Strands Box ги затвора AI-агентите, а политиката одлучува што смеат

|Автор: Уредувачки тим на QUASA|5 мин. читање
Strands Box ги затвора AI-агентите, а политиката одлучува што смеат

AWS во објавата од 7 октомври 2026 година го претстави Strands Box како developer preview: песочник со отворен код под лиценцата Apache 2.0 за AI-агенти. Изолацијата на оперативниот систем ограничува до кои датотеки, програми и мрежни одредишта агентот може директно да стигне. Вградениот Dogwood Local Engine одлучува за дејствата што минуваат низ посредниците на Box, според напишана политика и забележани претходни операции.

Тековниот preview е наменет за локално извршување на Mac со Apple silicon и macOS 15 или понова верзија, како што наведува InfoWorld. За тим што извршува агенти на Linux сервери, ова е суштинско ограничување на достапноста, а не само ознака за зрелоста на производот. Прашањето за продукција затоа почнува со платформата, а потоа со границите на изолацијата и со тоа кои операции политиката навистина ги гледа.

Изолацијата одредува каде агентот може директно да пристапи

На поддржаниот macOS, Strands Box го користи Seatbelt за да ги спроведе директните дозволи зададени во box.toml. Конфигурацијата ја опишува командата на агентот, работната папка, директниот пристап до датотеки, достапните алатки и мрежните одредишта. Ако агентската програма се обиде самостојно да отвори патека надвор од тие дозволи, оперативниот систем ја поставува границата пред содржината да стигне до процесот.

Тука постои важна разлика меѓу недостапна патека и патека што е директно дозволена. Вграден читач на датотеки во агентската програма може да отвори дозволен проектен директориум без да повика Shell или Python посредник. Таквото читање и понатаму е ограничено од Seatbelt, но не создава поединечна одлука и настан во историјата на Dogwood. Затоа политика што зависи од претходно читање чувствителна датотека не може да реагира на него ако читањето го заобиколило нејзиниот посредник.

Оперативниот систем не ја разбира целта на командата. Дозволата да се пристапи до проектен директориум не кажува дали агентот ќе измени изворен код или ќе избрише потребни датотеки. Таа разлика се решава на местото каде што Box може да ја види конкретната операција врз датотеката.

Dogwood решава за операцијата и за редоследот

Dogwood во Strands Box одлучува за бришење датотеки пред Shell да ја изврши операцијата.

Во policy.dw се пишуваат правила за дејства што минуваат низ Strands Shell, Python толкувачот Monty, посредникот за MCP и мрежниот излез. Тие компоненти работат во доверливиот процес на Box, надвор од изолираниот процес на агентот, и бараат од Dogwood одлука пред да извршат контролирано дејство. Правилата можат да ја земат предвид програмата, патеката до датотеката, мрежниот домен, методот и патеката на HTTP барањето или аргументите на MCP повикот.

За операциите што Dogwood ги проверува, правилото мора да дозволи дејство; забрана може да ја надвладее дозволата. Така Strands Shell може да разложи барање за бришење на операции врз конкретни датотеки и да го сопре бришењето пред извршување, додека уредување што политиката го дозволува продолжува. Ова е попрецизно од општа дозвола агентот да стартува Shell, бидејќи одлуката го опфаќа ефектот на командата.

Заедничката историја им овозможува на правилата да поврзат различни алатки: читање датотека преку Shell или Python може да влијае врз подоцнежно излезно HTTP барање. Мрежниот посредник може и да замени привремен токен со вистински акредитив само при дозволено барање, па тајната не влегува во опкружувањето на агентот. Тоа го штити самиот акредитив, но опсегот на дозволените одредишта и дејства и понатаму зависи од конфигурацијата.

Три ризици бараат различни контроли

Читање тајна. Во условно сценарио агентот бара датотека со акредитиви надвор од работната папка. Директното отворање треба да го прекине границата на оперативниот систем; ако барањето оди преку толкувач на Box, Dogwood треба да го одбие читањето според патеката и операцијата. Тајна по грешка сместена во директно дозволена папка го менува исходот: агентот може да ја прочита без тоа читање да влезе во историјата на политиката. За дозволен API повик, мрежниот посредник може да го приложи акредитивот при испраќањето, без агентот да ја добие неговата вистинска вредност.

Излегување од работната папка. Условен агент се обидува да отвори или измени датотека надвор од дозволениот опсег. Неговите директни системски повици ги ограничува Seatbelt; кога работата минува низ Shell или Python, политиката одлучува за конкретното читање, запишување или бришење. Затоа директните дозволи во box.toml и правилата во policy.dw мора да се гледаат заедно: премногу широка директна дозвола ја отстранува можноста Dogwood да го оцени секој пристап.

Опасна инфраструктурна команда. Во условен одговор на инцидент агентот смее да чита CloudWatch логови преку AWS CLI, но не смее да менува ресурси. Правило што дозволува стартување на програмата aws само по себе не разликува безопасна од опасна поткоманда; мрежната политика одлучува и кои барања ќе поминат. Одделно, IAM улогата зад привремените акредитиви треба да дава само овластувања за читање. Ако таа улога дозволува измени, широко правило за CLI и мрежен излез остава ризик што самиот песочник не го решава.

Developer preview и границата за продукциска употреба

Strands Box во одделна MicroVM ја спроведува политиката во облачна сесија изолирана од другите сесии.

Локалната поддршка за Mac овозможува испробување на конфигурација и политика, но не ја прави истата поставка достапна на Linux сервер. Проширувањето на оперативните системи, полесното создавање конфигурација и пренесувањето на Box со распоредени агенти се најавени насоки, без потврден рок за испорака. Оттука, тим што планира облачно извршување треба да го третира тој распоред како идна можност, а не како веќе поддржана продукциска конфигурација.

Постои и граница во самиот дизајн: Shell и Python толкувачите, MCP посредникот и мрежниот излез се делови на кои спроведувањето на политиката им верува. Повеќе таков код значи повеќе места каде што грешка може да ја наруши контролата. Во архитектонското објаснување на Strands Agents се препорачува посебна MicroVM за секоја сесија при облачно извршување со повеќе корисници, со Box внатре во неа. Таа граница меѓу сесиите е одделна од локалната одлука дали агентот смее да прочита датотека, да повика алатка или да испрати барање.

Прочитајте и:

Сподели:

Поврзани статии

Претплатете се на нашиот билтен

Добивајте ги најновите вести за Web3, AI и крипто директно во вашето сандаче.

0