Strands Box, software abierto que aísla agentes de IA

AWS anunció el lanzamiento de Strands Box en vista de desarrollador, un sandbox local de código abierto que no necesita máquina virtual, ni imagen de contenedor, ni un sistema operativo invitado que provisionar. La licencia es Apache 2.0, el repositorio se abrió días antes del anuncio y el texto oficial lo firma Fernando Dingler en el blog de código abierto de la compañía.

La propuesta tiene dos capas bien separadas. La contención corre a cargo del sistema operativo, que encierra el proceso del agente y decide a qué ficheros y programas llegan sus llamadas, con el sandbox Seatbelt de macOS como mecanismo actual. La política se escribe en Dogwood, un lenguaje compatible con Cedar que añade operadores temporales, y se evalúa en cuatro sitios: shell, Python, red y MCP.

Ese diseño responde a un problema que este medio ha cubierto en las últimas semanas: los agentes se escapan. Claude Opus 5.5 intentó salir de su entorno aislado o manipularlo en el 1,5% de las ejecuciones sin salvaguardas, según la tarjeta de sistema que Anthropic publicó el 22 de septiembre. La respuesta de AWS no es un modelo mejor educado, sino una caja que decide fuera del agente y deniega por defecto.

¿Cómo separan el aislamiento y las reglas?

El punto de partida de AWS es una distinción que su equipo repite en la documentación: el aislamiento resuelve dónde puede llegar el agente, pero no qué hace una vez que ha llegado. Un contenedor o una microVM levantan una frontera sólida y, al mismo tiempo, dejan al agente con todo lo que haya dentro de ella a su disposición.

Box usa los mecanismos del sistema operativo para forzar que la única salida de la caja sea la capa de política, que así queda en espacio de usuario y puede razonar sobre lenguaje, protocolo y sistema de ficheros. Los permisos de contención salen de `box.toml`, que declara qué ficheros y qué programas puede tocar el proceso del agente.

La política vive en `policy.dw` y la evalúa el motor local incrustado: lo que ningún permiso autoriza se rechaza, y una prohibición que encaje se impone sobre cualquier permiso. Es la misma tecnología de AgentCore Policy para agentes en la nube.

El detalle que separa a Box de una lista de permitidos es el historial compartido. Los dos intérpretes y la pasarela leen y escriben el mismo registro de eventos, de modo que una lectura de ficheros puede condicionar una petición de red posterior. El shell es Strands Shell y el Python es Monty, el proyecto de Pydantic.

¿Qué son las políticas que miran el pasado?

Lo que AWS destaca es la política semántica: una regla puede mirar la secuencia de acciones y el tiempo, no solo la petición actual. Marc Brooker, vicepresidente e ingeniero distinguido de la compañía, puso dos ejemplos en su análisis: permitir un `git push` únicamente si las pruebas han pasado, y dejar que un agente use una API de pagos con un tope de cien dólares al día.

Las reglas se escriben con la sintaxis de Cedar, el lenguaje de políticas que AWS desarrolló para sus servicios, y se evalúan con operadores temporales. El ejemplo de la compañía encadena dos acciones distintas: prohíbe todo `git push` salvo que un `npm test` haya terminado con código 0 dentro de la hora anterior.

La comparación de AWS con lo que ya existe apunta al mismo sitio. Los arneses comerciales traen sus avisos y sus listas de autorizadas, pero viven dentro del proceso del agente y juzgan la llamada, no su efecto. Un arnés ve «ejecuta este comando» y no ve los ficheros que va a tocar. Box se presenta como agnóstico: el mismo `box.toml` y el mismo `policy.dw` sirven para el CLI de Strands, para Claude Code y para Codex CLI.

Manteniendo secretos lejos del agente

La inyección de credenciales convierte la pasarela de egreso en la única frontera de secretos de la caja. El agente recibe un marcador de posición, la pasarela termina el TLS de la conexión, consulta a la política si esa petición se autoriza y sustituye el marcador por la clave real antes de reenviarla. Para los servicios de AWS, la firma SigV4 la añade también la pasarela.

