亚马逊云科技（AWS）推出了一款面向AI智能体的开源沙箱，允许开发者根据智能体此前的行为来限制其操作动作，以应对企业赋予自主系统更多应用与数据访问权限时所带来的安全风险。

这款工具名为Strands Box，将操作系统级隔离与约束智能体行为边界的策略结合在一起。它于10月7日以开发者预览版形式发布，采用Apache 2.0许可证，目前支持搭载Apple Silicon处理器的Mac电脑，且需运行macOS 15或更高版本。

用策略语言约束智能体行为

Strands Box借助由AWS开发的开源策略语言Dogwood及其配套的评估引擎，来判断某个动作是否应当被允许执行。该引擎可以把智能体在不同工具上的活动记录纳入考量，例如让一次经由shell命令的文件读取行为，触发对后续网络请求的限制。

AWS在一篇博文中表示：“设想一个正在排查生产环境故障的智能体。我们希望它能在发现线索时，把进展更新发布到Slack的故障频道，但不希望它刷屏，把人类的消息淹没。借助策略，可以允许该智能体发帖，但每10分钟不得超过3次。智能体可以继续排查，而Box会强制执行发帖次数限制，无需依赖智能体自己去记住这条规则。”

Strands Box会检查经由其shell和Python解释器以及模型上下文协议（MCP）代理路由的动作。默认情况下，其网络网关会根据策略评估出站请求，并能为获批的请求附加凭证，而不会向智能体暴露这些机密信息。

AWS表示，这一方法旨在提供独立于AI智能体框架的控制能力，减少对各个智能体内置权限机制的依赖。不过，它真正的优势或许不在于底层技术本身，而在于如何加以运用。

Pareekh Consulting首席执行官帕里克·贾恩（Pareekh Jain）表示：“Strands Box填补了一个真实存在的安全缺口，尽管其底层技术并不新鲜。它的主要优势在于，能让安全策略更容易在不同AI智能体框架之间一致地强制执行。”

安全增益伴随取舍

Dogwood的策略并未覆盖智能体可能采取的所有动作。例如，直接通过智能体运行时框架内置工具访问的文件，仍受操作系统级限制的约束，但不会被Dogwood的策略引擎评估。

AWS也承认，其shell和Python解释器作为受信任进程的一部分运行在沙箱之外，这扩大了系统所依赖的安全组件的数量。

贾恩提醒说，额外的安全控制可能增加处理开销，并引入本身可能含有漏洞的新组件。

Kadence International高级副总裁图利卡·希尔（Tulika Sheel）表示：“设计糟糕的策略可能会阻断智能体的合法动作，或带来运维复杂性，而过于宽松的策略则可能仍然留下缺口。”

贾恩说：“它无法阻止智能体在其被允许的权限范围内做出的每一个有害决定。企业仍将需要身份与访问管理（IAM）、监控以及人工监督。”

可移植性考验

AWS表示，希望把支持范围扩展到macOS之外，让开发者能够带着策略原封不动地把智能体部署到Amazon Bedrock AgentCore、Amazon ECS和Kubernetes等平台上。该公司尚未给出这些能力的时间表。

贾恩表示，一个通用的策略层可以让开发者专注于构建智能体，而安全团队负责维护统一的规则。他补充说，能否被广泛采用，将取决于更广泛的平台支持，以及策略执行会带来多大的开销。

希尔表示，开源路线有助于推广，但企业在广泛采用之前，需要拿到这些控制措施在生产环境中可靠运行的证据。

希尔说：“随着智能体变得越来越自主，行为控制可能会像今天的身份与访问管理一样，成为AI基础设施的基础能力。”