Docker 主张 agent 的安全边界必须落在执行层 RSS

给出 microVM 沙箱、工作区限定、凭据路径黑名单、出站网络策略与审计日志的做法。