AWS publica Strands Box, un entorno aislado de código abierto que frena a los agentes según lo que ya han hecho

Lo que distingue a Strands Box, de AWS, es que recuerda lo que un agente ya ha hecho y lo usa para bloquear lo siguiente.

AWS publicó el 7 de octubre, como versión preliminar para desarrolladores, Strands Box. Es un entorno aislado (sandbox, una caja de seguridad que encierra a un programa y restringe lo que puede hacer) que limita lo que pueden hacer los agentes de IA, es decir, programas que realizan por su cuenta tareas de varios pasos para el usuario. Es de código abierto, con licencia Apache 2.0, una licencia libre que permite a cualquiera usar y modificar el código. Al ser una versión preliminar, los entornos compatibles aún son limitados, pero muestra hacia dónde van las salvaguardas para los desarrolladores que construyen agentes de código y de DevOps (automatizar el despliegue y la operación del software).

Qué hace la herramienta

Aislamiento a nivel del sistema operativo más un motor de políticas. Aísla al agente a nivel del sistema operativo y hace pasar por un motor de políticas (Dogwood) los comandos de shell, scripts de Python, solicitudes de red y llamadas a herramientas MCP que ejecuta el agente. El motor de políticas decide si permitir o bloquear cada acción. MCP es un estándar que permite a la IA usar herramientas externas.
Reglas que recuerdan las acciones previas. Los contenedores y las microVM (pequeños ordenadores virtuales) encierran a un agente pero no saben qué ha hecho. Strands Box aplica reglas según lo que el agente ya ha hecho.
Ejemplos de reglas. Dejar que el agente publique en Slack, pero solo tres veces cada diez minutos. Bloquear las solicitudes web salientes una vez que el agente ha leído un archivo de una carpeta de datos de clientes.

¿Se puede usar ya?

Entorno compatible. La versión preliminar solo admite Mac con Apple silicon con macOS 15 o posterior.
Hoja de ruta. La compatibilidad con Linux está prevista, sin fecha; Windows no se menciona. Destinos de despliegue como Bedrock AgentCore, ECS y Kubernetes (un sistema de código abierto que gestiona muchos contenedores) se presentan como objetivos, sin calendario.
Framework. Algunos informes lo describen junto al ecosistema Strands Agents, mientras que un análisis dice que busca funcionar de forma independiente de cualquier framework de agentes concreto.

Los límites también son claros

AWS reconoce abiertamente las carencias en su propia entrada.

Las rutas concedidas directamente en el archivo de configuración, por ejemplo para la herramienta de archivos integrada de un agente, las protege el sistema operativo pero no aparecen en el historial de acciones de las reglas. Los intérpretes de shell y Python se ejecutan fuera del sandbox, lo que obliga a confiar en más componentes; AWS lo describe como una concesión deliberada.
El ejemplo de AWS primero limita con un rol de IAM (gestión de permisos) lo que pueden hacer las credenciales y añade las reglas de Box por encima, así que no sustituye a IAM. Es mejor verlo como una restricción útil que como un confinamiento completo.

Afirmaciones que no pudimos confirmar

No pudimos confirmar en las descripciones oficiales las expresiones «comportamiento descontrolado de agentes en entornos empresariales» ni «monitorización en tiempo real». Lo confirmado es el aislamiento y las reglas basadas en acciones previas.
«Se ha oficializado un framework de barreras de protección para agentes» es una exageración. Hoy es una versión preliminar de código abierto para desarrolladores, con entornos limitados.

Qué podría cambiar para los desarrolladores

Lo que sigue es nuestra estimación y consejo a partir de los informes.

Escribir «no hagas eso» en un prompt (la instrucción que se le da a la IA) no basta. Bloquear acciones a nivel de sistema, de modo que el agente realmente no pueda realizarlas, podría convertirse en la norma.
Las reglas pueden tener en cuenta cuántas veces y en qué orden actúa el agente. Las reglas con estado, como los límites de frecuencia o el bloqueo del tráfico saliente tras leer datos sensibles, son especialmente útiles para agentes de código y de DevOps.
Tómalo como experimental por ahora. Una versión preliminar solo para Mac es difícil de usar en despliegues de servidor. En producción, mantén las salvaguardas existentes, como IAM, registros y aprobación humana.
Revisa las vías de elusión. Parte de la base de que hay caminos que la herramienta no puede bloquear (herramientas integradas, intérpretes de confianza) y pon un paso de aprobación aparte en las operaciones importantes.

Qué vigilar

El calendario de la compatibilidad con Linux, la posible compatibilidad con Windows y los destinos de despliegue en la nube, la documentación y los ejemplos del lenguaje de reglas (Dogwood) y cómo se notifican y corrigen los casos de elusión.