AWS、エージェントが「すでにしたこと」を見て止めるオープンソースのサンドボックス「Strands Box」を公開
AWSのStrands Boxの特徴は、エージェントが「すでにしたこと」を覚えていて、次の行動を止める点にある。
AWSは、AIエージェント（ユーザーの代わりに複数の手順を自分で進めるAI）の行動を制限するオープンソースのサンドボックスStrands Boxを、10月7日に開発者プレビューとして公開した。ライセンスはApache 2.0（誰でも無料で使い、改変できるオープンソースのライセンスの一つ）だ。サンドボックスとは、エージェントを安全な箱の中に閉じ込め、できることを制限する仕組みを指す。プレビュー段階のため対応環境はまだ狭いが、コーディングやDevOps（ソフトウェアの配備や運用を自動化する仕事）のエージェントを作る開発者向けの安全対策がどこへ向かうかを示している。
何をするツールか
- OSレベルの隔離とポリシーエンジン：エージェントをオペレーティングシステムのレベルで隔離し、エージェントが実行するシェルコマンド、Pythonスクリプト、ネットワークリクエスト、MCPツール呼び出しをポリシーエンジン（Dogwood）に通す。ポリシーエンジンは、その行動を許可するか止めるかを判定する。MCPはAIが外部ツールを使うための接続規格だ。
- 過去の行動を覚えているルール：コンテナやマイクロVM（小さな仮想コンピューター）はエージェントを閉じ込めるだけで、それまでに何をしたかは知らない。Strands Boxは、エージェントがすでにした行動を基準にルールを適用する。
- ルールの例：Slackへの投稿は許可するが、10分に3回まで。顧客データのフォルダーのファイルを一度読んだら、その後の外部へのWebリクエストを止める。
いま使えるか
- 対応環境：プレビューはmacOS 15以降のApple silicon Macのみ対応している。
- ロードマップ：Linux対応は計画中だが時期は示されておらず、Windowsには触れられていない。AWSのBedrock AgentCoreやECS、Kubernetes（多数のコンテナをまとめて管理するオープンソースの仕組み）などのデプロイ先も目標として挙げられているだけで、時期は未定だ。
- フレームワーク：一部の報道はStrands Agentsのエコシステムと関連づけて説明しているが、特定のエージェントフレームワークに縛られずに動くことを目指しているという分析もある。
限界もはっきりしている
AWSは自社の記事で抜け穴を自ら明らかにしている。
- 設定ファイルで直接許可したパス（エージェントの組み込みのファイルツールが開くものなど）はOSが守るが、ルールの行動履歴には残らない。シェルとPythonのインタープリターはサンドボックスの外で動くため、信頼すべき範囲が広がる。AWSはこれを意図したトレードオフだと説明している。
- AWSの例も、IAM（権限管理）のロールで認証情報にできることを先に絞り、その上にBoxのルールを重ねる構造だ。つまりIAMを置き換えない。完全な隔離ではなく「役に立つ制約」と見るのが適切だ。
確認できなかった点
- 「エンタープライズ環境で急増するエージェントの逸脱行動」や「リアルタイムの監視」という表現は、公式の説明では確認できなかった。確認できた核心は、隔離と過去の行動に基づくルールだ。
- 「エージェントのガードレールのフレームワークが公式化された」という表現は誇張だ。現在はオープンソースの開発者プレビューで、対応環境も限られている。
開発者に起こりうる変化
以下は報道をもとにした筆者の推測と助言だ。
- プロンプトに「やるな」と書くだけでは足りない。 エージェントが実際にできないよう、システムの側で行動を止める方式が標準になる可能性がある。
- ルールは「回数」と「順序」で設計できる。 レート制限や、機密データを読んだ後の外部通信の遮断のような状態を見るルールは、コーディングやDevOpsのエージェントでとくに有用だ。
- いまは実験用と考えるのが妥当だ。 Mac専用のプレビューなので、サーバーへのデプロイには使いにくい。本番環境ではIAM、ログ、人による承認といった既存の仕組みを維持する必要がある。
- 迂回経路を点検する。 ツールが止められない経路（組み込みツール、信頼されたインタープリター）があることを前提に、重要な操作には別の承認段階を設けるほうが安全だ。
今後の注目点
Linux対応の時期とWindows対応の有無、クラウドのデプロイ先の時期、ポリシールール言語（Dogwood）のドキュメントと例、そして迂回の事例がどう報告され修正されるか。
出典
出典: aws.amazon.com