AWS推出Strands Box沙盒工具，遏制AI智能体失控行为

亚马逊云科技（AWS）推出了一款面向AI智能体的开源沙盒工具，允许开发者根据智能体先前的行为来限制其后续操作，旨在应对企业赋予自主系统更大应用和数据访问权限时所带来的安全风险。

这款名为Strands Box的工具将操作系统级隔离与控制智能体行为的策略相结合。该工具于10月7日以Apache 2.0许可证发布开发者预览版，目前支持运行macOS 15或更高版本、搭载苹果自研芯片的Mac设备。

Strands Box使用了AWS开发的开源策略语言Dogwood，以及配套的评估引擎来判断智能体是否可以执行某项操作。该引擎能够综合考量智能体在不同工具中的历史操作记录，例如，通过shell命令进行的文件读取操作可以触发对后续网络请求的限制。

“设想一个正在调查生产事故的智能体，”AWS在一篇博文中表示，“我们希望它在发现问题时能向Slack事件频道发布进度更新，但不希望它刷屏淹没人工发布的更新。策略可以允许智能体发布消息，但限制为每10分钟不超过3次。智能体可以持续调查，而Box会执行发布限制，不需要依赖智能体自行记住这一规则。”

Strands Box会对通过其shell和Python解释器以及模型上下文协议（MCP）代理路由的操作进行检查。默认情况下，其网络网关会根据策略评估出站请求，并能在不向智能体暴露密钥的情况下，为已批准的请求附加认证凭据。

AWS表示，这种方法旨在提供独立于AI智能体框架之外的控制机制，减少对各个智能体内置权限机制的依赖。不过，其真正的优势可能不在于底层技术本身，而在于其应用方式。

Pareekh Consulting首席执行官Pareekh Jain表示：“Strands Box解决了一个真实存在的安全缺口，尽管其底层技术并非新技术。它的主要优势在于，让安全策略能够在不同的AI智能体框架之间更容易地保持一致执行。”

Dogwood的策略并不能覆盖智能体所能执行的所有操作。例如，通过智能体运行环境内置工具直接访问的文件，仍受操作系统级别的限制约束，但不会经过Dogwood策略引擎的评估。

AWS也承认，其shell和Python解释器作为可信进程的一部分运行在沙盒之外，这增加了该系统所依赖的组件数量。

Jain提醒称，额外的安全控制可能会增加处理开销，并引入新的组件，而这些组件本身也可能存在漏洞。

Kadence International高级副总裁Tulika Sheel表示：“设计不佳的策略可能会阻碍智能体的合法操作或造成运营复杂性，而过于宽松的策略仍可能留下安全漏洞。”

“它无法阻止智能体在其被允许的权限范围内做出的每一个有害决策，”Jain表示，“企业仍然需要身份与访问管理（IAM）、监控机制以及人工监督。”

AWS表示希望将支持范围扩展到macOS之外，并让开发者能够在Amazon Bedrock AgentCore、Amazon ECS以及Kubernetes等平台上部署智能体时保持策略完整。该公司尚未公布这些功能的具体时间表。

Jain表示，统一的策略层可以让开发者专注于构建智能体，同时安全团队维护通用规则。他补充说，该方案的采用程度将取决于更广泛的平台支持情况，以及策略执行所带来的开销大小。

Sheel表示，开源方式有助于推动采用，但企业在大规模采用这些控制机制之前，需要证据证明其在生产环境中能够可靠运行。

Sheel表示：“随着智能体变得越来越自主，行为控制可能会像身份与访问管理如今在AI基础设施中的地位一样，变得至关重要。”

Q&A

Q1：Strands Box是什么？它的主要功能是什么？

A：Strands Box是亚马逊云科技（AWS）推出的一款开源沙盒工具，用于限制AI智能体的行为。它结合操作系统级隔离与策略控制，能够根据智能体先前的行为记录，对其后续操作进行限制，比如限制发布消息的频率或网络请求的权限。

Q2：Strands Box目前支持哪些平台？

A：目前Strands Box处于开发者预览阶段，于2025年10月7日以Apache 2.0许可证发布，仅支持运行macOS 15或更高版本、搭载苹果自研芯片的Mac设备。AWS表示未来计划扩展支持范围，覆盖Amazon Bedrock AgentCore、Amazon ECS和Kubernetes等平台，但尚未公布具体时间表。

Q3：Strands Box能完全解决AI智能体的安全风险吗？

A：不能完全解决。专家指出，Strands Box无法阻止智能体在被允许权限范围内做出的有害决策，企业仍需要身份与访问管理（IAM）、监控机制以及人工监督。此外，设计不当的策略还可能阻碍智能体正常操作或增加运营复杂性。