AWS lanza Strands Box, una sandbox de código abierto para frenar los desastres del 'modo YOLO' en agentes de IA

AWS ha presentado Strands Box, la última pieza de su creciente conjunto de herramientas de código abierto para mantener bajo control a los agentes de IA autónomos. La compañía plantea el problema de forma directa: cada vez más agentes operan en lo que llama "modo YOLO", aprobando cada acción sin revisión humana, y el riesgo de que algo salga mal crece en proporción a la autonomía que se les concede.

Según explica el equipo de AWS en su anuncio, la solución habitual a este problema ha sido el sandboxing mediante contenedores o microVMs, pero ese enfoque solo resuelve parte del problema: ofrece un aislamiento fuerte a nivel de acceso, mas no un control contextual de las reglas. Es decir, una vez que un agente aislado en un contenedor obtiene una herramienta, nada le impide usarla hasta el extremo de sus permisos, ya sea borrando una base de datos de producción o haciendo un uso descontrolado del acceso a internet.

Strands Box intenta cerrar esa brecha apoyándose en otras herramientas open source recientes de AWS, en particular el Dogwood Local Engine, que dota al motor de políticas de Box de "conciencia temporal": las llamadas a herramientas no se evalúan solo por lo que el agente quiere hacer en ese momento, sino también por lo que ya ha hecho antes. El ejemplo que pone AWS es el de un agente autorizado a publicar actualizaciones de estado en Slack, pero limitado a un máximo de tres mensajes cada diez minutos para evitar que sature a los operadores humanos. Un portavoz de AWS añadió que Box también puede usarse para controlar cuándo un agente puede ejecutar un "git push", o para imponer un tope a las llamadas a una API y evitar facturas desorbitadas.

La herramienta incluye además dos componentes adicionales: Strands Shell y Monty para Python, que exponen las operaciones de shell y de Python al mismo motor de políticas de Dogwood y a su historial de eventos, haciendo más legibles las acciones de los agentes para los desarrolladores. Marc Brooker, vicepresidente y distinguished engineer de AWS y una de las personas detrás de Dogwood y Strands Box, explicó a The Register que estos intérpretes son clave para hacer más inteligible el comportamiento agéntico: "Los intérpretes de shell y Python de Box exponen operaciones como el borrado de archivos, mientras que sus gateways exponen las solicitudes a APIs y las llamadas a herramientas. Las políticas pueden entonces tener en cuenta tanto la acción que se intenta realizar como la actividad previa", señaló.

Brooker subrayó que Box aplica esas reglas sin depender de que el propio agente decida seguir las instrucciones: "Box aplica las políticas que configuran los desarrolladores, de forma determinista, y el agente no puede hablar para evadir estas reglas". Aun así, matizó que incluso con permisos bien configurados una acción agéntica puede producir un resultado no deseado, por lo que "los desarrolladores siguen siendo responsables de decidir qué acceso conceder y dónde se necesita revisión humana". En otras palabras: el modo YOLO puede atenuarse, pero no eliminar por completo la necesidad de supervisión humana. Brooker fue explícito sobre el estado del campo: "La seguridad de los agentes es un área en la que la industria todavía tiene mucho trabajo pendiente, y estamos comprometidos a seguir invirtiendo en ella, tanto dentro de la nube de AWS como en código abierto".

El propio contexto editorial en el que aparece esta noticia es revelador: por esas mismas fechas, The Register publicaba otro artículo señalando fallos de seguridad en AgentCore, el servicio de AWS para ejecutar agentes, relacionados con tokens transmitidos en metadatos, aislamiento débil de máquinas virtuales y permisos demasiado amplios. Esa coincidencia ilustra bien la tensión de fondo: mientras la industria despliega agentes cada vez más autónomos, las herramientas de control —incluidas las de la propia AWS— todavía están madurando y conviven con vulnerabilidades reales.

Strands Box es compatible con cualquier agente o "harness" que se quiera confinar y ya está disponible en GitHub, aunque por ahora solo para macOS. El soporte para Linux está en desarrollo y un cliente para Windows está "en el radar" de AWS, sin fecha de lanzamiento confirmada para ninguno de los dos. También está prevista su integración con plataformas como AgentCore, ECS y Kubernetes.

En conjunto, Strands Box se suma a una estrategia de AWS que ya incluía Dogwood y el Dogwood Local Engine, reforzando la idea de que la compañía quiere posicionarse como proveedor de la capa de gobernanza y seguridad para la IA agéntica, no solo de la infraestructura que la ejecuta. Es una apuesta razonable dado el momento: a medida que más organizaciones delegan tareas operativas en agentes con acceso a sistemas de producción, herramientas, APIs de pago y repositorios de código, la diferencia entre un aislamiento meramente técnico y un control que entienda el contexto e historial de las acciones puede ser la que separe un incidente menor de un desastre operativo. Aun así, como reconoce el propio Brooker, ninguna herramienta de este tipo sustituye el criterio humano a la hora de decidir qué permisos otorgar y dónde trazar la línea de la revisión manual.