اگر امروز از داکر روی سیستم‌عامل مک یا ویندوز استفاده می‌کنید، در واقع کد خود را درون یک ماشین مجازی بسیار کوچک و بهینه اجرا می‌کنید. این لایهٔ پنهان، مرز میان امنیت سیستم شما و محیط اجرای کانتینرهاست.
داکر (Docker) از سال ۲۰۱۶ برای پر کردن شکاف میان کانتینرهای لینوکسی و میزبان‌های غیرلینوکسی، به میکرو-ماشین‌های مجازی (microVMs) — شبیه به یک اتاق کوچک و ایزوله که فقط وسایل ضروری برای یک کار خاص در آن است — تکیه کرده است. طبق گزارش dave.recoil.org در ۳ اکتبر ۲۰۲۶، این استراتژی برای حذف پیچیدگی‌های مجازی‌سازی سنتی و جلوگیری از کندی سیستم پیاده شد. این رویکرد در واقع پاسخی به چالش‌های همیشگی در مقایسه سرعت کانتینرها با امنیت ماشین‌های مجازی است تا تعادلی میان کارایی و ایزولاسیون ایجاد شود.
پیش از این چرخش، داکر از Docker Toolbox و VirtualBox استفاده می‌کرد. اما VirtualBox به دلیل داشتن رابط گرافیکی سنگین و فرآیند به‌روزرسانی پیچیده، تجربه کاربری مناسبی نداشت. به همین دلیل، تیم داکر یک «VMM کتابخانه‌ای» توسعه داد؛ یک مانیتور ماشین مجازی جاسازی‌شده که فقط برای سرعت و امنیت طراحی شده بود.
همان‌طور که در بحث‌های گذشته‌ی ما درباره‌ی امنیت مدل‌های بازمتن اشاره کردیم، ایزوله‌سازی محیط اجرا برای جلوگیری از نشت داده‌ها حیاتی است. تکامل این فناوری در داکر طی مراحل زیر رخ داد:
- Hyperkit: نخستین نسخه از VMM کتابخانه‌ای.
- LinuxKit: پروژه‌ای برای ساخت هسته‌های مینیمال VM و سیستم‌فایل‌های ریشه.
- Docker VMM: جدیدترین نسخه که نسخه‌ای بسیار سبک و مشابه containerd/nerdbox است.
بر اساس مستندات فنی، این معماری اجازه می‌دهد داکر در تمام پلتفرم‌ها به‌صورت rootless (بدون دسترسی ریشه) اجرا شود. چون کل هسته لینوکس به‌عنوان یک موجودیت «غیرقابل‌اعتماد» در نظر گرفته می‌شود، یک نقص امنیتی (CVE) در لینوکس معمولاً نمی‌تواند به سیستم میزبان آسیب بزند. همچنین این ساختار، تعامل با VPNها و سیاست‌های شبکه را ساده‌تر می‌کند.
برای توسعه‌دهندگان امروز، این یعنی زیرساخت لازم برای عصر عامل‌محور (Agentic) آماده است. همین فناوری microVM اکنون زیربنای Docker Sandboxes است و اجازه می‌دهد عامل‌های (Agents) کدنویسی مثل Claude در محیط‌هایی کاملاً ایزوله و تحت نظارت شدید اجرا شوند. در واقع، مدیریت وضعیت عامل‌های هوش مصنوعی به شدت به این لایه‌های مجازی‌سازی وابسته است تا اجرای کدها بدون ریسک برای سیستم میزبان صورت گیرد.
گام بعدی شما
- اگر عامل‌های هوش مصنوعی را برای اجرای کد مستقر می‌کنید، بررسی کنید که آیا لایه ایزولاسیون شما یک کانتینر استاندارد است یا یک microVM واقعی.
- برای تست این سطح از ایزولاسیون، Docker Sandboxes (sbx) را نصب کرده و دستور
sbx run claudeرا اجرا کنید. - مستندات LinuxKit را برای درک نحوه ساخت هسته‌های مینیمال مطالعه کنید.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو