速看，AWS 发布免费AI Agent 沙箱 Strands Box

数世咨询

2026年10月14日 16:00
河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

*▍*以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

AWS 发布了 Strands Box，这是一款面向 AI Agent 的开源沙箱工具，将操作系统级隔离与策略规则结合起来。在允许 Agent 执行下一步操作之前，系统可以结合它此前已经执行过的行为进行判断。

目前，Strands Box 仍处于开发者预览阶段，支持搭载 Apple Silicon 的 Mac，Linux 支持也已列入后续计划。

如果你使用过编程助手，那么应该很熟悉 Strands Box 所针对的问题。

AI Agent 会读取文件、执行 Shell 命令、运行自己生成的代码并调用 API，而且现在很多 Agent 会运行在 AWS 所称的 “YOLOMode” 下，也就是所有操作都自动批准，不再经过人工确认。

在这种状态下，Agent 可能离开原本的工作目录、执行破坏性命令，或者读取本不属于它的凭证。

容器和 microVM 可以限制 Agent 能够访问的范围，但一旦某个工具已经进入这一隔离边界，单纯的隔离机制并不能决定 Agent 应该如何使用它。

所有出口都必须经过策略检查

Strands Box 将 Agent 放在由内核强制执行的沙箱中。

在 macOS 上，它使用 Seatbelt 实现隔离，并将 Agent 的 Shell 命令、Python 代码、工具调用以及网络流量，统一经过四个检查点：

• Shell 解释器
• Python 解释器
• MCP Server Broker
• 网络流量网关

AWS 相关设计文章作者 Marc Brooker 表示，沙箱的目标是确保：

“策略层是离开 Box 的唯一出口。”

每个检查点都会向 Dogwood Local Engine 查询当前操作是否可以执行。

Dogwood 是 AWS 今年开源的一种策略语言。对于所有经过策略引擎检查的操作，默认都会被拒绝，除非存在明确规则允许执行。

四个检查点会共同写入一份共享事件历史，因此策略规则可以跨工具关联不同操作。

例如，如果 Agent 读取了客户数据目录中的某个文件，策略就可以阻止它随后发起对外 HTTP 请求，而无需关心此前读取文件的动作究竟是通过 Shell 命令还是 Python 脚本完成的。

Brooker 给出的示例还包括：

只有在测试通过之后才允许 Agent 执行 git push，或者把支付 API 的调用额度限制在每天 100 美元以内。

在 AWS 的演示中，一个事件响应 Agent 可以在 10 分钟内向 Slack 发送 3 条消息。

当它尝试发送第 4 条消息时，系统会返回 HTTP 403，并明确指出触发了哪条策略规则，因此 Agent 可以据此判断需要等待。

网络网关也负责保护 Secrets

Strands Box 的网络网关还会处理 Secrets。

对于已经配置的 API Key，Agent 实际持有的只是一个占位 Token。

当请求真正离开沙箱时，网关才会将占位值替换为真实凭证。

对于 AWS API 调用，网关还会负责对请求进行签名。

因此，即使 Agent 将自己的环境变量全部输出，也只能看到这些凭证的占位符，而不是实际的密钥内容。

Strands Box 解决不了什么

如果用户在 box.toml 中直接把某些文件授权给 Agent，那么这些文件的访问权限只由操作系统进行隔离。

对这些文件的读取和写入行为，并不会进入策略引擎，也不会被记录到共享事件历史中。

如果希望某条策略能够控制某个文件，就不能把它直接加入授权列表，而应该让 Agent 通过解释器访问该文件。

Brooker 表示：

“我们认为，这种方式能够很好地解决客户在真实环境中遇到的 Agent 隔离问题，但这一领域不存在没有代价的方案。”

“尤其是，Strands Box 需要信任更多代码——安全人员通常会把这称为可信计算基（Trusted Computing Base）——其中还包含解释器和协议拦截器这类复杂组件。”

“我们使用 Rust 构建这些代码，并投入了大量测试、模糊测试和验证工作来提升安全性。但现实是，代码越多，出现 Bug 的机会就越多，而在这个场景中，Bug 可能意味着策略被绕过。”

策略本身也存在使用门槛

策略规则的编写同样需要投入。

Brooker 承认，Dogwood 策略在阅读和编写上可能比较困难。

不过，他表示，目前的前沿编程 Agent 已经能够较好地生成这类策略，AWS 也为此提供了专门的策略编写 Skill。

后续规划中还包括一款 CLI 工具，用于自动检测已经安装的 Agent Harness，并生成基础版 box.toml 和初始策略。

目前，Strands Box 已在 GitHub 免费开源。

\* 注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。

— 【 THE END 】—