AWS veröffentlicht Strands Box: Open-Source-Sandbox, die Agenten anhand ihrer bisherigen Aktionen bremst

Das Besondere an AWS’ Strands Box: Sie merkt sich, was ein Agent bereits getan hat, und blockiert anhand dessen die nächste Aktion.

AWS hat am 7. Oktober Strands Box als Developer Preview veröffentlicht, eine Open-Source-Sandbox, die einschränkt, was KI-Agenten tun können, unter der Apache-2.0-Lizenz. Eine Sandbox ist eine Sicherheitsbox, die einen Agenten einschließt und begrenzt, was er tun darf. Es ist eine Vorschau, daher sind die unterstützten Umgebungen noch eng, doch sie zeigt die Richtung der Schutzmaßnahmen für Entwickler, die Coding- und DevOps-Agenten bauen.

Was das Tool macht

Isolation auf OS-Ebene plus Policy-Engine. Es isoliert den Agenten auf Betriebssystemebene und leitet die vom Agenten ausgeführten Shell-Befehle, Python-Skripte, Netzwerkanfragen und MCP-Tool-Aufrufe durch eine Policy-Engine (Dogwood). Die Policy-Engine entscheidet, ob eine Aktion erlaubt oder blockiert wird. MCP ist ein Standard, mit dem KI externe Tools nutzen kann.
Regeln, die frühere Aktionen berücksichtigen. Container und MicroVMs schließen einen Agenten ein, wissen aber nicht, was er bisher getan hat. Strands Box wendet Regeln auf Grundlage dessen an, was der Agent schon getan hat.
Beispielregeln. Der Agent darf in Slack posten, aber nur dreimal alle zehn Minuten. Ausgehende Web-Anfragen werden blockiert, sobald der Agent eine Datei aus einem Kundendaten-Ordner gelesen hat. Berichten zufolge lässt sich auch eine Obergrenze für API-Kosten setzen.

Kann man es schon nutzen

Unterstützte Umgebung. Die Vorschau unterstützt nur Apple-Silicon-Macs mit macOS 15 oder neuer.
Roadmap. Linux-Unterstützung ist Berichten zufolge in Entwicklung und Windows wird erwogen, es gibt aber keine Termine. Zielplattformen wie Bedrock AgentCore, ECS und Kubernetes sind geplant, ohne festen Zeitpunkt.
Framework. Manche Berichte nennen es im Zusammenhang mit dem Strands-Agents-Ökosystem, eine Analyse sagt dagegen, es solle unabhängig von einem bestimmten Agent-Framework funktionieren.

Auch die Grenzen sind klar

Berichten zufolge ist AWS selbst offen über die Lücken.

Manche eingebaute Tool-Aktionen umgehen Berichten zufolge die Prüfung der Policy-Engine, und vertrauenswürdige Interpreter laufen außerhalb der Sandbox.
Das Tool ersetzt weder IAM (Berechtigungsverwaltung) noch Monitoring oder menschliche Aufsicht. Es ist eher eine nützliche Beschränkung als eine vollständige Isolation.

Angaben, die wir nicht bestätigen konnten

Die Formulierungen „außer Kontrolle geratenes Agentenverhalten in Unternehmensumgebungen” und „Echtzeit-Monitoring” konnten wir in offiziellen Beschreibungen nicht bestätigen. Bestätigt sind Isolation und Regeln auf Grundlage früherer Aktionen.
„Ein Framework für Agenten-Guardrails ist offiziell geworden” ist übertrieben. Derzeit handelt es sich um eine Open-Source-Developer-Preview mit begrenzten Umgebungen.

Was sich für Entwickler ändern könnte

Das Folgende ist unsere Einschätzung und unser Rat auf Grundlage der Berichte.

„Tu das nicht” in den Prompt zu schreiben, reicht nicht. Aktionen auf Systemebene zu blockieren, sodass der Agent sie wirklich nicht ausführen kann, könnte zur Norm werden.
Regeln lassen sich nach Anzahl und Reihenfolge entwerfen. Zustandsbehaftete Regeln, etwa Ratenlimits oder das Blockieren von Außenverkehr nach dem Lesen sensibler Daten, sind für Coding- und DevOps-Agenten besonders nützlich.
Vorerst als experimentell behandeln. Eine Vorschau nur für Mac ist für Server-Deployments schwer nutzbar. In der Produktion sollten bestehende Schutzmaßnahmen wie IAM, Logs und menschliche Freigabe bleiben.
Umgehungswege prüfen. Man sollte davon ausgehen, dass es Wege gibt, die das Tool nicht blockieren kann (eingebaute Tools, vertrauenswürdige Interpreter), und wichtige Vorgänge mit einem separaten Freigabeschritt versehen.

Was man beobachten sollte

Den Zeitplan für Linux- und Windows-Unterstützung und Cloud-Zielplattformen, Dokumentation und Beispiele zur Regelsprache (Dogwood) sowie den Umgang mit gemeldeten Umgehungsfällen.