AWS открыла Strands Box — песочницу с правилами для действий AI-агентов

Когда агенту дают терминал, доступ к файлам и внешним сервисам, обычная песочница решает лишь часть задачи: она ограничивает среду, но не обязательно различает допустимые и опасные действия внутри неё. AWS представила Strands Box как открытую песочницу, которая сочетает изоляцию на уровне операционной системы с правилами для операций агента. Она рассчитана не только на агентов из собственного набора Strands: по заявлению AWS, внутри можно запускать разные агентские системы и управляющие обвязки.

Правила проверяются вне самого агента: безопасность не зависит от того, послушается ли он инструкции в чате. Для этого Box использует Dogwood Local Engine — механизм, который учитывает историю событий. Политика может смотреть не только на очередной вызов инструмента, но и на то, что агент уже успел сделать. Пример AWS — разрешить отправку обновлений в Slack, но не чаще трёх раз за десять минут. Аналогично можно ограничить условия для Git push или число вызовов платного API.

Чтобы проверять действия достаточно точно, системе нужно видеть за общей командой конкретную операцию. В Strands Box для этого включены Strands Shell и Monty для Python: они открывают механизму политик операции в оболочке и Python и связывают их с историей событий. Так можно задать правило для удаления файлов, а через шлюзы — для API-запросов и вызовов инструментов. Разработчик получает более понятную картину действий агента и может писать ограничения для них, а не пытаться угадать все опасные формулировки запросов.

Такой подход особенно полезен там, где агенту нужен реальный доступ для работы, но постоянное ручное подтверждение каждого шага мешает процессу. Вместо выбора между полным запретом и автоматическим одобрением всех действий команда может заранее задать пределы: какие операции допустимы, в какой последовательности и с какой частотой. AWS подчёркивает, что настроенные политики исполняются независимо от попыток агента обойти их словами; ответственность за выбор прав и случаев обязательной проверки человеком всё равно остаётся у разработчика.

Исходный код Strands Box уже доступен на GitHub, но пока инструмент работает только на macOS. Поддержка Linux находится в разработке, а клиент для Windows AWS лишь рассматривает. Это важно учитывать перед внедрением: даже корректно ограниченный политиками агент может выполнить разрешённое действие с нежелательным результатом, поэтому для чувствительных операций песочница не заменяет продуманные права доступа и человеческий контроль.