OpenTelemetry 畢業之後怎麼走?Docker 同步端出「預設安全」新戰略
CNCF Blog、Docker Blog · 2026-08-31
CNCF 與 Docker 於 2026 年 8 月 31 日同一天各自發布部落格文章:CNCF 回顧 OpenTelemetry 今年 5 月正式取得 Graduated 畢業等級後的社群現況,Docker 則說明旗下多項產品如何貫徹「預設安全」(secure by default)原則。兩篇文章分別代表可觀測性標準化與容器供應鏈防護,是維運團隊當前最關切的兩個方向。
OpenTelemetry 正式躋身 CNCF 畢業等級,但治理挑戰才剛開始
CNCF 已於 2026 年 5 月 21 日正式宣布 OpenTelemetry 從孵化(Incubating)升級為畢業(Graduated)等級,與 Kubernetes、Prometheus 並列 CNCF 最高成熟度專案。根據 CNCF 統計,該專案累積超過 12,000 名貢獻者、來自 2,800 多家公司,專案活躍度在 240 多個 CNCF 專案中僅次於 Kubernetes。JavaScript 與 Python 版 API 過去 12 個月下載量分別達 13.6 億與 13 億次,雙雙在 2026 年 4 月創下單月新高。
畢業申請的追蹤議題 cncf/toc#1739 顯示,OTel 從 2021 年 8 月 11 日進入孵化階段,到 2025 年 5 月 31 日正式送件申請畢業,期間完成第三方資安稽核(2024 年 1 月)並取得 OpenSSF 最佳實踐徽章,治理委員會也修訂章程明訂「同一組織最多兩席」規則以避免單一廠商把持。專案目前由超過 120 位、跨 15 家以上公司的維護者共同支撐,可觀測性四大訊號(追蹤、指標、日誌、剖析 profiling)中,剖析是最新升級為 alpha 階段的訊號。CNCF 部落格文章指出,畢業後的重點將轉向讓終端使用者委員會(End User SIG)參與更多路線圖決策,避免治理僅由供應商主導。
Docker 從映像檔到 Sandboxes,全面收斂到「預設安全」
Docker 在同日發布的部落格文章中主張,容器與 AI 代理工作流的第一道防線必須從「預設」就收斂攻擊面,而非事後修補。文中點名 Docker Hardened Images 可將基礎映像檔的套件數量削減、攻擊面最多降低 95%,且皆附簽署過的 SBOM 與建置來源證明(build provenance),上游 CVE 修復後 7 天內會同步釋出對應的強化映像檔更新。
另一項機制是 Docker Sandboxes——以 microVM 隔離執行 AI 代理,避免代理直接觸碰主機憑證。其發版紀錄顯示近期迭代速度相當快:
| 版本 | 發布日期 | 重點變更 |
|---|---|---|
v0.38.0 | 2026-08-06 | 新增 sbx mcp 將 MCP 伺服器管理列為一級功能,並導入 kit spec v2 規格 |
v0.39.0 | 2026-08-19 | 新增 .sbxenv.yaml 宣告式環境設定、sbx prune 批次清理、Sigstore 簽署 kit 驗證 |
維運者可用 sbx prune 指令批次清理已停止的 sandbox,且保證不會誤刪仍在執行中的實例:
sbx prune --older-than 24hDocker 文章也提到,MCP Catalog and Toolkit 透過閘道(gateway)在請求進入外部系統前先完成驗證、授權與紀錄,加上 Docker Scout 在建置期即可擋下不合規映像檔、以及最長 5 年的延伸生命週期支援(Extended Lifecycle Support)修補,共同構成 Docker 對「預設安全」的完整主張。
原始來源:CNCF 官方畢業公告、cncf/toc#1739、Docker Blog、Docker Sandboxes Release Notes