过去四周，Docker、Okta、美国运通与IETF竞相争夺Agent权限载体：Docker将类型化权限清单封入OCI镜像并交CNCF，Okta把Agent升为独立身份类目，Amex推支付授权框架。但规范热度低，静态声明无法约束运行时越权，载体之争胜负未分。

Docker Hub账户转组织流程存在高危漏洞CVE-2026-105445，评分9.4。个人访问令牌转移后密钥未撤销，攻击者可利用原令牌以新组织身份访问仓库，影响期为2024年8月26日至2026年9月30日。Docker已在服务端修复，用户无需操作，并审查约30.4万次推送，未发现恶意利用，自10月8日起批量停用相关令牌。

本文介绍了在Debian 12上通过Docker镜像安装和使用claw和nanobot的方法，包括必要软件包的安装和配置文件的设置。

Docker Sandboxes 让 Claude Code 在隔离的 Linux 微虚拟机中自主运行，无需逐条批准命令。它支持直接模式（立即修改本机项目）和克隆模式（在沙箱副本中修改，供审查后再应用）。实验表明，Claude 能完成编辑、测试、构建镜像和运行应用，但项目内可读文件（如 .env）仍可能泄露，网络规则只控制连接目标而非发送内容。

微软正式发布WSL容器，使Windows原生支持Linux容器，无需Docker Desktop。命令基本将docker替换为wslc，如wslc run、wslc build，默认从Docker Hub拉取镜像。提供CLI和API，支持在Windows应用中编程运行容器。目前暂不支持compose，未来将添加wslc compose，可直接替代docker compose。

edgeTTS 是轻量级自托管语音合成服务，调用微软 Edge 在线朗读接口，提供 HTTP API 与 Web 工作台，支持流式传输、音色检索和 MP3 导出。长文本按段落、换行、句子智能切片，单次上限 2 万码点，并设有并发与限流保护。项目以单个 Fastify 进程托管前后端，用 Bearer Token 鉴权，官方提供 Docker 镜像，推荐配合反向代理部署。

本文介绍昇腾Ascend 310P3 NPU的vNPU虚拟化使用方法。vNPU可将物理NPU划分为多个隔离实例，类比NVIDIA MIG。文章演示两种Docker运行方式：原生Docker需手动用npu-smi创建vNPU并挂载设备；Ascend Docker Runtime支持静态挂载（复用已创建vNPU）和动态虚拟化（启动时自动创建并释放实例）。通过环境变量指定设备与模板，容器内可正常使用npu-smi查看资源。

MinIO 停止维护后，开源分支 PGSTY Silo 可无缝替代。只需将 Docker 配置中的 minio/minio 改为 pgsty/silo，无需改动代码或配置，用户名密码和管理页面不变，即可继续使用 S3 对象存储服务。

MinIO 宣布将于 2026 年 9 月删除 Docker Hub 仓库，并已逐步停止社区版维护。作者冯若航将 MinIO 社区版 fork 为 Silo，借助两个 AI 模型对抗式协作，修复了 8 个 CVE 及十余项安全缺陷，同时保持 S3 接口与数据格式兼容。Silo 已被多个项目采用，为存量 MinIO 部署提供持续安全维护的替代方案。

MinIO 曾是自建 S3 的首选，但自2025年起逐步删除代码、进入维护模式并停止仓库维护，官方 Docker 镜像也已下架，旧版本因缺乏维护存在安全隐患。S3 已成为事实上的网盘标准，当前替代方案包括：Garage、RustFS、VersityGW 适合个人和小型自托管；SeaweedFS、Ceph、OpenStack Swift 适合中大型部署；MaxIOFS、liteio 值得关注；CORTX 已淘汰。

DeepSeek Harness 因安全限制禁止监听 0.0.0.0，在容器中运行需变通。作者通过 Dockerfile 安装 socat，将容器 8080 端口转发至内部 127.0.0.1:3080，再用 compose 映射到宿主机 127.0.0.1:3080，仅本机可访问。挂载配置与工作目录后执行 docker compose up，打开日志中带 token 的链接即可使用 Web UI。