Agentic AI Needs Guardrails, Not Guesswork

Agentic AI安全：首席信息安全官谈AI代理治理

Agentic AI需要安全边界，而非猜测

发布于2026年7月24日

Mark Lechner

在不减缓开发人员工作进度的前提下，如何确保AI代理的安全？最近的一次小组讨论探讨了这一问题的答案

我最近与Warp创始人兼首席执行官Zach Lloyd、NanoCo联合创始人兼首席执行官Gavriel Cohen（NanoClaw的创造者）以及拥有3000多名CISO的社区创始人、三度担任《财富》500强企业CISO的Moriah Hara共同展开讨论，探讨企业安全团队当前面临的最大挑战之一：如何安全地释放Agentic AI的生产力。

企业中Agentic AI的快速发展使首席信息安全官陷入两难境地。一方面，业务领导者迫切希望采用这项新技术，其承诺的生产力革命前所未有。另一方面，在没有严格安全边界的情况下部署AI代理会带来严重漏洞。

Moriah这样描述首席信息安全官面临的困境："业务部门希望AI代理无处不在，开发人员已经在使用它们，有时未经批准，很多时候甚至没有安全措施。……首席信息安全官只能在这一令人不安的中间地带妥协：我们容忍部分工具，祈祷不会出错，只能暂时维持现状，直到能够建立超越政策的治理机制，获得更好的可见性。"

小组讨论探讨了首席信息安全官在生产力与安全之间平衡的职责。以下是部分重点内容。

隔离、控制、监控

他们从不同角度切入，但小组成员一致认为：安全运行AI代理需要隔离环境和可信控制边界。对Zach而言，Warp的Oz平台提供了这种隔离。它是一个用于安全自动化部署编码代理的云代理基础设施，支持集中管理、访问控制，并能全面监控组织内所有代理的行为。

Zach表示："你实际上可以打开Oz的网页应用，实时查看公司内所有代理的运行情况——这比当前世界要好得多，在当前世界里，市场部的某人可能在运行Cloud Code，销售部的某人可能在运行Codex，你却完全不知道他们正在做什么，安装了哪些工具。"

NanoClaw——个人AI代理

在Docker，我们应对安全运行AI代理挑战的方案是将它们部署在一次性、隔离的本地沙箱中。Docker沙箱为代理提供必要的自由和自主性，使其能够安全地完成最佳工作。可以称之为带安全限制的YOLO模式。正如我们在讨论中提到的，应鼓励Agentic AI的速度——"问题在于未经管控的速度"。当代理被允许快速运行但不会失控时，速度与安全不再需要取舍。

值得注意的是：今年3月，我们宣布将NanoClaw与Docker沙箱集成，以实现按设计安全的代理执行。该集成使每个NanoClaw代理都能在基于MicroVM的Docker沙箱中运行，该沙箱强制执行强大的操作系统级隔离。该架构利用NanoClaw的最小攻击面和完全可审计的开源代码库，满足企业安全标准。

笔记本电脑成为新的生产环境

讨论的一个重点是安全运行代理的位置。随着 vibe 编程的爆发，以及代理和 Claws（一种新型代理）已投入生产，如今笔记本电脑已成为企业中功能最强大的节点。它同时也是最暴露的节点。正如我一位同事最近所说，笔记本电脑和代理环境已成为新的生产环境，它们需要像生产环境一样受到治理。

Zach 强调需要将代理从人们的笔记本电脑和台式机中移出，部署到一个受控的云环境，这样 CISO 可以随时监控公司内所有代理的运行情况。

可移植性——从笔记本到云

我的观点是，如果代理在沙盒中运行，沙盒的位置并不重要。它可能位于市场或财务人员的笔记本电脑上，也可能位于 DevOps 工程师或云管理员的机器上。只要建立了信任边界，并清楚了解沙盒内外的数据流动，就可以实现快速原型设计、实验和创新。

顺便说一句，这一观点与 Docker 的愿景一致，Docker 一直致力于可移植性。我们的愿景从未是“一切本地化”。我们从本地环境起步，然后进入分布式环境、Kubernetes 集群、公有云等。代理也是如此。最终它们将脱离人类操作员，能够在任何需要的地方完全自主运行——始终处于相同的可移植环境中。

当代理构建供应链时

当前的供应链已成为 TeamPCP 和 ShinyHunters 等机会主义攻击者旋转门式的攻击目标，他们利用瞬时依赖关系和其他漏洞，通常只需很短的时间就能窃取凭证和信息。

