Docker采用客户端-服务器架构，守护进程以root运行，存在权限提升风险。用户常加入docker组以便使用，但这使非root用户可能获取root权限。文章建议采用rootless模式或使用Podman等替代方案，并讨论了Podman的兼容性问题及解决方案。

本文介绍Ascend 310P3 NPU的vNPU虚拟化使用方法。原生Docker需手动用npu-smi创建vNPU并挂载设备；Ascend Docker Runtime支持静态挂载（复用已创建vNPU）和动态虚拟化（启动时自动创建释放）。通过环境变量指定设备与模板，容器内可见310Pvir01实例，动态实例随容器退出自动回收。

本文介绍昇腾Ascend 310P3 NPU的vNPU虚拟化使用方法。vNPU可将物理NPU划分为多个隔离实例，类比NVIDIA MIG。文章演示两种Docker运行方式：原生Docker需手动用npu-smi创建vNPU并挂载设备；Ascend Docker Runtime支持静态挂载（复用已创建vNPU）和动态虚拟化（启动时自动创建并释放实例）。通过环境变量指定设备与模板，容器内可正常使用npu-smi查看资源。

vLLM部署Qwen 3.8 27B时，默认参数限制了图片和视频输入，导致报错。通过删除`--limit-mm-per-prompt.image 2`和`--limit-mm-per-prompt.video 0`并重启Docker，问题得到解决，模型恢复正常。

Send 是一个可私有化部署的加密文件外链服务，源自 Firefox Send 社区维护版。用户通过网页拖拽文件生成加密链接，对方无需注册或安装应用即可下载，支持设置下载次数和过期时间，到期自动删除。适合临时分享安装包、视频等场景，不适合当长期网盘。文章详细介绍了 Docker 部署步骤、Nginx 反向代理配置及使用注意事项，强调需自备域名和 VPS。

Kern是一个极简容器运行时，仅1.52MB二进制，无守护进程，启动容器仅需3.5毫秒。它直接调用Linux内核功能，支持OCI标准、Docker Compose及资源管理，适合AI Agent、CI任务等轻量场景。相比Docker的数百MB和守护进程开销，Kern追求极简高效，但安全边界依赖内核，不适用于多租户敌对代码。

本文介绍在Amazon Linux 2023上搭建GPU容器环境的完整流程，包括安装NVIDIA驱动、Docker及NVIDIA Container Toolkit，并涵盖验证方法、最佳实践（如数据目录迁移、资源限制）和常见故障排除，帮助用户快速部署GPU容器用于深度学习等任务。

Docker Sandboxes的balanced网络策略默认拒绝多数流量，仅放行197条开发常用域名规则，拦截宿主机localhost、局域网、云metadata端点及遥测域名。排查用`sbx policy log`，放行用`sbx policy allow network --sandbox`，改动即时生效。建议按需精确放行，避免全局开放。

Vercel CLI新增`vercel vcr`命令组，用于管理容器注册表。用户可连接Docker、Podman等工具，通过`vercel vcr login docker`认证，用`vercel vcr build docker --push`一步构建推送镜像，或使用标准`docker push`命令。仓库自动创建，也可用`vercel vcr add`显式添加，并支持列出、检查仓库、镜像和标签。更新至最新CLI即可使用。

Docker沙箱的凭证隔离机制：API密钥以占位符形式存在，真实凭证由宿主机代理转发，不进入microVM。SSH通过转发SSH_AUTH_SOCK连接，可签名但私钥文件不可读。手动写入持久化脚本的值为明文例外。删除沙箱不会清除宿主机侧配置。

Docker Sandboxes 的隔离存在设计例外：共享 Skills 默认以读写方式挂载给Claude、Codex等五种Agent，它们可互相改写技能文件，OpenCode等不支持；宿主机侧MCP Gateway运行本地stdio服务器，Agent可借此绕过microVM边界。这些不算漏洞，但使用前需考虑是否关闭共享Skills或接入本地MCP。

本文介绍Docker Sandboxes工作区的两种挂载模式：Direct模式将工作区读写挂入沙箱，改动实时同步，适合有人在场协作，但Agent可破坏工作区；Clone模式提供私有副本，改动需主动fetch，适合无人值守，删除前必须保存提交。建议无人值守优先验证Clone模式，两者代表不同信任模型。