AWS Strands Box: sandbox open source con policy per agenti IA

Il 7 ottobre 2026 Amazon Web Services ha pubblicato Strands Box, una sandbox open source per agenti di intelligenza artificiale. Unisce l’isolamento a livello di sistema operativo a un motore di policy che decide, azione per azione, che cosa l’agente può fare, tenendo conto anche di quello che ha già fatto. È in anteprima per sviluppatori, con licenza Apache 2.0, e per ora funziona solo su Mac.

Il problema da cui parte AWS è noto a chi usa agenti per scrivere codice o automatizzare attività: sempre più spesso gli agenti lavorano in modalità «YOLO», cioè approvano da soli ogni azione senza revisione umana. Container e microVM isolano bene l’agente, ma non applicano regole legate al contesto: una volta che l’agente ha in mano uno strumento, nulla gli impedisce di usarlo come vuole, per esempio cancellando un database di produzione o uscendo su internet.

Come funziona

Secondo il comunicato di AWS e quanto riportato da The Register e CSO Online, Strands Box mette insieme diversi componenti open source dell’azienda:

• Dogwood, un linguaggio di policy sviluppato da AWS, con il suo motore di valutazione. La versione locale del motore (Dogwood Local Engine) tiene la cronologia degli eventi: ogni chiamata a uno strumento viene confrontata non solo con ciò che l’agente vuole fare, ma con ciò che ha fatto prima, anche con strumenti diversi.
• Strands Shell e Monty for Python, interpreti di shell e Python che espongono al motore di policy le singole operazioni, come la cancellazione di un file. In questo modo le policy possono riferirsi all’azione concreta e non a un comando generico.
• Un broker MCP (Model Context Protocol), da cui passano le chiamate agli strumenti esterni.
• Un gateway di rete che, in modo predefinito, valuta ogni richiesta in uscita rispetto alle policy e può aggiungere le credenziali alle richieste approvate senza mai mostrarle all’agente.

Gli esempi citati dalle fonti danno l’idea del tipo di controllo:

• un agente che indaga su un incidente può pubblicare aggiornamenti nel canale Slack, ma non più di tre volte ogni dieci minuti, per non sommergere i messaggi delle persone;
• si può stabilire quando l’agente può fare un git push;
• si può mettere un tetto alle chiamate API, per evitare costi fuori controllo;
• secondo CSO Online, la lettura di un file tramite la shell può far scattare restrizioni sulle richieste di rete successive. È lo schema che serve contro l’esfiltrazione: prima l’agente legge un dato riservato, poi tenta di inviarlo fuori.

Marc Brooker, vicepresidente e distinguished engineer di AWS, ha spiegato a The Register che Box applica le policy in modo deterministico, senza affidarsi al fatto che l’agente segua le istruzioni: l’agente non può convincere il sistema a fare un’eccezione. Lo stesso Brooker precisa però che anche con permessi configurati bene un’azione consentita può avere effetti indesiderati, e che resta agli sviluppatori decidere quali accessi concedere e dove serve la revisione umana.

AWS presenta i controlli come indipendenti dal framework dell’agente: Strands Box accetta qualsiasi agente o harness e riduce la dipendenza dai meccanismi di autorizzazione integrati nei singoli agenti.

Limiti dichiarati

CSO Online riporta alcuni limiti che AWS stessa riconosce:

• copertura parziale: i file letti o scritti direttamente con gli strumenti integrati nell’harness dell’agente restano soggetti alle restrizioni del sistema operativo, ma non passano dal motore di policy Dogwood;
• componenti fidati in più: gli interpreti di shell e Python girano fuori dalla sandbox, in un processo considerato fidato. La sicurezza dell’insieme dipende quindi anche da loro.

Gli analisti sentiti da CSO Online aggiungono che i controlli possono introdurre un costo di elaborazione e nuovi componenti con vulnerabilità proprie; che policy scritte male possono bloccare azioni legittime o lasciare scoperture; e che nessuna sandbox impedisce una decisione dannosa presa dentro i permessi concessi. Servono ancora gestione delle identità e degli accessi, monitoraggio e supervisione umana.

Piattaforme e disponibilità

Il codice è su GitHub. Secondo CSO Online, oggi richiede Mac con processori Apple silicon e macOS 15 o successivo. Il supporto per Linux è in sviluppo e un client Windows è «nei radar» di AWS, senza date. AWS vuole anche permettere di distribuire gli agenti con le loro policy su Amazon Bedrock AgentCore, Amazon ECS e Kubernetes, ma non ha indicato tempi.

Impatto per le aziende europee e italiane

Strands Box non corregge una vulnerabilità: è uno strumento in anteprima, da valutare. È utile soprattutto come modello di controllo per chi sta portando agenti IA nei processi aziendali. Oggi riguarda in pratica le postazioni Mac degli sviluppatori che usano agenti di programmazione; per i server e le pipeline di produzione bisogna aspettare Linux e le integrazioni annunciate.

Per i soggetti NIS2, gli agenti che agiscono con credenziali e rete dell’azienda rientrano nelle misure di gestione dei rischi dell’articolo 21: controllo degli accessi, sicurezza della catena di fornitura e dello sviluppo, registrazione delle attività. Un agente che approva da solo ogni azione è, di fatto, un account privilegiato senza supervisione.

Cosa fare subito

1. Censisci gli agenti in uso: quali agenti di programmazione e automazione girano sulle postazioni e sui server, con quali credenziali, e se qualcuno lavora in approvazione automatica.
2. Se provi Strands Box, fallo su Mac di sviluppo e non su sistemi di produzione: è un’anteprima. Parti da poche policy chiare: destinazioni di rete consentite, limiti di frequenza, git push e cancellazioni solo con conferma, credenziali iniettate dal gateway e mai lasciate nelle variabili d’ambiente dell’agente.
3. Chiudi le scoperture note: disattiva o limita gli strumenti di file integrati nell’harness, che sfuggono al motore di policy, e tieni aggiornati gli interpreti che girano fuori dalla sandbox.
4. Con o senza Strands Box: credenziali dedicate e minime per ogni agente, uscita verso internet solo verso destinazioni consentite, revisione umana per le azioni irreversibili (cancellazioni, rilasci in produzione, pagamenti) e un modo per fermare l’agente subito.
5. Registra le azioni degli agenti e invia i log a un archivio centrale, così da poter ricostruire cosa è successo se un’azione consentita produce un danno.

Come aiuta ARXDOME

L’agent di ARX Sentry, anche su macOS, raccoglie log, eventi, inventario di software e processi e controlla l’integrità dei file nelle cartelle stabilite: aiuta a capire quali strumenti di IA girano davvero sulle postazioni e a notare modifiche inattese. ARX Shield verifica l’hardening delle macchine secondo i benchmark CIS, mostra le vulnerabilità aperte per pacchetto, comprese quelle dei nuovi componenti installati, e permette di isolare dalla rete una macchina sospetta.

Ultimo aggiornamento: 9 ottobre 2026