La Skill de guardrails le pide al agente que confirme; lo que contiene el daño es el Sandbox. En tu diagrama aparecen uno debajo del otro, pero funcionan de forma distinta.
docker-destructive-guardrails es un texto que el agente lee antes de decidir qué comando emitir. En la revisión del PR que la agregó (docker/skills#17) se explica que el runtime decide la confirmación después y por su cuenta, y que en modo Autonomous aprueba todo, así que la fricción que la Skill promete para borrar volúmenes no se aplica. En cambio, según la documentación de Sandboxes, cada VM corre su propio Docker Engine y el agente no tiene camino al daemon del host. Ahí, un docker system prune -a solo borra lo que está dentro del sandbox.
Para un equipo que adopta esto, yo usaría una regla simple: si una restricción tiene que cumplirse siempre, va en el sandbox o en la configuración de permisos; si vive solo en la Skill, es una recomendación. Y haría una prueba una vez: ejecutar el prune dentro del sandbox y comprobar que docker images en el host no cambió.