Собирая пайплайн Coding Agent для команды, вы часто слышите три термина вперемешку: AI Sandbox, Docker и виртуальная файловая система (VFS). Документация говорит «Agent выполняет команды в песочнице», DevOps — «изолируйте Docker», IDE — «виртуальное рабочее пространство включено». Все обещают защитить машину от кода ИИ, но что изолируется, как долго живёт и сколько стоит в эксплуатации — совершенно разное.
Типичный провал 2026: поднять Docker-образ для одной задачи Agent, ждать 30 секунд cold start, контейнер истекает раньше подсчёта токенов. Или без изоляции — Agent выполняет rm -rf в домашнем каталоге. Статья для читателей Kvmjet — iOS, Flutter и AI-разработчиков — с таблицами решений и развёртыванием на Cloud Mac / Apple Silicon.
Вывод: это не заменители, а слои — выполнение, runtime, файловое представление. AI Sandbox: короткоживущий недоверенный код. Docker: воспроизводимые среды. Виртуальные ФС: вид workspace и защита хоста.
1. Почему эти три понятия путают
Все три на цепочке требований «изоляция», но на разных уровнях абстракции. «Безопасно выполнить код Agent» — минимум три вопроса:
- Где выполняется процесс — отдельная граница CPU/памяти или в процессе IDE?
- Откуда среда — Node 18 или 22? Совпадают ли системные библиотеки с CI?
- Куда пишутся файлы — реальный репозиторий или одноразовый «фантомный каталог»?
AI Sandbox отвечает на первый, предполагая недоверенный короткоживущий код. Docker — на второй, нужна повторяемая версионируемая среда. Виртуальные ФС (в смысле Agent) — на третий, представление с откатом без полного контейнера каждый раз.
Многие стеки наслаивают два-три слоя: Background Agent Cursor в удалённой microVM (Sandbox), git worktree снимок (VFS), образ с Swift/Flutter (Docker). Разделение слоёв избегает ложной дилеммы «всё Docker или без изоляции».
2. AI Sandbox: краткоживущее выполнение для Agents
AI Sandbox (Code Sandbox, Agent Runtime) появился в 2024–2026 с Coding Agents. Примеры: E2B, Modal Sandboxes, Daytona, удалённые среды IDE. Общее:
- Старт за секунды: «новая среда на каждый ход Agent», не минутные pull образов CI.
- Автоуничтожение: ресурсы после конца/таймаута — меньше побочных каналов и остатков данных.
- Сеть по политикам: исходящий трафик по умолчанию запрещён или allowlist — блокирует утечку от LLM.
- API-first: создать/выполнить/читать файлы через SDK для циклов Agent, не ручной
docker run.
Внутри: gVisor, microVM Firecracker, лёгкие контейнеры, WASM. Важно: соответствует ли SLA частоте ходов Agent. Новая среда каждые 10 секунд — cold start Docker + pull узкое место.
Типичные случаи: боты автофикса, пакетные недоверенные тесты, онлайн-судьи, пользовательские скрипты SaaS — граница доверия — вывод LLM, одна команда может быть вредоносной.
2.1 Ограничения AI Sandbox
Не заменяет полную dev-среду: Xcode, iOS Simulator, GUI-отладка нуждаются в реальном macOS. Сложно выразить «этот Podfile.lock байт-в-байт как prod CI» — сильная сторона слоёв образов Docker. Паттерн: Sandbox для недоверенных фрагментов, Docker/bare metal для доверенных сборок.
3. Docker: воспроизводимая упаковка среды
Docker на namespaces Linux, cgroups, слоистых образах (OCI). Отвечает: как «работает у меня» становится «работает везде». Ценность для Agent-воркфлоу:
- Зафиксированные зависимости:
Dockerfileфиксирует Node, Python, системные libs — код Agent не апгрейдит среду случайно. - Паритет CI/CD: локальный
docker compose upи GitHub Actions — один образ. - Долгоживущие: контейнеры днями, тома, Kubernetes — для сервисов Agent Gateway, не разовых скриптов.
На Cloud Mac Docker часто для Linux-only бэкендов, OpenClaw Gateway, векторных БД, self-hosted Plane/Jira — рядом с Xcode в постоянной Cloud Mac dev-среде.
3.1 Ловушки Docker как sandbox Agent напрямую
docker run как слой выполнения Agent ведёт к:
- Медленный старт: большие образы, pull, mount — SLA в секунды сложно.
- Сложные права и mount: Agent нужен R/W репо, сокеты, иногда GPU — каждый capability требует
--mount/--cap-add. - Ручной жизненный цикл: упавшие Agents оставляют контейнеры — внешняя оркестрация для очистки.
Docker лучше как шаблон доверенной среды внутри AI Sandbox или оркестратора, чем флаги docker run, собранные LLM.
4. Виртуальная ФС: представление workspace Agent
В продуктах Agent «виртуальная файловая система» обычно: за путями Agent — indirection; layout хоста прозрачен или read-only. Паттерны:
- Overlay / copy-on-write: read-only база или git checkout, writable upper — сброс overlay = rollback. Union FS Docker, ephemeral Sandbox.
