gVisor1 篇实战文章

上周翻到 GKE Agent Sandbox，配套的开源控制器放在 kubernetessigs 下面。第一反应不是“又一个新功能”——是终于有人把“AI 生成的代码不能裸跑”当基础设施问题来做了，而不是一句“注意安全”写在文档末尾。 这个区别很重要。