Las cuatro configuraciones que definen si un sandbox aísla algo
Cuatro configuraciones separan un sandbox que realmente contiene a un agente de uno que solo tiene nombre de sandbox.
Las vi resumidas en un video de Sam Witteveen sobre Docker Sandboxes, la función que Docker lanzó para esto, publicado el 19 de agosto de 2026. Según la documentación, cada sandbox corre en su propia microVM, no en un contenedor compartido con el resto del sistema.
- Acceso a red: qué dominios puede alcanzar el agente, no internet entero por default.
- Sistema de archivos: qué carpetas puede leer y en cuáles puede escribir.
- Secretos: las claves se inyectan con un alcance definido, no quedan sueltas en el entorno.
- Auditoría: lo que el agente hizo adentro queda registrado, aunque el contenedor se destruya después.
Las cuatro son interruptores separados, no un único “sandbox sí o no”. Podés cerrar la red del todo y dejar el filesystem más abierto, o al revés — cada una se ajusta por su cuenta.
Ya tenía la política de no correr agentes autónomos en mi computadora principal, tomada en bloque: sí o no corro ahí. Lo que este video me deja es que ese sí o no en realidad son cuatro decisiones separadas. No cambia la política que tengo. Cambia la resolución con la que la voy a pensar la próxima vez que arme un entorno aislado.
Fuentes:
- Sam Witteveen, “Docker Sandboxes - Safe and Secure Agents”, YouTube, 19 de agosto de 2026 — https://www.youtube.com/watch?v=erQnRkMrpls
- Docker, “Docker Sandboxes” (documentación) — https://docs.docker.com/ai/sandboxes/
Comentarios