AWS Strands Box: sandbox open source cu politici pentru agenți IA

Pe 7 octombrie 2026, Amazon Web Services a publicat Strands Box, un sandbox open source pentru agenți de inteligență artificială. Combină izolarea la nivelul sistemului de operare cu un motor de politici care decide, acțiune cu acțiune, ce are voie să facă agentul, ținând cont și de ce a făcut deja. Este în previzualizare pentru dezvoltatori, sub licența Apache 2.0, și deocamdată funcționează doar pe Mac.

Problema de la care pornește AWS este cunoscută de oricine folosește agenți pentru a scrie cod sau a automatiza activități: tot mai des, agenții lucrează în „modul YOLO”, adică își aprobă singuri fiecare acțiune, fără verificare umană. Containerele și microVM-urile izolează bine agentul, dar nu aplică reguli legate de context: odată ce agentul are un instrument, nimic nu-l împiedică să-l folosească după bunul plac, de exemplu ștergând o bază de date de producție sau ieșind pe internet.

Cum funcționează

Potrivit anunțului AWS și articolelor The Register și CSO Online, Strands Box reunește mai multe componente open source ale companiei:

• Dogwood, un limbaj de politici dezvoltat de AWS, cu motorul său de evaluare. Versiunea locală a motorului (Dogwood Local Engine) păstrează un istoric al evenimentelor: fiecare apel către un instrument este comparat nu doar cu ce vrea agentul să facă, ci și cu ce a făcut înainte, inclusiv cu alte instrumente.
• Strands Shell și Monty for Python, interpretoare de shell și Python care expun motorului de politici fiecare operație concretă, cum ar fi ștergerea unui fișier. Astfel, politicile se pot referi la acțiunea reală, nu la o comandă generică.
• Un broker MCP (Model Context Protocol), prin care trec apelurile către instrumente externe.
• Un gateway de rețea care, implicit, evaluează fiecare cerere de ieșire în raport cu politicile și poate atașa credențialele cererilor aprobate fără să i le arate vreodată agentului.

Exemplele date de surse arată tipul de control:

• un agent care investighează un incident poate publica actualizări în canalul de Slack, dar nu mai mult de trei ori la fiecare zece minute, ca să nu acopere mesajele oamenilor;
• poți stabili când are voie agentul să facă un git push;
• poți pune o limită apelurilor API, pentru a evita costuri scăpate de sub control;
• potrivit CSO Online, citirea unui fișier prin shell poate declanșa restricții asupra cererilor de rețea ulterioare. Este schema necesară împotriva exfiltrării: agentul citește mai întâi o informație confidențială, apoi încearcă s-o trimită în afară.

Marc Brooker, vicepreședinte și distinguished engineer la AWS, a explicat pentru The Register că Box aplică politicile în mod determinist, fără să se bazeze pe faptul că agentul respectă instrucțiunile: agentul nu poate convinge sistemul să facă o excepție. Tot Brooker precizează însă că, chiar și cu permisiuni bine configurate, o acțiune permisă poate avea efecte nedorite și că rămâne în sarcina dezvoltatorilor să decidă ce acces acordă și unde este nevoie de verificare umană.

AWS prezintă controalele ca fiind independente de framework-ul agentului: Strands Box acceptă orice agent sau harness și reduce dependența de mecanismele de autorizare integrate în fiecare agent.

Limite recunoscute

CSO Online relatează câteva limite pe care chiar AWS le recunoaște:

• acoperire parțială: fișierele citite sau scrise direct cu instrumentele integrate în harness-ul agentului rămân supuse restricțiilor sistemului de operare, dar nu trec prin motorul de politici Dogwood;
• mai multe componente de încredere: interpretoarele de shell și Python rulează în afara sandbox-ului, într-un proces considerat de încredere. Securitatea întregului sistem depinde deci și de ele.

Analiștii intervievați de CSO Online adaugă că aceste controale pot aduce un cost de procesare și componente noi cu propriile vulnerabilități; că politicile scrise prost pot bloca acțiuni legitime sau pot lăsa goluri; și că niciun sandbox nu împiedică o decizie dăunătoare luată în limitele permisiunilor acordate. Este în continuare nevoie de gestionarea identităților și a accesului, de monitorizare și de supraveghere umană.

Platforme și disponibilitate

Codul este pe GitHub. Potrivit CSO Online, în prezent necesită Mac cu procesoare Apple silicon și macOS 15 sau mai nou. Suportul pentru Linux este în dezvoltare, iar un client pentru Windows este „în atenția” AWS, fără termene. AWS vrea să permită și distribuirea agenților cu politicile lor pe Amazon Bedrock AgentCore, Amazon ECS și Kubernetes, dar nu a anunțat un calendar.

Impactul pentru companiile europene și italiene

Strands Box nu corectează o vulnerabilitate: este un instrument în previzualizare, care trebuie evaluat. Este util mai ales ca model de control pentru cine introduce agenți IA în procesele companiei. Astăzi privește, în practică, Mac-urile dezvoltatorilor care folosesc agenți de programare; pentru servere și pipeline-uri de producție va trebui așteptat suportul pentru Linux și integrările anunțate.

Pentru entitățile supuse NIS2, agenții care acționează cu credențialele și rețeaua companiei intră în măsurile de gestionare a riscurilor de la articolul 21: controlul accesului, securitatea lanțului de aprovizionare și a dezvoltării, înregistrarea activității. Un agent care își aprobă singur fiecare acțiune este, de fapt, un cont privilegiat fără supraveghere.

Ce e de făcut acum

1. Fă inventarul agenților folosiți: ce agenți de programare și automatizare rulează pe stații de lucru și servere, cu ce credențiale și dacă vreunul lucrează cu aprobare automată.
2. Dacă încerci Strands Box, fă-o pe Mac-uri de dezvoltare, nu pe sisteme de producție: este o previzualizare. Pornește de la câteva politici clare: destinații de rețea permise, limite de frecvență, git push și ștergeri doar cu confirmare, credențiale injectate de gateway și niciodată lăsate în variabilele de mediu ale agentului.
3. Închide golurile cunoscute: dezactivează sau limitează instrumentele de fișiere integrate în harness, care ocolesc motorul de politici, și ține la zi interpretoarele care rulează în afara sandbox-ului.
4. Cu sau fără Strands Box: credențiale dedicate și minime pentru fiecare agent, ieșire spre internet doar către destinații permise, verificare umană pentru acțiunile ireversibile (ștergeri, lansări în producție, plăți) și o modalitate de a opri agentul imediat.
5. Înregistrează acțiunile agenților și trimite logurile către o arhivă centrală, ca să poți reconstitui ce s-a întâmplat dacă o acțiune permisă produce pagube.

Cum ajută ARXDOME

Agentul ARX Sentry, inclusiv pe macOS, colectează loguri, evenimente și inventarul de software și procese și verifică integritatea fișierelor în folderele stabilite: te ajută să vezi ce instrumente de IA rulează efectiv pe stațiile de lucru și să observi modificările neașteptate. ARX Shield verifică hardening-ul mașinilor după benchmark-urile CIS, arată vulnerabilitățile deschise pe pachet, inclusiv pe cele ale componentelor nou instalate, și permite izolarea din rețea a unei mașini suspecte.

Ultima actualizare: 9 octombrie 2026