2024 年末，Apple 做了一件不寻常的事。没有主题演讲，没有新闻稿，没有通常伴随 Apple 平台功能发布的任何排场，他们在 macOS 中加入了原生 Linux 容器支持。这个项目以"container"的名字在 GitHub 上开源——全小写，没有品牌，没有营销。只是一个 Swift 二进制文件，能在 Apple Silicon 上以接近原生的性能运行 OCI 兼容的 Linux 容器。
大多数开发者没有注意到。Docker Desktop 仍然主导着 macOS 的容器生态，少数注意到的人以为这是一个泄露到公开的内部工具。但对于任何需要在 macOS 上实现轻量级、安全隔离的软件来说，Apple Container 是一场静悄悄的革命——而 NanoClaw 是最早基于它构建的项目之一。
为什么 Docker 不够用
要理解 Apple Container 对 AI agent 的意义，你需要了解 Docker 在 macOS 上实际做了什么。Docker Desktop 并不原生运行容器——它运行一个 Linux 虚拟机，然后在虚拟机内运行容器。你 Mac 上的每个 Docker 容器实际上都运行在 Docker Desktop 管理的一个隐藏 Linux 虚拟机中。这能用，但有开销：虚拟机需要内存（默认通常 2-4GB），每次容器操作都增加延迟，而且需要 Docker Desktop 作为后台服务持续运行。
对于偶尔启动一个 Postgres 容器的 Web 开发者来说，这个开销感知不到。但对于 NanoClaw 这种每次对话轮次都要启动新容器、响应完成后就销毁的场景，这个开销就是瓶颈。一个因为虚拟机开销需要 2 秒才能启动的容器，会把一个灵敏的 AI 助手变成一个迟钝的。用户会注意到他们的 WhatsApp 消息比应有的多花了 3 秒。
Apple Container 完全消除了虚拟机层。它使用 Apple 的 Virtualization.framework 直接在硬件上运行轻量级 Linux 内核，容器共享该内核而不是各自运行自己的虚拟机。结果是容器启动时间以毫秒而非秒计算，内存开销以兆字节而非吉字节计算，I/O 性能接近原生。
NanoClaw 如何使用它
NanoClaw 的容器模型简单但经过深思熟虑。当 WhatsApp 上收到一条消息时，NanoClaw 启动一个容器并挂载特定的目录集：项目源码（只读）、群组的 CLAUDE.md 记忆文件（读写）和一个按群组划分的可写工作区。API 密钥通过 stdin 以 JSON 载荷传递——它永远不会接触容器内的文件系统或环境变量。
在 macOS 上，NanoClaw 检测到 Apple Container 后默认使用它。在 Linux 上，回退到 Docker。容器内的 agent 代码无论哪种方式都是一样的——都是在 Linux 环境中运行的带有 Agent SDK 的 Claude Code 会话，不管宿主机是什么操作系统。容器镜像包含 Chromium 和 agent-browser 用于网页访问，让 agent 无需在宿主机上运行浏览器就能搜索网页和浏览页面。
macOS 上的实际差异在于速度。Apple Container 的容器启动时间大约 200-400ms——快到用户除了正常的 AI 响应时间外感知不到任何延迟。Docker Desktop 同样的操作需要 1.5-3 秒，这是能感知到的。每天几十条消息累积下来，这个差异会带来明显不同的用户体验。 ## 安全模型
Apple Container 以 Docker Desktop 无法做到的方式继承了 macOS 的安全原语。容器在 Apple 的沙箱框架下运行，这意味着它受到与任何其他沙箱化 macOS 应用相同的安全策略约束。对显式挂载路径之外的文件访问不仅被容器运行时拒绝——还被操作系统本身拒绝。
这对 AI agent 尤其重要，因为 prompt 注入的存在。如果恶意 prompt 诱骗 agent 尝试读取 ~/.ssh/id_rsa 或 ~/Documents/tax-returns.pdf，这个尝试会在操作系统层面失败，而不是在应用层面。NanoClaw 的挂载验证代码中不存在可以被利用来绕过限制的 bug，因为限制是由 macOS 内核而非 NanoClaw 来执行的。
网络隔离同样重要。每个容器都有自己的网络命名空间，这意味着 agent 无法扫描本地网络，无法访问 localhost 上运行的其他服务，也无法与其他 agent 容器通信。唯一的网络访问是到 AI 提供商和 agent 正在浏览的网站的出站 HTTPS。这是对被攻破的 agent 试图横向移动到同一台机器上其他服务这类攻击的有效防御。
这对 Mac 用户意味着什么
如果你在 Mac 上运行 NanoClaw——这是个人使用最常见的部署方式——Apple Container 给你提供了 Docker 级别的隔离，而不需要 Docker Desktop。没有后台虚拟机吃掉 2-4GB 内存，没有需要管理的 Docker Desktop 许可证，没有需要在 NanoClaw 启动前就运行的 Docker 守护进程。
设置非常简单。NanoClaw 的引导脚本检测 macOS，检查 Apple Container，然后自动配置。如果没有安装 Apple Container，它回退到 Docker。如果两者都没有，它在没有容器隔离的情况下运行（会有警告）。目标是让容器隔离成为默认选项，而不是需要额外设置的可选功能。
对于评估在 macOS 和 Linux 混合环境中部署 NanoClaw 的团队来说，容器抽象意味着相同的配置在任何地方都能工作。无论是 Apple Container 还是 Docker 提供隔离，agent 的行为都是一样的。唯一的区别是性能——在这个指标上，Apple Silicon 上的 Apple Container 很难被超越。
Apple 构建 Container 不是为了 AI agent。他们是为自己的内部工具和需要在 macOS 上使用轻量级 Linux 环境的开发者构建的。但使它适合这些用例的特性——快速启动、低开销、强隔离、原生性能——恰恰也是 AI agent 沙箱所需要的。有时候，最适合某项工作的工具是为完全不同的工作而构建的。