AWS, 에이전트가 '이미 한 일'을 보고 막는 오픈소스 샌드박스 'Strands Box' 공개

AWS가 내놓은 Strands Box의 특징은, 에이전트가 ’이미 한 일’을 기억해서 다음 행동을 막는다는 점이다.

AWS가 AI 에이전트의 행동을 제한하는 오픈소스 샌드박스 Strands Box를 10월 7일 개발자 프리뷰로 공개했다. 라이선스는 Apache 2.0이다. 샌드박스는 에이전트를 안전 상자 안에 가둬 두고 할 수 있는 일을 제한하는 장치다. 프리뷰 단계라 아직 쓸 수 있는 환경이 좁지만, 개발자가 코딩·DevOps 에이전트를 만들 때 쓸 수 있는 안전장치의 방향을 보여 준다.

무엇을 하는 도구인가

OS 수준 격리 + 정책 엔진: 에이전트를 운영체제 수준에서 가두고, 에이전트가 실행하는 셸 명령, 파이썬 스크립트, 네트워크 요청, MCP 도구 호출을 정책 엔진(Dogwood)에 통과시킨다. 정책 엔진은 이 행동을 허용할지 막을지를 판정한다. MCP는 AI가 외부 도구를 쓰는 연결 규격이다.
이전 행동을 기억하는 규칙: 컨테이너나 마이크로VM은 에이전트를 가둘 뿐 지금까지 무엇을 했는지 모른다. Strands Box는 에이전트가 이미 한 행동을 기준으로 규칙을 적용한다.
규칙 예시: Slack에 글을 올릴 수는 있지만 10분에 3번까지만 허용한다. 고객 데이터 폴더의 파일을 한 번 읽었다면 이후 외부 웹 요청을 막는다. API 비용에 상한을 거는 것도 가능하다고 전해졌다.

지금 쓸 수 있나

지원 환경: 프리뷰는 macOS 15 이상의 Apple silicon Mac만 지원한다.
로드맵: Linux 지원은 개발 중, Windows는 검토 대상이라고 전해졌지만 출시 일정은 없다. Bedrock AgentCore, ECS, Kubernetes 같은 배포 대상도 계획에만 있고 시점은 정해지지 않았다.
프레임워크: 일부 보도는 Strands Agents 생태계와 묶어 설명하지만, 특정 에이전트 프레임워크에 묶이지 않고 동작하는 것을 목표로 한다는 분석도 있다.

한계도 분명하다

AWS도 빈틈을 숨기지 않았다는 보도가 있다.

일부 내장 도구 동작은 정책 엔진 검사를 우회하고, 신뢰된 인터프리터는 샌드박스 밖에서 실행된다는 지적이 있다.
이 도구는 IAM(권한 관리), 모니터링, 사람의 감독을 대체하지 않는다. 완전한 격리가 아니라 ’유용한 제약’으로 보는 게 맞다.

원문에서 확인되지 않은 부분

“엔터프라이즈 환경에서 폭증하는 에이전트의 이탈 행동”이라는 표현이나 “실시간 모니터링”은 공식 설명에서 확인하지 못했다. 확인된 핵심은 격리와 이전 행동 기반 규칙이다.
“에이전트 가드레일 프레임워크가 공식화되었다”는 표현은 과장이다. 현재는 오픈소스 개발자 프리뷰이고 지원 환경도 제한적이다.

개발자에게 달라질 수 있는 것

아래는 보도를 바탕으로 한 추정과 조언이다.

프롬프트로 “하지 마”라고 쓰는 것만으로는 부족하다. 에이전트가 실제로 할 수 있는 행동 자체를 시스템에서 막는 방식이 표준이 될 가능성이 있다.
규칙은 ’횟수’와 ’순서’로 설계할 수 있다. 비율 제한, 민감 데이터를 읽은 뒤의 외부 통신 차단처럼 상태를 보는 규칙은 코딩·DevOps 에이전트에 특히 유용하다.
지금은 실험용으로 보는 게 맞다. Mac 전용 프리뷰라서 서버 배포에 바로 쓰기는 어렵다. 운영 환경에서는 IAM, 로그, 사람의 승인 같은 기존 장치를 그대로 유지해야 한다.
우회 경로를 점검하자. 도구가 막지 못하는 경로(내장 도구, 신뢰된 인터프리터)가 있다는 점을 전제로, 중요한 작업은 별도 승인 단계를 두는 편이 안전하다.

앞으로 볼 것

Linux·Windows 지원과 클라우드 배포 대상 일정, 정책 규칙 언어(Dogwood) 문서와 예제, 그리고 우회 사례가 어떻게 보고되고 고쳐지는지다.