Docker Sandboxes的balanced网络策略默认拒绝多数流量，仅放行197条开发常用域名规则，拦截宿主机localhost、局域网、云metadata端点及遥测域名。排查用`sbx policy log`，放行用`sbx policy allow network --sandbox`，改动即时生效。建议按需精确放行，避免全局开放。

Docker沙箱的凭证隔离机制：API密钥以占位符形式存在，真实凭证由宿主机代理转发，不进入microVM。SSH通过转发SSH_AUTH_SOCK连接，可签名但私钥文件不可读。手动写入持久化脚本的值为明文例外。删除沙箱不会清除宿主机侧配置。

Docker Sandboxes 的隔离存在设计例外：共享 Skills 默认以读写方式挂载给Claude、Codex等五种Agent，它们可互相改写技能文件，OpenCode等不支持；宿主机侧MCP Gateway运行本地stdio服务器，Agent可借此绕过microVM边界。这些不算漏洞，但使用前需考虑是否关闭共享Skills或接入本地MCP。

本文介绍Docker Sandboxes工作区的两种挂载模式：Direct模式将工作区读写挂入沙箱，改动实时同步，适合有人在场协作，但Agent可破坏工作区；Clone模式提供私有副本，改动需主动fetch，适合无人值守，删除前必须保存提交。建议无人值守优先验证Clone模式，两者代表不同信任模型。

Docker Sandboxes在Mac上为Coding Agent提供可删除的微虚拟机，隔离内核、文件系统、网络和Docker Engine，但挂载的项目目录可被Agent直接读写。安装到运行OpenCode约十分钟，难点是模型登录需单独配置，如SuperGrok需/connect并调整网络策略。适合人机协作，但非无人值守，且工作区敏感文件对Agent可见。

Vercel Sandboxes现已支持自定义镜像，用户可以使用自定义根文件系统启动，镜像可从Vercel容器注册表提取，支持通过docker push上传。这一功能提供了便捷的自定义文件系统，同时保持冷启动性能。

Vercel Sandboxes的最长运行时间已延长至24小时，适用于大规模数据处理、端到端测试和长期工作流，适用于所有Pro和Enterprise计划。

Vercel CLI现已支持直接管理Sandboxes，用户可以使用vercel sandbox子命令，无需额外工具，简化了工作流程。请更新至最新版本（至少v50.42.0）以体验此功能。

Vercel Sandboxes现已支持Pro和Enterprise团队最长运行5小时，适合大规模数据处理、端到端测试和长期工作流。