Docker 一直在用 microVM，从 2016 年起
来源：dave.recoil.org — 2026-10-03
📋 概述
Dave Scott 用一条时间线反驳「microVM 比传统容器更安全」这种对比框架：Docker 2016 年收购 Unikernel Systems，Docker for Mac 的 beta 从一开始就在 microVM 里跑容器——VMM 里链接 Mirage 库，配一个最小 Linux 内核和最小用户空间（后来开源为 LinuxKit），VMM 本身叫 hyperkit，如今演化为 Docker VMM。2026 年的 Docker Sandboxes 仍是同一套技术，每个编码代理会话一个独立隔离的 microVM。
🔑 核心要点
- MirageOS 的 Bitcoin Piñata 曾悬赏 10 个比特币 攻破 TLS unikernel，赏金一直无人领走
- Jitsu 项目把 x86 unikernel 冷启动压到约 20ms，2015 年的低配 ARM 开发板上是 120ms
- Docker for Mac（2015 年起名 Project Piñata）是 Docker 第一次使用 unikernel 技术
- 因此它能在所有平台 rootless 运行，且整个 Linux 内核都被当成不可信部分，内核 CVE 也不致命
- 2026 年的 Docker Sandboxes 给每个编码代理会话一个独立 microVM，sbx run claude 即可
💡 金句
如果我告诉你 Docker Desktop 一直都在用 microVM——从 2016 年起——你会怎么想？
👍 0
👎 0
← 返回 Lobsters 首页