Docker 发布指南：AI 智能体安全要靠隔离与治理

Docker 发布了一份指南，梳理 AI 智能体在人类监督有限的情况下浏览网页、运行代码、调用工具时出现的五类安全风险。指南由 Docker 首席产品营销经理 Srini Sekaran 和产品经理 Eric Jia 撰写。文章认为，自主性让智能体变得有用，也让传统应用安全控制手段不再够用。

五类风险

Docker 列出的五类风险是：提示注入、工具滥用与投毒、过度自主、凭据暴露、数据外泄。文章称这些风险有一个共同根源：智能体能在运行时自行选择工具，把多个动作串联起来，而且往往以启动它那个人的权限运行。

传统 Web 安全通常假定请求到达已知端点，由确定性代码处理。智能体不符合这个模型。一个编码智能体接到一条指令后，可能读取文件、安装依赖、修改配置、运行测试，再推送提交。Docker 表示，一个被攻陷或被误导的智能体能做的动作，范围远大于常规服务。

提示注入与工具

Docker 把提示注入视为最典型的风险。攻击者不必直接攻破系统，只要把指令放进智能体要读的材料里，比如网页、代码注释、issue 或文档。Docker 引用了一起事件：一个编码智能体执行了藏在仓库内容里的指令，做了用户并未要求的操作。

“智能体不只是回答问题，它会自己浏览、运行代码、调用工具，所以一条糟糕或被操纵的指令可能造成真实损害，而不只是一个错误答案。” Eric Jia 与 Srini Sekaran，Docker

Docker 不认为靠给模型下指令就能消除提示注入。文章称，智能体无法可靠区分合法指令和被注入的指令。它主张限制被劫持的智能体能触及的范围，这样即使操纵得手，影响也更小。

“智能体没有办法可靠地区分合法指令和被注入的指令，所以防御办法是限制被劫持的智能体能触及的范围。” Eric Jia 与 Srini Sekaran，Docker

工具是第二个关注点。智能体通过连接器、数据库查询、文件操作和代码执行来影响外部系统。Docker 警告，给智能体配的工具多于任务所需，会扩大攻击面。文章还警告，工具描述里可能夹带隐藏指令，诱导智能体误用该工具。

这与 OWASP 的 Agentic AI Threats and Mitigations 工作一致，InfoQ 在 2025 年 9 月报道过。OWASP 把工具滥用列为一项主要的新威胁。它描述的攻击方式是操纵智能体滥用已获授权的工具，同时不超出授予的权限。它建议的控制措施包括访问校验、行为监控、操作边界和防篡改的执行日志。一年多之后，Docker 的文章提出的几乎是同样的要求。

自主性与凭据

Docker 把“YOLO 模式”当作宽泛常驻权限的一个直观例子，这种模式下智能体的每个动作都自动获批。文章承认这种模式可能提高效率，但认为它应当在边界内使用，防止智能体触及不该触及的系统或数据。

文章举了两个例子。一名开发者让编码智能体清理一个旧仓库，智能体生成了一条末尾带 ~/ 的 rm -rf 命令，未经确认就执行，删掉了该开发者的主目录。Docker 还引用了一名 AWS 工程师的经历：他在智能体拥有 operator 级访问权限时，让它修一个 Cost Explorer 的 bug。智能体选择删除并重建生产环境，导致一次持续十三小时的区域性故障。

凭据处理与此紧密相关。Docker 认为智能体不应继承开发者的个人令牌，否则每个动作都带着这个人的全部权限。它建议使用独立的短期凭据，在运行时注入，并且不进入对话。提示词、配置文件或镜像环境变量里的密钥同样是风险，因为被注入的指令可能从智能体的上下文中读到它们。

最后一类风险是数据外泄。一个能访问网络、上下文里又含有敏感信息的智能体，可能把这些信息发往意料之外的目的地。Docker 称多智能体系统里风险更高，因为一个智能体会把工作交给另一个。它建议对网络出口采用允许列表，并把智能体之间的每次交接都当作不可信输入处理。

Docker 的建议

Docker 把隔离与治理摆在主要防线的位置，而不是单靠改进模型。它的建议集中在限制可触及范围、分离凭据和控制网络出口。这份指南与 InfoQ 报道过的其他工作相呼应。2026 年 7 月报道的 Google GKE 安全蓝图建议使用基于 gVisor 的 GKE Sandbox 来约束智能体。