El reparto tiene una consecuencia que conviene entender antes de desplegar nada: la caja, y no cada proceso, es la frontera de credenciales. El agente, cada herramienta y cada servidor MCP pueden usar cualquier credencial declarada en `box.toml`. Si dos programas necesitan secretos distintos, la recomendación es separarlos en dos cajas.

El argumento de la compañía es que esas piezas permiten decidir con reglas contextuales. Un agente que investiga un incidente puede leer registros sin poder cambiarlos, porque leer y escribir son operaciones distintas para el motor. La misma idea sostiene el tope diario para una API de pagos.

¿Dónde acaba el alcance de la política?

La política ve lo que pasa por Box, y eso deja un hueco que la documentación reconoce sin adornos. Las herramientas de fichero integradas de un arnés abren ficheros desde el propio proceso del agente: la contención limita hasta dónde llegan, pero ninguna regla registra esas lecturas y escrituras. Para que cada cambio pase por la política hay que darle al agente una shell como única herramienta de ficheros, que es lo que hacen las guías de Strands, de Claude Code y de Codex CLI.

El soporte se limita hoy a macOS 15 o posterior sobre Apple Silicon, así que Linux queda fuera y Windows tampoco está en la tabla. Ampliarlo es una de las prioridades de AWS, pero sin fechas públicas, igual que para Bedrock AgentCore, ECS o Kubernetes.

Conviene mirar la letra pequeña. El software está en la serie 0.1.x y la documentación avisa de que la configuración, las acciones y las banderas pueden cambiar entre versiones: conviene fijar versión al descargar. La guía pide un Mac con Apple silicon, macOS 15 o superior y acceso a Claude Opus 5 en Bedrock en us-west-2.

Queda el capítulo de confianza. Box tiene más código que auditar que un simple envoltorio de Seatbelt, porque incluye intérpretes y traductores de protocolo. Está escrito en Rust y sometido a pruebas y fuzzing, pero AWS reconoce que más código significa más errores posibles en la única frontera que separa al agente del sistema. Por eso la recomendación oficial para despliegues multiusuario en la nube es combinar Box con una microVM por sesión.

¿Por qué una caja en vez de un modelo obediente?

Con ese contexto, la lectura del anuncio cambia de tono. Los incidentes del último año no fueron fallos de aislamiento en el sentido clásico, sino fronteras mal dibujadas. En su investigación sobre incidentes recientes, Anthropic describe ejecuciones en las que un modelo salió del entorno de evaluación de un socio externo y llegó a infraestructuras de producción con técnicas básicas como contraseñas débiles y puntos sin autenticar. En el mismo patrón cae el enjambre de agentes que en julio se coordinó por un tablón improvisado dentro de un gestor de paquetes y acabó golpeando Hugging Face.

Strands Box no responde con alineamiento, sino con ingeniería: saca la decisión del proceso del agente, la pone en un motor que deniega por defecto y la ata a un historial que el propio agente no puede reescribir. El banco de pruebas público del Instituto de Seguridad de IA del Reino Unido para medir escapes encontró que los modelos de frontera identifican y explotan las vulnerabilidades cuando están presentes. Box no arregla la fiabilidad del modelo, y su documentación lo admite: acota hasta dónde puede llegar, y el límite pasa a ser una decisión escrita y verificable.

La auditoría que falta

La pregunta útil para quien despliegue agentes con acceso a sistemas reales no es si Box es elegante por dentro, sino quién audita su base de confianza. Un intérprete de shell modificado, un motor de políticas y un traductor de MCP son superficie de ataque suficiente como para exigir revisión independiente, y de momento el proyecto es una vista previa de AWS con su propio equipo detrás. Habrá que esperar a que terceros reproduzcan el modelo de seguridad y publiquen sus hallazgos.

El objetivo declarado de AWS es que la política viaje con el agente: el mismo `box.toml` y el mismo `policy.dw` en el portátil del desarrollador y en un despliegue sobre AgentCore, ECS o Kubernetes, sin reescribir reglas por el camino. Si eso llega, y si Linux entra en la lista, la conversación sobre agentes autónomos tendrá por fin un objeto concreto que auditar en lugar de una promesa de alineamiento.