Docker передает спецификацию Sandbox Kit в CNCF

Docker и CNCF: делаем полномочия агента таким же переносимым, как и сам агент

Десять лет назад индустрия программного обеспечения столкнулась с выбором. Каждый поставщик мог поставлять собственный формат образов и собственную среду выполнения, и разработчикам пришлось бы выбирать сторону. Либо индустрия могла прийти к единому артефакту. Второй вариант победил. Docker передала свой формат образов и среду выполнения Runc в Linux Foundation, и вокруг них сформировалась инициатива Open Container Initiative (OCI). Сегодня образ Docker, собранный где угодно, может запускаться где угодно. Этот формат является основой экосистемы облачных нативных технологий и де-факто стандартом.

Теперь мы видим, как аналогичная проблема возникает вокруг агентов. Не существует общего формата для того, что разрешено делать агенту. Мы предлагаем аналогичное решение: один артефакт, созданный на базе OCI и управляемый открыто.

Та же проблема, но для агентов

Контейнеры создавались для неизменяемого ПО. Образ — это приложение. Если вы хотите изменить его, вы пересобираете его, и оно ведет себя одинаково везде. Именно поэтому образ контейнера описывает, как ПО собрано, и ничего не говорит о том, что оно может делать после запуска. Для веб-сервиса этого было достаточно. Он получал сеть и порт, и этого хватало.

Агенты по определению изменяемы. Claude Code и Codex устанавливают пакеты, вызывают API и используют учетные данные от вашего имени. Они меняют среду, в которой выполняются, и сами решают, что делать дальше. Поэтому каждая команда пишет свои собственные правила доступа для агента: здесь правило сети, там токен, а здесь монтирование тома для выполнения задачи. Эти правила хранятся в истории оболочки, на дашбордах и в чьей-то памяти. Через несколько месяцев никто не может ответить на простой вопрос: что этому агенту разрешено делать?

Сегодня каждая команда решает эту задачу самостоятельно, и каждый разработчик среды выполнения может предложить свой собственный способ ее решения. Именно такую фрагментацию была призвана предотвратить OCI.

Что мы анонсируем

Kits — не новинка. Наборы Kits уже являлись частью Docker Sandboxes в качестве способа упаковки агента, его инструментов и того, к чему он может получать доступ, в единое целое, которым команда может поделиться. Новизна заключается в самом артефакте. Теперь Kit — это обычный образ OCI, а описывающий его формат является открытым.

Сегодня на конференции WeAreDevelopers мы анонсировали спецификацию Docker Sandbox Kit с открытым исходным кодом под лицензией Apache 2.0. Kit объединяет в одном образе три вещи: агента, его инструменты и типизированный список всего, к чему он запрашивает доступ (например, хосты, учетные данные и тома). Поскольку этот список является частью образа, фиксация версии образа жестко связывает агента и его запросы.

Kit не является новым типом артефакта и не представляет собой форк какой-либо спецификации OCI. Он использует уже определенную в OCI точку расширения. Он собирается, отправляется, скачивается, подписывается и сканируется точно так же, как любой запускаемый вами сегодня образ, потому что он им и является.

Сегодня мы передаем эту спецификацию в CNCF под их нейтральное управление, точно так же, как мы поступили, когда формат образов был передан в OCI.

Почему это важно

Внедрение не требует затрат. Поскольку Kit является образом OCI, с ним работает каждый используемый вами реестр, сканер и инструмент подписи. Не нужно развертывать ничего нового.

Ответ путешествует вместе с агентом. Поскольку запросы зафиксированы в образе, на вопрос «что разрешено этому агенту?» есть только один ответ. Коллега по команде может скачать его. Рецензент может сравнить версии (diff). Совместимая среда выполнения может принудительно применить эти ограничения. Когда новая версия запрашивает больше прав, изменения видны в виде добавленных строк, которые кто-то может отклонить.

Экосистема, а не просто формат

Docker всегда придерживалась принципа «экосистема прежде всего». Dockerfile имел значение, потому что его мог написать любой разработчик, любой реестр мог сохранить результат, и любая среда выполнения могла его запустить. Наборы Kits следуют тому же подходу, и мы создавали их не в одиночку.

Мы работали с AWS, Box, Datadog, Dynatrace, JFrog, NanoClaw, OpenClaw, Palo Alto Networks, Snyk и другими компаниями над созданием Kits для их инструментов. Здесь представлены облачные платформы, средства наблюдаемости, безопасности, управления артефактами, контентом и фреймворки агентов. Наборы Kits, представленные нами сегодня во время вступительного доклада на WeAreDevelopers, являются результатом всей этой работы и лишь первыми из многих.

MCP предоставил агентам стандартный способ взаимодействия с инструментом. Kits дают экосистеме стандартный способ публикации всей структуры целиком: агента, его инструментов и запрашиваемых им доступов — в одном образе, который может скачать любой желающий. Именно это превращает формат в цепочку поставок. Например, поставщик базы данных может опубликовать Kit, который подключает любой агент к его сервису с рекомендуемыми правами доступа. Создатель агента публикует собственный Kit, поэтому список запросов исходит от разработчиков самого агента. Команда платформы публикует Kit для компании, и каждый инженер начинает работу с одной отправной точки.

Ничего из этого не произойдет, если формат принадлежит одному поставщику. Стандарт для определения того, что разрешено агенту, стоит гораздо меньше, если он принадлежит тому, кто продает вам среду выполнения. Docker Sandboxes — первая среда выполнения, которая это обеспечивает. Она не должна быть единственной, и под управлением CNCF этого не случится.

Контейнеры сделали ПО переносимым. Kits делают переносимыми полномочия: набор привилегий, которые вы осознанно передаете агенту, путешествует вместе с ним в том же образе и означает одно и то же везде, где его открывает совместимая среда выполнения.

«Стандарты позволяют экосистеме развиваться быстро и без фрагментации, и немногие компании понимают это лучше, чем Docker. Предоставляя Sandbox Kits в качестве стандартных образов OCI, Docker дает индустрии открытый, воспроизводимый способ упаковки ИИ-агента, его инструментов и средств защиты в виде единого артефакта. OCI — это фундамент, на котором построена облачная нативная экосистема, поэтому стандарт для агентов на базе OCI охватывает всю экосилостему сразу. CNCF приветствует это, и мы рады сотрудничать с Docker и сообществом в деле его широкого внедрения».

Крис Анищик (Chris Aniszczyk)

Технический директор CNCF

Создайте свой Kit

Если вы создаете инструменты, которые используют агенты, опубликуйте для них Kit. Если вы запускаете агенты, возьмите за основу готовый набор и поделитесь им с командой. Спецификация, страницы возможностей и подробный разбор реального Kit находятся по адресу docker/sandbox-kit-spec. Если у вас есть сценарий, который не удается выразить с помощью Kit, или правило, которое среда выполнения не может реализовать, откройте задачу (issue). Каждый опубликованный Kit и каждая поданная задача — это кирпичики, из которых строится стандарт.