ManusAI容器化部署这项任务，远不止是把代码简单地塞进Dockerfile就大功告成。它直接关系到沙盒能否稳定创建、工具API是否能正常调用，以及多个会话之间会不会产生相互干扰。只要遗漏任何一个关键环节，轻则任务卡死无法推进，重则容器反复崩溃、KV-Cache彻底失效——后果相当严重。

所以，从Docker守护进程的通信方式，到沙盒镜像的依赖预装，再到资源限制、网络策略和文件系统隔离，每一步都必须有章可循。下面把这五个核心要点逐一拆解清楚。

确保Docker守护进程可被后端安全调用

后端服务要动态创建沙盒容器，唯一的通道就是通过Unix socket（/var/run/docker.sock）与Docker daemon建立通信。具体挂载方式为：将后端容器以 --volume /var/run/docker.sock:/var/run/docker.sock:ro 的方式映射宿主机上的socket文件。这里存在一个易踩的坑：千万不能使用 tcp://127.0.0.1:2375 来暴露远程API，否则相当于把容器控制权直接拱手让人，没有任何安全防护措施。

验证方法也很简单：在后端容器内执行 docker info，如果能返回JSON且 Containers 字段不为空，就说明通信已经成功建立。

沙盒镜像必须预装全部运行时依赖

ManusAI的沙盒可不是一个裸Ubuntu环境，它需要开箱即用的工具集：无头Chrome、curl、jq、python3-pip、git，以及对应版本的chromium-browser和WebDriver。如果镜像里缺少chromium-browser，浏览器工具调用会悄无声息地失败，日志里只显示"timeout"，实际上是启动失败；要是缺少libglib2.0-0或libnss3这类底层库，Chrome连页面都无法加载。

最省事的做法是直接使用官方manus-sandbox基础镜像。如果非要基于ubuntu:22.04手动构建，那么务必执行这条命令：apt update && apt install -y chromium-browser xvfb libglib2.0-0 libnss3 libatk1.0-0 libatk-bridge2.0-0 libpangocairo-1.0-0 libxft2 libxss1 libgbm1。多预装几个库，总比排查问题时抓狂要好得多。

资源限制必须硬性设定，不可依赖默认值

每个沙盒容器都应该设置明确的CPU和内存上限，否则一旦某个任务失控，就可能把宿主机资源全部耗尽，导致其他会话严重卡顿，甚至触发OOM Killer杀掉关键进程——那画面太美不敢看。

操作可以分三步走：

第一步：在Docker run命令里添加 --memory=2g --cpus=2 参数；

第二步：如果使用了Kubernetes，就需要在Pod spec中定义 resources.limits.memory 和 resources.limits.cpu；

第三步：对于GPU加速场景，必须显式指定 --gpus device=0（或者借助nvidia-container-toolkit），否则即使宿主机插着A100，沙盒内部也无法识别到CUDA设备。

网络策略需放行工具服务端口且禁止外连

沙盒容器内部需要运行多个本地服务：文件API监听8000端口、Shell服务监听8001、浏览器服务监听9222——这些端口都必须在容器内能够被PlanAct Agent访问到。但与此同时，必须阻止沙盒主动向外发起HTTP/HTTPS请求（除了明确允许的API白名单之外），防止模型调用恶意URL或者泄露敏感信息。

实现方式主要有两种：

方法一：使用Docker内置的 --network none 模式，再通过 host.docker.internal 映射回后端；

方法二：自定义bridge网络，配合iptables规则DROP掉所有OUTPUT中非白名单IP段的流量。

哪种方案更安全？显然是第二种更灵活，但配置起来也相对复杂一些。可以根据自己的运维能力来做出选择。

会话级文件系统隔离必须启用

每个沙盒容器必须拥有独立的挂载点，不能共用同一个宿主机目录。否则，用户A写入的 /tmp/output.csv 会被用户B读取到，从而造成严重的数据越界事故——这可不是小事。

具体做法是：动态生成唯一路径：/mnt/sandbox/{session_id}/，然后将该路径以 --volume 方式挂载到容器内的 /mnt/host。容器启动后，执行 mkdir -p /mnt/host/workspace && chmod 700 /mnt/host/workspace，注意这里必须使用 chmod 700 而不是755，以避免其他UID进程读取。此外，所有文件工具的操作路径必须严格限定在 /mnt/host/workspace 之下，超出范围就报错拦截，不给任何越界访问的机会。