AWS выпустила Strands Box - открытую песочницу для ИИ-агентов
7 октября AWS представила Strands Box - открытую песочницу для запуска ИИ-агентов в режиме developer preview. Проект под лицензией Apache 2.0 сочетает изоляцию операционной системы с правилами Dogwood, которые могут учитывать не только запрошенное действие, но и предыдущие шаги агента. Правило, например, может разрешать агенту публиковать обновления в канал, но ограничить число сообщений за промежуток времени. Сейчас разработчики начинают с macOS; расширение поддержки других операционных систем заявлено как дальнейшая работа. Box адресует риск того, что агенту нужны команды и API, но контейнерной границы недостаточно для задания подробных условий использования этих возможностей.
Что изменилось
Изоляция дополнена правилами действий
Strands Box разделяет контроль на containment и policy. Операционная изоляция задает, к каким файлам, процессам и сетевым ресурсам агент может обращаться; правила Dogwood могут разрешать или отклонять отдельные операции внутри этой границы. Это помогает выразить контекстные ограничения, которые трудно обеспечить только контейнером, например разрешить чтение журнала, но запретить изменение инфраструктуры. При этом сама политика действует лишь на операции, проходящие через предусмотренные точки контроля, поэтому нужно понимать, какой инструмент и путь доступа использует агент.
Правила могут учитывать историю
По описанию AWS, локальный движок Dogwood видит общую историю событий из оболочки, Python-интерпретатора, сетевого шлюза и брокера MCP. Поэтому правило может связать действия через разные интерфейсы: после чтения файла с данными клиентов запретить внешние HTTP-запросы или ограничить число публикаций в Slack. Исторические правила помогают контролировать последовательность, а не только отдельный вызов. Но правило должно быть тщательно протестировано: неверно сформулированное условие может заблокировать легитимную работу или оставить неожиданный обход через инструмент, который не проходит через перехватчик.
Управление охватывает команды, сеть и MCP
AWS перечисляет точки применения политики для сетевых запросов, Shell, Python и MCP-серверов. Правила могут ограничивать читаемые и изменяемые пути, команды, HTTP-методы и адреса, а также доступные инструменты. Выходящий трафик проходит через шлюз, где можно привязать секреты так, чтобы агент не получал их напрямую. Это полезная модель снижения риска утечки, однако разработчику нужно проверить, что все сетевые маршруты действительно проходят через шлюз и что журнал не содержит ключей. Credentials все равно должны иметь минимальные права и срок действия.
Проект пока в раннем preview для macOS
Strands Box опубликована под лицензией Apache 2.0 в developer preview и на старте ориентирована на macOS. AWS прямо называет поддержку других операционных систем одним из следующих приоритетов. Компания также планирует упростить настройку и расширить варианты развертывания. Следовательно, это пока не универсальная готовая служба для всех корпоративных агентов, а экспериментальная инфраструктура для разработчиков, готовых изучить конфигурацию и политики. Перед использованием нужно проверить совместимость с конкретной оболочкой агента, ограничения ОС, обновления проекта и модель поддержки.
Песочница не отменяет проверку сценария
Пример AWS показывает, как ограничить частоту сообщений в инцидентном канале. Владелец процесса должен решить, какие действия агенту разрешены и как оцениваются последствия ошибочного разрешения. Изоляция не доказывает правильность ответа модели и не защищает от действий, которые явно разрешены политикой, но вредны в данном контексте. В производственной среде нужны тесты запретов, аудит реальных отказов, обновление политик вместе с инструментами и человеческое подтверждение для удаления, платежа или изменения учетной записи.
Как проверить песочницу до подключения рабочего агента
AWS выпустила Strands Box в developer preview под лицензией Apache 2.0. Проект объединяет macOS-изоляцию с Dogwood Local Engine и правилами для сетевых запросов, shell, Python и MCP. Правила могут учитывать историю и ограничивать последовательности действий. AWS указывает, что другие операционные системы пока входят в планы, а политики применяются к операциям в доступных точках контроля. Значит, зрелость проекта и полноту перехвата нужно оценивать для собственной связки инструментов.
Поднимите тестовую песочницу без production-секретов и проверьте каждую точку: чтение и запись файлов, удаление, команду shell, Python-запрос, HTTP и MCP. Попробуйте запретить доступ за рабочий каталог, лимитировать повторное действие и закрыть сетевой выход после чтения чувствительного тестового файла. Изучите логи решения и убедитесь, что ключи не попали в окружение или вывод. Повторите тест после обновления Box и инструмента агента, так как новые интерфейсы могут изменить путь доступа.
Проект ранний и на дату объявления поддерживает macOS. Любая политика ограничена операциями, проходящими через соответствующие точки контроля. Наличие песочницы не гарантирует правильность разрешенных действий или ответа модели.
Что это дает пользователю
Для первого опыта запустите агента на тестовом каталоге без реальных учетных данных и проверьте отдельно чтение, запись, сетевой запрос и вызов MCP.
Опишите правила доступа до подключения модели, включая частоту действий и последовательности, после которых сетевой доступ должен закрываться.
Попробуйте намеренно запрещенные операции и убедитесь, что отказ происходит на уровне Box, а журнал не раскрывает секреты.
До внедрения в рабочий процесс проверьте поддержку нужной ОС и инструментария, а также процедуру обновления политики и отката.
Что нужно учитывать
На дату анонса проект находится в developer preview и поддерживает macOS; другие операционные системы еще в планах.
Политика видит только действия, проходящие через реализованные точки контроля; сторонний инструмент может менять границы наблюдения.
Песочница ограничивает доступ, но не гарантирует корректность ответа агента или безопасность каждой разрешенной операции.
Коротко
Strands Box предлагает разработчикам более точный контроль за агентом: изоляцию среды можно дополнить правилами, зависящими от конкретной операции и предыдущих событий. Это перспективно для команд, которые дают агенту доступ к коду, терминалу и API. Однако проект еще ранний и ограничен macOS, а реальная надежность зависит от полноты перехвата инструментов, качества политики и тщательного тестирования до доступа к рабочим данным.