Код-агента можно пускать без подтверждений: Docker даёт ему одноразовую microVM

Две команды - и Claude Code работает в одноразовой виртуалке, где ему нечего сломать. `cd ~/my-project`, потом `sbx run --name my-sandbox claude`: Docker поднимает microVM со своим ядром и своим Docker daemon внутри. Сам CLI бесплатен, включая коммерческую работу.

Раньше выбирали из двух зол. Либо агент спрашивает разрешение на каждую команду, либо получает волю на машине со всеми твоими ключами и файлами. Теперь есть третий вариант: у каждого sandbox своё ядро, поэтому агент собирает и запускает контейнеры, не выходя наружу.

Изоляция тут не контейнерная. Docker написал собственный VMM поверх Hypervisor.framework на macOS, Windows Hypervisor Platform на Windows и KVM на Linux.

Ставится одной строкой. macOS берёт `brew trust docker/tap && brew install docker/tap/sbx`, Windows `winget install -h Docker.sbx`, Ubuntu 24.04 ставит пакет `docker-sbx` из репозитория Docker. Дальше на всех системах `sbx login`: бесплатный аккаунт Docker нужен даже для локального запуска, так каждый sandbox получает проверяемую идентичность.

Внутрь кладут Claude Code, Copilot CLI, Codex CLI, Gemini CLI и Kiro. Смысл в том, чтобы гонять их с `--dangerously-skip-permissions` и не жать подтверждение на каждый шаг.

Железо решает. На macOS нужен Apple silicon и Sonoma 14 или новее, на Windows 11 x86_64 включается Windows Hypervisor Platform, на Ubuntu нужна виртуализация KVM. Docker Desktop не требуется. На анонсе 30 января Linux стоял в планах, работали только macOS и Windows.

Переезд не бесшовный. Настройки и хуки агента из `~/.claude` внутрь не попадают, вставка картинок из буфера отключена по умолчанию. Платят только за организационный governance: сетевые и файловые политики и аудит-логи.

На Hacker News анонс собрал 288 баллов и 169 комментариев, и главный упрёк там один: локальный инструмент требует логина.

Запуск агента без подтверждений перестаёт быть авантюрой и становится дефолтом.