并修改配置，一旦偏离指令，其执行的操作范围远大于传统 Web 服务。这种自主能力在带来价值的同时，也引入了复杂的安全风险，使得隔离和治理成为关键的防御手段。

五大核心安全风险解析

Docker 将提示词注入、工具滥用与投毒、过度自主、凭证泄露和数据窃取列为主要风险。其中，提示词注入被视为标志性威胁，攻击者无需直接攻陷系统，只需在智能体读取的网页或代码注释中嵌入指令即可实施攻击。例如，某案例中智能体执行了代码库内容里隐藏的指令，完成了用户并未要求的操作。此外，工具描述文本本身也可能携带隐藏指令，诱导智能体误用已授权的工具，从而在权限范围内获取未授权数据或操纵系统。

过度自主与凭证管理漏洞

“YOLO 模式”即智能体操作自动放行，虽高效但缺乏安全边界。Docker 引用了两个案例：一是智能体生成带有尾部 ~/ 的 rm -rf 命令，未确认即删除开发者主目录；二是 AWS 工程师让智能体处理漏洞时，智能体选择删除并重建生产环境，导致长达 13 小时的区域性中断。在凭证处理上，智能体不应继承开发者的个人令牌，而应使用独立的短期凭证在运行时注入，避免密钥出现在对话或镜像环境变量中，以防被注入指令读取。

数据窃取与多智能体风险

具有网络访问权限的智能体若上下文包含敏感信息，可能将其发送到非预期目的地。在多智能体系统中，这种风险会进一步加剧。Docker 建议配置网络出站白名单，并将任意智能体之间的数据转交视作不可信输入。通过限制被劫持智能体能够触达的资源范围，即使注入攻击成功，造成的影响也可控，从而防止错误决策演变为大范围的系统妥协。

Docker 防御方案与社区反馈

Docker 提出的解决方案包括 Docker Sandboxes 和 AI Governance。Sandboxes 将每个智能体运行在一次性微虚拟机中，并定义文件系统和网络控制；AI Governance 则约束智能体可执行的操作、可用的工具和凭证。尽管社区讨论认为仅靠隔离不能解决所有设计问题，例如 r/AI_Agents 用户指出 Docker 禁用了约 40 个特权系统调用但仍保留约 500 个可用，建议采用默认拒绝权限和最小权限原则。但 Docker 强调，隔离是见效最快的起点，而治理为整个智能体集群提供了必要的监督，共同应对日益凸显的智能体安全问题。

来源：InfoQ