Docker defende isolamento e governança como base da segurança de agentes de IA

A Docker publicou um guia com cinco riscos de segurança que surgem quando agentes de IA navegam, executam código e chamam ferramentas com pouca supervisão humana. Os riscos listados são prompt injection, uso indevido e envenenamento de ferramentas, autonomia excessiva, exposição de credenciais e exfiltração de dados. Segundo a empresa, a causa comum é que o agente escolhe ferramentas em tempo de execução, encadeia ações e costuma operar com as permissões de quem o iniciou.

A posição da Docker é que não dá para confiar só em instruções ao modelo, porque o agente não distingue de forma confiável uma instrução legítima de uma injetada. A saída proposta é limitar o que um agente sequestrado consegue alcançar. Na prática: credenciais separadas e de curta duração, injetadas em runtime e fora da conversa, saída de rede com allow-list e tratamento de cada repasse entre agentes como entrada não confiável. A empresa cita casos como um agente que apagou o diretório home de um desenvolvedor com um rm -rf mal formado e outro que, com acesso de operador, recriou um ambiente de produção e causou uma indisponibilidade regional de treze horas. A resposta de produto são o Docker Sandboxes (um microVM descartável por agente, com controles de filesystem e rede) e o AI Governance, que define e aplica quais ações, ferramentas e credenciais o agente pode usar. Para a Docker, o isolamento é o ponto de partida de maior impacto, e a governança dá supervisão sobre a frota.

A discussão na comunidade, citada na fonte, relativiza o isolamento isolado. Um comentarista lembrou que contêineres compartilham o kernel, o que pesa quando o agente executa código em nome de terceiros, e sugeriu microVMs ou isolamento baseado em gVisor nesse caso. A pergunta útil é se a fronteira de isolamento corresponde à fronteira de confiança da carga de trabalho.

O tema não é novo na cobertura do CEVIU. Em 17 de março de 2026, o CEVIU noticiou "Protegendo agentes de IA contra prompt injection via privilégio mínimo e mapeamento source-and-sink", com foco em privilégio mínimo. Em 4 de abril de 2026, "Segurança do Meu Agente com Openshell" tratou de governança externa e restrições estruturais de filesystem e rede. Em 17 de julho de 2026, o CEVIU cobriu o NVIDIA OpenShell e o desafio de governar a frota, e em 21 de julho de 2026 publicou "Falhas Críticas em Ferramentas de Desenvolvimento com IA: Ataques de Sandbox Exigem Novas Defesas".

Especificamente sobre a Docker, em 22 de outubro de 2026 o CEVIU noticiou "Docker lança Secure Software Factory para proteger agentes de IA que escrevem código", que seguia o Agent Baseline de julho. O guia de agora vai de um produto de workflow para uma argumentação mais ampla: os cinco riscos e o par Sandboxes e AI Governance como resposta.

Para quem opera plataforma e pipelines, a leitura é que agente com token pessoal e rede aberta equivale a um serviço com permissão de administrador sem revisão. Isso sugere tratar o agente como workload não confiável: identidade própria, credencial efêmera, egress controlado e log de ações. A Docker vende parte dessa solução, então vale comparar com alternativas como gVisor ou OpenShell, conforme o modelo de tenancy de cada time.