当 AI 代理本身在自主且无人监督的情况下拉取基础镜像、选择依赖项并组装代码时，CISO 如何应对这些风险？毕竟，在自主供应链中，构建后传统的扫描和补丁方法已不再可行。

保持人类参与

与会者分享了多项最佳实践。Zach 建议在选择干净、安全的依赖项（尤其是上游库）时保持人类参与，并为代理设置可选的受信任镜像。Gavriel 建议为镜像设置最低发布年龄为 7 天，并尽量减少依赖项——即使是安全的依赖项。

培训轮方法

Gavriel 还建议采用“培训轮”方法进行代理实验，最初使用非敏感数据来培养技能，避免敏感数据问题。“今天释放价值很重要，”他说，“但更重要的是让人们掌握与代理协作的技能，因为未来几个月和几年将出现的挑战将完全超出我们今天的想象。因此，关键在于培养肌肉记忆，提升技能。”

分层安全以限制影响范围

我的看法是，机会主义攻击者正在利用一个本质上存在缺陷且不幸在接下来6到12个月内无法修复的生态系统。在此期间，开发人员应假设这些攻击将持续发生，并通过分层安全措施进行准备，以限制影响范围。这意味着降低权限、减少第三方对环境的访问，并使用不可变标签、摘要和SBOM（软件物料清单）来锁定清单并实现对受污染镜像的快速检测。是的，将风险外包给像Docker这样的可信构建环境，提供干净且强化的镜像，这样你可以从一个干净的基础开始。

MCP——新的影子IT？

与会专家最后围绕在开发人员环境中使用MCP的安全影响进行了讨论。MCP（模型上下文协议）是一项标准，允许大语言模型（LLM）访问外部数据并使用工具，这可能使AI更强大、更可靠。

共识是，集中化的安全治理对提高生产效率和风险管理至关重要。Gavriel强调了正确版本控制、凭证管理和“黄金仓库”（经过验证的工具集合）的重要性。Zach则倡导集中管理，以避免个人工具依赖并确保最小权限访问。

让运行MCP服务器变得安全且简单

至于Docker？大约一年前，我们推出了一个开源的MCP网关，作为代理和外部工具之间的咽喉要道。通过将所有工具调用路由到这个执行点，在到达外部系统之前进行身份验证、授权和日志记录，使各种代理能够访问受信任的MCP服务器目录。虽然我不清楚MCP能保持多长时间的实用性，但考虑到AI呈指数级发展的速度，Docker MCP网关今天解决了一个重要挑战。与Docker沙箱类似，它使执行变得严格而非建议性。

一代人一次的机会——也是挑战

让开发环境能够利用智能体AI是一代人一次的机会，而首席信息安全官（CISO）需要确保在追逐这一机会时不会陷入无序状态。

Moriah以一个挑衅性的观点结束讨论：“六个月后，所有企业都将大规模运行智能体。唯一关键的成功因素是：治理是否从第一天就存在，还是在第一次重大事件后才被追加。”

在当今智能体AI的“自选冒险”现实中，你将选择成为怎样的安全领导者？

作者简介

CISO，Docker

Mark Lechner，Docker首席安全官

智能体AI

AI智能体

Docker

Docker AI治理

Docker沙箱

MCP

沙箱

安全

公司

企业

合作伙伴

产品

解决方案

目录

相关文章

• 2026年7月16日 《开发者已改变，开发者大会也该改变》 发现为什么Docker与WeAreDevelopers World Congress North America联合主办，以及AI智能体如何改变软件开发和开发者社区。Terri Avnaim 阅读全文

• 2026年7月24日 《智能体AI需要护栏而非猜测》 Docker召集企业安全领导者共同应对智能体AI的最大挑战：如何在不减缓开发者速度的前提下治理AI智能体。Mark Lechner 阅读全文

• Docker Captain 2026年7月22日 运行时执行，而非运行时建议 探索运行时层的治理机制，了解为什么隔离、策略执行和受控工具访问正成为智能体系统的基础构建要素。Karan Verma 立即阅读

• 2026年7月20日 编程代理的恐怖故事：那个删除生产环境的代理 学习AI编程代理如何引发13小时故障，以及Docker沙箱如何通过作用域身份和隔离执行降低风险。Ajeet Singh Raina 立即阅读