AWS 近日开源了名为 Strands Box 的人工智能代理沙箱解决方案，旨在通过操作系统级隔离与策略执行机制，遏制自主 AI 代理在“YOLO”（You Only Live Once，即无限制自动运行）模式下可能引发的灾难性后果。该工具目前已在 GitHub 上线，现阶段仅支持 macOS，Linux 版本正在开发中，Windows 客户端也被列入计划。
随着 AI 代理越来越多地以自主模式运行，传统的容器或微型虚拟机虽然提供了强大的隔离环境，但往往缺乏对上下文规则的有效执行能力。AWS 指出，当被隔离的代理掌握某个工具时，单纯的访问控制不足以防止其滥用权限。Strands Box 的核心优势在于将隔离技术与策略引擎相结合，利用 Dogwood 本地引擎为沙箱内的策略判断提供时间意识。这意味着系统不仅检查代理当前试图执行的操作，还会审查其历史行为序列。
例如，开发者可以设定策略允许代理向 Slack 发送状态更新，但限制每 10 分钟不超过 3 次，从而防止代理对人类操作员造成干扰。此外，Strands Box 还能用于控制 Git 推送的执行时机以及限制 API 调用频率。该方案集成了 Python 的 Strands Shell 和 Monty 组件，将 Shell 命令和 Python 操作统一纳入 Dogwood 策略引擎及事件历史记录中，使开发人员能够更清晰地监控代理行为，并让策略引擎准确解析代理意图。
AWS 副总裁兼杰出工程师马克·布鲁克（Marc Brooker）是 Dogwood 和 Strands Box 的主要推动者之一。他向 The Register 解释称，解释器机制是提升代理行为可理解性的关键。Box 通过文件删除等操作暴露其行为逻辑，同时通过网关处理 API 请求和工具调用。Brooker 强调，Box 强制执行安全规则并不依赖于代理自身是否遵循指令，而是从架构层面防止代理违背运营商意愿。
关于 AWS 推出此类开源工具的初衷，Brooker 表示公司希望在边界防护与策略执行之间找到平衡，以应对行业内频发的代理 AI 安全问题。他指出，即便权限配置正确，代理行动仍可能产生非预期结果，因此人类监督依然不可或缺。开发人员仍需决定授予哪些访问权限以及在何时需要人工介入审查。Brooker 补充道：“代理安全是一个行业仍有大量工作要做的领域，我们致力于继续投资于此。”
除了本地部署，AWS 还计划将 Strands Box 集成到 AgentCore、ECS 和 Kubernetes 等平台上，进一步扩展其在云原生环境中的应用范围。
