AWS Strands Box: sandbox open source con políticas para agentes IA

El 7 de octubre de 2026 Amazon Web Services publicó Strands Box, una sandbox open source para agentes de inteligencia artificial. Combina el aislamiento a nivel de sistema operativo con un motor de políticas que decide, acción por acción, qué puede hacer el agente, teniendo en cuenta también lo que ya ha hecho. Está en vista previa para desarrolladores, con licencia Apache 2.0, y por ahora solo funciona en Mac.

El problema del que parte AWS lo conoce bien quien usa agentes para escribir código o automatizar tareas: cada vez más, los agentes trabajan en «modo YOLO», es decir, aprueban por sí mismos cada acción sin revisión humana. Los contenedores y las microVM aíslan bien al agente, pero no aplican reglas ligadas al contexto: una vez que el agente tiene una herramienta, nada le impide usarla como quiera, por ejemplo borrando una base de datos de producción o saliendo a internet.

Cómo funciona

Según el anuncio de AWS y lo publicado por The Register y CSO Online, Strands Box reúne varios componentes open source de la empresa:

• Dogwood, un lenguaje de políticas desarrollado por AWS, con su motor de evaluación. La versión local del motor (Dogwood Local Engine) guarda un historial de eventos: cada llamada a una herramienta se compara no solo con lo que el agente quiere hacer, sino con lo que hizo antes, también con otras herramientas.
• Strands Shell y Monty for Python, intérpretes de shell y Python que exponen al motor de políticas cada operación concreta, como el borrado de un archivo. Así las políticas pueden referirse a la acción real y no a un comando genérico.
• Un broker MCP (Model Context Protocol), por el que pasan las llamadas a herramientas externas.
• Un gateway de red que, por defecto, evalúa cada petición saliente frente a las políticas y puede añadir las credenciales a las peticiones aprobadas sin mostrárselas nunca al agente.

Los ejemplos que dan las fuentes muestran el tipo de control:

• un agente que investiga un incidente puede publicar actualizaciones en el canal de Slack, pero no más de tres veces cada diez minutos, para no tapar los mensajes de las personas;
• puedes decidir cuándo el agente puede hacer un git push;
• puedes poner un límite a las llamadas a API, para evitar costes descontrolados;
• según CSO Online, la lectura de un archivo mediante la shell puede activar restricciones sobre las peticiones de red posteriores. Es el esquema necesario contra la exfiltración: primero el agente lee un dato confidencial y luego intenta enviarlo fuera.

Marc Brooker, vicepresidente y distinguished engineer de AWS, explicó a The Register que Box aplica las políticas de forma determinista, sin depender de que el agente siga las instrucciones: el agente no puede convencer al sistema de hacer una excepción. El propio Brooker precisa, sin embargo, que incluso con permisos bien configurados una acción permitida puede tener efectos no deseados, y que sigue correspondiendo a los desarrolladores decidir qué accesos conceder y dónde hace falta revisión humana.

AWS presenta los controles como independientes del framework del agente: Strands Box acepta cualquier agente o harness y reduce la dependencia de los mecanismos de autorización integrados en cada agente.

Límites reconocidos

CSO Online recoge algunos límites que la propia AWS reconoce:

• cobertura parcial: los archivos leídos o escritos directamente con las herramientas integradas en el harness del agente siguen sujetos a las restricciones del sistema operativo, pero no pasan por el motor de políticas Dogwood;
• más componentes de confianza: los intérpretes de shell y Python se ejecutan fuera de la sandbox, en un proceso considerado de confianza. La seguridad del conjunto depende también de ellos.

Los analistas consultados por CSO Online añaden que los controles pueden introducir un coste de procesamiento y nuevos componentes con sus propias vulnerabilidades; que unas políticas mal escritas pueden bloquear acciones legítimas o dejar huecos; y que ninguna sandbox impide una decisión dañina tomada dentro de los permisos concedidos. Siguen haciendo falta gestión de identidades y accesos, monitorización y supervisión humana.

Plataformas y disponibilidad

El código está en GitHub. Según CSO Online, hoy requiere Mac con procesadores Apple silicon y macOS 15 o posterior. El soporte para Linux está en desarrollo y un cliente para Windows está «en el radar» de AWS, sin fechas. AWS también quiere permitir desplegar los agentes con sus políticas en Amazon Bedrock AgentCore, Amazon ECS y Kubernetes, pero no ha dado plazos.

Impacto para las empresas europeas e italianas

Strands Box no corrige una vulnerabilidad: es una herramienta en vista previa que hay que evaluar. Es útil sobre todo como modelo de control para quien está llevando agentes de IA a los procesos de la empresa. Hoy afecta en la práctica a los Mac de los desarrolladores que usan agentes de programación; para servidores y pipelines de producción habrá que esperar a Linux y a las integraciones anunciadas.

Para las entidades sujetas a NIS2, los agentes que actúan con las credenciales y la red de la empresa entran en las medidas de gestión de riesgos del artículo 21: control de accesos, seguridad de la cadena de suministro y del desarrollo, registro de la actividad. Un agente que aprueba solo cada acción es, en la práctica, una cuenta privilegiada sin supervisión.

Qué hacer ya

1. Haz inventario de los agentes en uso: qué agentes de programación y automatización se ejecutan en puestos de trabajo y servidores, con qué credenciales, y si alguno trabaja con aprobación automática.
2. Si pruebas Strands Box, hazlo en Mac de desarrollo y no en sistemas de producción: es una vista previa. Empieza con pocas políticas claras: destinos de red permitidos, límites de frecuencia, git push y borrados solo con confirmación, credenciales inyectadas por el gateway y nunca en las variables de entorno del agente.
3. Cierra los huecos conocidos: desactiva o limita las herramientas de archivos integradas en el harness, que escapan al motor de políticas, y mantén actualizados los intérpretes que se ejecutan fuera de la sandbox.
4. Con o sin Strands Box: credenciales dedicadas y mínimas para cada agente, salida a internet solo hacia destinos permitidos, revisión humana para las acciones irreversibles (borrados, despliegues en producción, pagos) y una forma de detener el agente de inmediato.
5. Registra las acciones de los agentes y envía los logs a un archivo central, para poder reconstruir lo ocurrido si una acción permitida causa daños.

Cómo ayuda ARXDOME

El agente de ARX Sentry, también en macOS, recoge logs, eventos e inventario de software y procesos, y controla la integridad de los archivos en las carpetas elegidas: te ayuda a saber qué herramientas de IA se ejecutan realmente en los puestos de trabajo y a detectar cambios inesperados. ARX Shield verifica el hardening de las máquinas según los benchmarks CIS, muestra las vulnerabilidades abiertas por paquete, incluidas las de los componentes recién instalados, y permite aislar de la red una máquina sospechosa.

Última actualización: 9 de octubre de 2026