AWS publica Strands Box, un entorno aislado de código abierto que frena a los agentes según lo que ya han hecho

Lo que distingue a Strands Box, de AWS, es que recuerda lo que un agente ya ha hecho y lo usa para bloquear lo siguiente.

AWS publicó el 7 de octubre, como versión preliminar para desarrolladores, Strands Box, un entorno aislado (sandbox) de código abierto que limita lo que pueden hacer los agentes de IA, con licencia Apache 2.0. Un sandbox es una caja de seguridad que encierra a un agente y restringe lo que puede hacer. Es una versión preliminar, así que los entornos compatibles aún son estrechos, pero muestra hacia dónde van las salvaguardas para los desarrolladores que construyen agentes de código y de DevOps.

Qué hace la herramienta

Aislamiento a nivel del sistema operativo más un motor de políticas. Aísla al agente a nivel del sistema operativo y hace pasar por un motor de políticas (Dogwood) los comandos de shell, scripts de Python, solicitudes de red y llamadas a herramientas MCP que ejecuta el agente. El motor de políticas decide si permitir o bloquear cada acción. MCP es un estándar que permite a la IA usar herramientas externas.
Reglas que recuerdan las acciones previas. Los contenedores y las microVM encierran a un agente pero no saben qué ha hecho. Strands Box aplica reglas según lo que el agente ya ha hecho.
Ejemplos de reglas. Dejar que el agente publique en Slack, pero solo tres veces cada diez minutos. Bloquear las solicitudes web salientes una vez que el agente ha leído un archivo de una carpeta de datos de clientes. Según se informa, también se puede poner un tope al gasto en API.

¿Se puede usar ya?

Entorno compatible. La versión preliminar solo admite Mac con Apple silicon con macOS 15 o posterior.
Hoja de ruta. Se informa de que la compatibilidad con Linux está en desarrollo y la de Windows en estudio, pero sin fechas. Destinos de despliegue como Bedrock AgentCore, ECS y Kubernetes están previstos sin calendario.
Framework. Algunos informes lo describen junto al ecosistema Strands Agents, mientras que un análisis dice que busca funcionar de forma independiente de cualquier framework de agentes concreto.

Los límites también son claros

Según los informes, la propia AWS es franca sobre las carencias.

Algunas acciones de herramientas integradas, según se informa, eluden las comprobaciones del motor de políticas, y los intérpretes de confianza se ejecutan fuera del sandbox.
La herramienta no sustituye a IAM (gestión de permisos), la monitorización ni la supervisión humana. Es mejor verla como una restricción útil que como un confinamiento completo.

Afirmaciones que no pudimos confirmar

No pudimos confirmar en las descripciones oficiales las expresiones «comportamiento descontrolado de agentes en entornos empresariales» ni «monitorización en tiempo real». Lo confirmado es el aislamiento y las reglas basadas en acciones previas.
«Se ha oficializado un framework de barreras de protección para agentes» es una exageración. Hoy es una versión preliminar de código abierto para desarrolladores, con entornos limitados.

Qué podría cambiar para los desarrolladores

Lo que sigue es nuestra estimación y consejo a partir de los informes.

Escribir «no hagas eso» en un prompt no basta. Bloquear acciones a nivel de sistema, de modo que el agente realmente no pueda realizarlas, podría convertirse en la norma.
Las reglas pueden diseñarse por número y orden. Las reglas con estado, como los límites de frecuencia o el bloqueo del tráfico saliente tras leer datos sensibles, son especialmente útiles para agentes de código y de DevOps.
Tómalo como experimental por ahora. Una versión preliminar solo para Mac es difícil de usar en despliegues de servidor. En producción, mantén las salvaguardas existentes, como IAM, registros y aprobación humana.
Revisa las vías de elusión. Parte de la base de que hay caminos que la herramienta no puede bloquear (herramientas integradas, intérpretes de confianza) y pon un paso de aprobación aparte en las operaciones importantes.

Qué vigilar

El calendario de la compatibilidad con Linux y Windows y de los destinos de despliegue en la nube, la documentación y los ejemplos del lenguaje de reglas (Dogwood) y cómo se notifican y corrigen los casos de elusión.