Docker Sandboxes ou containers: qual isolamento escolher para agentes de IA

A confusão nasce de um detalhe: um sandbox executa containers, mas não é um container. O container é um processo isolado por namespaces e cgroups que compartilha o kernel do host. O Docker Sandbox é uma microVM com kernel Linux, filesystem, rede e Docker Engine próprios. Por isso a fronteira muda. No container, escapar exige um exploit de kernel ou um side-channel, e do outro lado está o kernel do host inteiro. No sandbox, quem escapa do container cai numa microVM descartável.

O caso clássico é o socket do Docker. Montar /var/run/docker.sock dá ao container controle do daemon do host, e um agente não precisa de zero-day para explorar isso. Na demo da keynote de Mark Cavage, bastiou para chegar a um arquivo de segredos no host. Dentro do sandbox, o agente fala com um Engine privado e o daemon do host fica fora. Os controles também rodam no host: proxy de saída com política deny-by-default e injeção de credenciais em requisições HTTP, sem o valor bruto entrar na VM. O que você compartilha continua exposto: o workspace (leitura e escrita por padrão), servidores MCP e skills. O custo é um hypervisor suportado (Apple silicon com macOS 14 ou superior, Windows Hypervisor Platform ou KVM em Ubuntu) e mais memória e disco. Kits estão em early access e os arquivos de ambiente sbxenv.yaml são experimentais.

A cobertura do CEVIU mostra o caminho até aqui. Em 13 de março de 2026, o CEVIU noticiou em "Construindo Equipes de IA com Docker Sandboxes e Docker Agent" o uso de agentes autônomos em ambientes sandbox. Em 15 de abril de 2026, "Executando agentes de IA com templates customizados usando o sandbox Docker" tratou da CLI sbx com imagens OCI customizadas em microVMs. Em 20 de abril de 2026, "Por Que MicroVMs: A Arquitetura por Trás dos Sandboxes Docker" explicou o kernel próprio e o daemon Docker privado. A novidade agora é o recorte prático: a comparação direta com containers e a regra de decisão (isole o agente, containerize a aplicação).

Para quem opera plataforma, a leitura é que a pergunta deixa de ser "qual imagem uso" e passa a ser "onde fica a fronteira de confiança". Pipelines de CI com código revisado seguem bem em containers. Agentes que rodam sem supervisão, leem issues ou páginas web e precisam de chaves de API pedem outro limite. Vale também planejar a máquina: o requisito de hypervisor e o consumo extra entram na conta de runners e laptops.