Strands Box es el nuevo sandbox de código abierto de AWS para agentes de IA, presentado el 7 de octubre según The Register. Combina aislamiento a nivel del sistema operativo con otras herramientas abiertas de control que la empresa lanzó en los últimos meses. El objetivo declarado es mantener a raya lo que hace un agente autónomo.

"Los agentes corren cada vez más en 'modo YOLO', aprobando cada acción sin revisión humana", explicó el equipo de AWS en su anuncio. "La solución habitual a este problema es un sandbox... pero el acceso es solo una parte de lo que queremos controlar."

El problema de los contenedores

Según AWS, los contenedores y las microVM que se usan para aislar agentes ofrecen un aislamiento fuerte, pero no aplican reglas según el contexto. Cuando un agente encerrado en un contenedor o una máquina virtual consigue una herramienta, puede que nada le impida usarla como quiera. Por ejemplo, borrar una base de datos de producción o salir a internet.

Ahí entran las otras piezas de código abierto que trae Strands Box. Usa Dogwood Local Engine para darle memoria temporal al motor de políticas, de modo que cada llamada a una herramienta se revisa contra lo que el agente quiere hacer y también contra lo que ya hizo.

AWS dio un ejemplo. Un agente puede tener permiso para publicar avisos de estado en Slack, pero no más de tres veces cada diez minutos, para que no inunde de mensajes a sus operadores humanos. Un vocero de la empresa agregó que Box sirve para controlar cuándo un agente puede hacer un git push, o para ponerle tope a las llamadas a una API que podrían terminar costando una fortuna.

¿Cómo ve Box lo que intenta el agente?

Strands Box incluye además Strands Shell y Monty para Python, que exponen las operaciones de consola y de Python al mismo motor de políticas de Dogwood y a su historial de eventos. Así las acciones del agente quedan más claras para el desarrollador, y las políticas pueden considerar qué está intentando hacer el agente.

Marc Brooker, vicepresidente e ingeniero distinguido de AWS y uno de los responsables de Dogwood y Strands Box, explicó a The Register que los intérpretes son lo que vuelve legible la conducta de un agente. Con eso, los desarrolladores pueden escribir políticas más precisas para impedir acciones dañinas.

"Los intérpretes de Shell y Python de Box exponen operaciones como el borrado de archivos, mientras que sus gateways exponen las solicitudes a APIs y las llamadas a herramientas", escribió Brooker en un correo. "Las políticas pueden entonces considerar la acción que se intenta y la actividad anterior."

Box hace cumplir esas reglas sin confiar en que el agente obedezca las instrucciones, agregó Brooker.

Lo que el sandbox no resuelve

Sobre por qué AWS desarrolla herramientas abiertas como Dogwood, Dogwood Local Engine y Strands Box, Brooker dijo que la empresa busca el equilibrio correcto entre límites y políticas para evitar los desastres con agentes de IA que The Register reporta con frecuencia.

"Box aplica las políticas que configuran los desarrolladores, de forma determinista, y el agente no puede convencer a nadie para saltarse estas reglas", explicó Brooker. Igual reconoció que, incluso con los permisos bien configurados, una acción del agente puede producir un resultado no deseado.

"Los desarrolladores siguen siendo responsables de decidir qué acceso otorgar y dónde se necesita revisión humana", agregó.

"La seguridad de los agentes es un área donde la industria todavía tiene mucho trabajo por hacer, y estamos comprometidos a seguir invirtiendo en ella, tanto dentro de la nube de AWS como en código abierto", dijo Brooker.

Disponibilidad

Strands Box admite cualquier agente o harness que se quiera encerrar y ya está en GitHub, aunque por ahora solo para macOS. El soporte para Linux está en desarrollo, y AWS dijo que un cliente para Windows está "en nuestro radar", sin fecha de lanzamiento para ninguno de los dos. También está previsto el despliegue en plataformas como AgentCore, ECS y Kubernetes.