标签

Docker

软件供应链安全：你的依赖里藏着多少把刀

来源: docker.com 62
2025 年，开源仓库里冒出了超过 454,000 个恶意包——这不是漏洞数量，是有人故意投毒的包数量。Sonatype 的 2026 年《软件供应链状态报告》把累计数字摆到了桌面上：自 2019 年以来，恶意包总量突破 120 万。绝大多数团队根本没意识到自己装了多少依赖，更不知道这些依赖的上游是否还安全。供应链攻击的爆炸半径正在随依赖深度指数级膨胀...
# AI # Docker # 云原生
阅读全文

给 AI Agent 上锁：开发团队可落地的安全实践

来源: docker.com 59
45% 的组织在确保 Agent 所用工具的安全性和企业级可用性上遇到了困难——这个数字来自 State of Agentic AI 报告，它揭示了一个现实问题：Agent 正以比安全实践成熟更快的速度冲进生产环境。 团队并非缺乏安全意识，而是缺乏针对 Agent 这种新执行主体的防护框架。传统应用的安全边界是 API 网关和身份认证，而 Agent ...
# AI # Docker # LLM
阅读全文

沙箱安全：隔离边界之外的策略与 enforcement

来源: docker.com 64
40% 的受访企业把安全列为规模化 Agentic AI 的头号难题——这不是因为大家不懂"隔离"，而是因为光有隔离远远不够。沙箱把进程关起来，沙箱安全则要确保这扇门在真实压力下不会被撞开、被绕过、被悄悄撬开。两者之间的差距，正是生产环境事故的常见起点。 传统沙箱解决的是"空间隔离"：进程 A 看不到进程 B 的文件，容器 C 不能访问宿主机网络。实现...
# AI # Docker # LLM
阅读全文

AI 编程代理删了整个家目录：真实事故复盘与沙箱隔离实践

来源: docker.com 47
你让 AI 编程代理帮你清理项目里的临时文件，它理解成了"清理用户目录下的所有文件"，然后毫不犹豫地执行了 。这不是段子，是真实发生的安全事故。AI coding agent 的权限边界如果没画清楚，它犯错的代价远比人类手滑更致命——因为它执行命令时没有犹豫。 事故的起因很普通：开发者给 AI 编程代理下了一个指令，大意是"把项目里不需要的临时文件清理...
# AI # Docker # Go
阅读全文

容器构建全跑在浏览器里：秒级出镜像的原型实验

来源: oschina.net 46
构建 Docker 镜像的日常体验是这样的：敲下 ，然后盯着终端看几十层镜像逐层下载、逐层执行，GiB 级的数据在本地磁盘和远程 registry 之间来回搬运。CI 环境里更慢——冷启动时拉基础镜像就能吃掉两三分钟。开发者 Octavio Agagavia 最近做了一个研究原型，把整个流程搬进了浏览器：选基础镜像、写启动脚本、构建镜像，全部在浏览器 ...
# Docker # 云原生 # 全栈
阅读全文

数据湖里的关系问题，一条 Cypher 就能搞定——在 Postgres 里用 Apache AGE 做图查询

来源: postgr.es 61
数据湖让 Postgres 能读 S3 上的 Iceberg、Parquet 文件，聚合分析不再是问题。但一旦问题变成"沿着 referral 链路找到所有从网络内跳到网络外的路径，再算出涉及金额"，纯 SQL 就开始力不从心——递归 CTE 写起来冗长，跑起来吃内存。Apache AGE 把 openCypher 图查询直接塞进 Postgres，图...
# AI # Docker # Go
阅读全文

PGConf.dev 2026：PostgreSQL 三十周年，社区与技术都在经历关键转折

来源: postgr.es 61
2026 年对 PostgreSQL 是个特殊年份——项目诞生整整三十年。今年的 PGConf.dev 回到了温哥华，这场以贡献者和内核开发者为核心的小型会议，比任何其他 PostgreSQL 大会都更"真实"：邮件列表里那些只出现在 commit 记录中的名字，突然就站在你旁边，端着咖啡和你讨论 patch 的边界条件。 但三十周年不只是庆祝。从会议...
# AI # Docker # Go
阅读全文

PGConf.dev 2026：Postgres 集群拓扑、物理读观测与排序的三道未解题

来源: postgr.es 54
刚从温哥华回来，PGConf.dev 2026 的技术讨论密度远超预期。Jeremy Schneider 在会后总结中梳理了几条真正触及 Postgres 设计短板的线索——不是"新功能很酷"那种，而是"我们一直假装没问题但其实有结构性缺口"那种。下面挑三条最值得生产环境用户关注的展开。 物理复制做高可用，已经是 Postgres 用户最主流的方案。但...
# AI # Docker # Go
阅读全文

当 AI 编码代理成为「不可信工作负载」，隔离边界该怎么画？

来源: docker.com 47
今年早些时候，有人用 Claude Code 把整个博客迁移到 Astro——146 篇文章、6024 张图片、Canonical URL、JSON-LD、Sitemap，全套重写。他花了好几个小时写一份 skills 文件，教代理理解博客架构、部署流程、哪些文件绝对不能碰。结果确实跑通了：组件重写、Bug 修复、批量迁移，全由代理完成。 但这个故事的...
# AI # Docker # LLM
阅读全文