亚马逊云科技（AWS）推出了一款面向 AI 智能体的开源沙箱，允许开发者根据智能体此前的行为限制其操作，旨在应对企业赋予自主系统更多应用和数据访问权限时带来的安全风险。
该工具名为 Strands Box，将操作系统级隔离与规范智能体行为的策略相结合。它于 10 月 7 日在 Apache 2.0 许可证下以开发者预览版发布，目前支持运行 macOS 15 或更高版本的搭载 Apple 芯片的 Mac。
Strands Box 使用 AWS 开发的开源策略语言 Dogwood 及其配套的评估引擎来判断是否应允许智能体执行某项操作。该引擎可以将智能体在不同工具中的记录活动纳入考量，例如，通过 shell 命令读取文件可以触发对后续网络请求的限制。
“设想一个正在调查生产事故的智能体，”AWS 在一篇博文中表示。“我们希望它在发现问题时向 Slack 中的事故频道发布进展更新，但不要刷屏以至于淹没人类的更新。策略可以允许智能体发布消息，但每 10 分钟不超过三次。智能体可以继续调查，而 Box 会强制执行发布限制，无需依赖智能体自己记住这一规则。”
Strands Box 会检查通过其 shell 和 Python 解释器以及其 Model Context Protocol（MCP）代理路由的操作。默认情况下，其网络网关会根据策略评估出站请求，并可以为已批准的请求附加凭证，而不会将密钥暴露给智能体。
AWS 表示，该方法旨在提供独立于 AI 智能体框架的控制措施，减少对各个智能体内置权限机制的依赖。然而，其真正的优势可能不在于底层技术，而在于如何应用它。
“Strands Box 填补了一个真实的安全空白，尽管其底层技术并不新颖，”Pareekh Consulting 首席执行官 Pareekh Jain 表示。“其主要优势在于让安全措施更容易在不同 AI 智能体框架之间一致地强制执行。”
安全收益伴随着权衡取舍
Dogwood 的策略并不覆盖智能体可以执行的所有操作。例如，通过智能体框架内置工具直接访问的文件仍受操作系统级限制的约束，但不会被 Dogwood 的策略引擎评估。
AWS 也承认，其 shell 和 Python 解释器作为受信任进程的一部分在沙箱之外运行，这扩大了系统安全所依赖的组件数量。
Jain 警告称，额外的安全控制可能会增加处理开销，并引入本身可能存在漏洞的新组件。
“设计不当的策略可能会阻止合法的智能体操作或造成运营复杂性，而过于宽松的策略仍可能留下漏洞，”Kadence International高级副总裁Tulika Sheel表示。
“它无法阻止智能体在其被允许的权限范围内做出的每一个有害决策，”Jain说。“企业仍然需要IAM、监控和人工监督。”
Strands Box面临可移植性考验
AWS表示，希望将支持范围扩展到macOS之外，使开发者能够在Amazon Bedrock AgentCore、Amazon ECS和Kubernetes等平台上部署策略完好无损的智能体。该公司尚未提供这些能力的时间表。
Jain表示，一个通用的策略层可以让开发者专注于构建智能体，同时让安全团队维护通用规则。他补充说，采用程度将取决于更广泛的平台支持以及策略执行引入的开销有多大。
Sheel表示，开源方式可能有助于采用，但企业需要证据表明这些控制措施在生产环境中可靠运行，才会广泛采用。
“随着智能体变得更加自主，行为控制可能会像今天的身份和访问管理一样，成为AI基础设施的基本组成部分，”Sheel说。
转载声明：本文为转载整理，原文版权归原作者及原站点所有。
原文来源：InfoWorld
原文作者：Prasanth Aby Thomas；如有侵权，请联系管理员删除。