- git worktree / sparse checkout: Agent редактирует в изолированном worktree — дефолт многих IDE Agents, почти нулевой overhead контейнера.
- FUSE / удалённый mount: файлы на S3, NFS, build-машине — локальный POSIX. Monorepo, compliance.
- Виртуальные документы IDE: несохранённые буферы, diff preview — VFS сессии редактора.
VFS сам по себе не изолирует процессы: curl evil.com | sh overlay не остановит. Решает «не сломать репо», не «не трогать ядро». Поэтому наслаивают с Sandbox или Docker.
Документация Kernel VFS для overlay — при выборе Agent-инструментов смотрите «workspace», «snapshot», «rollback» в доках продукта.
5. Сравнение и стратегии комбинации
| Измерение | AI Sandbox | Docker | Виртуальная ФС (слой Agent) |
|---|---|---|---|
| Главная цель | Безопасное выполнение недоверенного кода | Воспроизводимая доставка среды | Представление файлов с откатом |
| Типичное время жизни | Секунды–минуты, автоуничтожение | Минуты–месяцы, вручную/K8s | Привязка к сессии/задаче, мгновенный сброс слоя |
| Стоимость старта | Очень низкая (оптимизация Agent) | Средняя–высокая (размер образа) | Очень низкая (особенно worktree) |
| Изоляция процессов | Сильная (часто microVM) | Сильная (namespaces) | Нет (только файловый слой) |
| Сетевая политика | Встроенный allowlist/deny | Самонастройка | N/A |
| Лучше для | Платформы, multi-tenant Agent SaaS | DevOps, self-hosted сервисы | Ежедневные IDE Agents, локальные правки |
Паттерны комбинации (практика 2026):
- Локальные правки Cursor / Copilot: VFS (worktree) основной; опционально Docker Compose перед тестами для CI.
- Background Agent auto-PR: удалённый AI Sandbox + снимок репо VFS + образ toolchain (Docker build).
- Self-hosted Agent Gateway: Docker/K8s для Gateway и memory store; micro-инстанс Sandbox на tool call.
Оценивая цены Cursor Pro Background Agent, биллинг часто «минуты Sandbox + токены модели» — понимание слоя Sandbox помогает прогнозировать сверх месячной подписки.
- Только страх сломать git → VFS / worktree.
- Нужна та же Linux-среда, что CI → добавить Docker.
- Нужно выполнять недоверенный или пользовательский код → AI Sandbox (или эквивалент microVM).
6. Развёртывание на Cloud Mac
Apple Silicon Cloud Mac — идеальный узел для гибридных стеков: нативные Xcode/Flutter + Docker Desktop + удалённые Agents. Фазы:
- Phase 1: git worktree даёт изолированный вид ветки; блокировать непроверенный
git push. - Phase 2: Docker Compose фиксирует backend и OpenClaw Gateway, совместно с плагином Agent Memory.
- Phase 3: воркфлоу с авто-запуском недоверенных скриптов — E2B или API Sandbox, или Linux sidecar; никакого неизвестного shell на голом macOS.
Unified memory M4 делает «Docker + IDE + Simulator» плавнее большинства x86 VPS — при очень плотных ходах Agent выгружайте Sandbox на выделенный сервис, а не бесконечные локальные контейнеры.
7. FAQ
AI Sandbox и Docker — одно и то же?
Нет. Docker — универсальная контейнерная среда; AI Sandbox — продуктовая абстракция для Agent с API, жизненным циклом в секундах и политиками для недоверенного кода. Реализация Sandbox может использовать Docker — ментальная модель иная.
Что значит виртуальная файловая система для Agents?
Записываемый workspace за тем, что видит Agent — overlay, worktree, FUSE, удалённый mount — откат и загрязнение файлов, не изоляция процессов.
Что выбрать на Cloud Mac?
Ежедневная разработка: VFS плюс опционально Docker; недоверенное выполнение через Sandbox API. Избегайте системных команд LLM в голом shell macOS.
8. Итог
AI Sandbox управляет выполнением и границами доверия, Docker — воспроизведением среды, виртуальные файловые системы — представлением workspace и откатом — наслаивайте все три для полной Agent-инфраструктуры. Спросите, чего боитесь больше: испорченный код, дрейф среды или вредоносное выполнение? Каждый ответ — другой слой, не серебряная пуля.
Построить многослойный стек выполнения Agent на Cloud Mac
Xcode и Simulator требуют нативный macOS; backend Gateway и memory stores — Docker; недоверенные скрипты — в AI Sandbox — M4 Cloud Mac несёт первые два на одной машине и подключает третий по API. Unified memory, низкое энергопотребление в простое, ARM toolchains: «разработка + оркестрация Agent» без трёх отдельных VPS.
Планируя инфраструктуру Coding Agent, Kvmjet M4 Cloud Mac — экономичная гибридная отправная точка: локальный VFS, Docker как CI, удалённый Sandbox для недоверенных задач — три ясных слоя.