AWS、エージェントが「すでにしたこと」を見て止めるオープンソースのサンドボックス「Strands Box」を公開

AWSのStrands Boxの特徴は、エージェントが「すでにしたこと」を覚えていて、次の行動を止める点にある。

AWSは、AIエージェントの行動を制限するオープンソースのサンドボックス Strands Box を、10月7日に開発者プレビューとして公開した。ライセンスはApache 2.0だ。サンドボックスとは、エージェントを安全な箱の中に閉じ込め、できることを制限する仕組みを指す。プレビュー段階のため対応環境はまだ狭いが、コーディングやDevOpsのエージェントを作る開発者向けの安全対策がどこへ向かうかを示している。

何をするツールか

OSレベルの隔離とポリシーエンジン: エージェントをオペレーティングシステムのレベルで隔離し、エージェントが実行するシェルコマンド、Pythonスクリプト、ネットワークリクエスト、MCPツール呼び出しをポリシーエンジン（Dogwood）に通す。ポリシーエンジンは、その行動を許可するか止めるかを判定する。MCPはAIが外部ツールを使うための接続規格だ。
過去の行動を覚えているルール: コンテナやマイクロVMはエージェントを閉じ込めるだけで、それまでに何をしたかは知らない。Strands Boxは、エージェントがすでにした行動を基準にルールを適用する。
ルールの例: Slackへの投稿は許可するが、10分に3回まで。顧客データのフォルダーのファイルを一度読んだら、その後の外部へのWebリクエストを止める。APIの費用に上限を設けることもできると伝えられている。

いま使えるか

対応環境: プレビューは macOS 15 以降の Apple silicon Mac のみ対応している。
ロードマップ: Linux対応は開発中、Windowsは検討中と伝えられているが、提供時期は示されていない。Bedrock AgentCore、ECS、Kubernetesなどのデプロイ先も計画段階で、時期は未定だ。
フレームワーク: 一部の報道はStrands Agentsのエコシステムと関連づけて説明しているが、特定のエージェントフレームワークに縛られずに動くことを目指しているという分析もある。

限界もはっきりしている

AWS自身も抜け穴を隠していないという報道がある。

一部の組み込みツールの動作はポリシーエンジンの検査を迂回し、信頼されたインタープリターはサンドボックスの外で実行されるという指摘がある。
このツールはIAM（権限管理）、モニタリング、人による監督を置き換えない。完全な隔離ではなく「役に立つ制約」と見るのが適切だ。

元の記述で確認できなかった点

「エンタープライズ環境で急増するエージェントの逸脱行動」や「リアルタイムの監視」という表現は、公式の説明では確認できなかった。確認できた核心は、隔離と過去の行動に基づくルールだ。
「エージェントのガードレールのフレームワークが公式化された」という表現は誇張だ。現在はオープンソースの開発者プレビューで、対応環境も限られている。

開発者に起こりうる変化

以下は報道をもとにした筆者の推測と助言だ。

プロンプトに「やるな」と書くだけでは足りない。 エージェントが実際にできないよう、システムの側で行動を止める方式が標準になる可能性がある。
ルールは「回数」と「順序」で設計できる。 レート制限や、機密データを読んだ後の外部通信の遮断のような状態を見るルールは、コーディングやDevOpsのエージェントでとくに有用だ。
いまは実験用と考えるのが妥当だ。 Mac専用のプレビューなので、サーバーへのデプロイには使いにくい。本番環境ではIAM、ログ、人による承認といった既存の仕組みを維持する必要がある。
迂回経路を点検しよう。 ツールが止められない経路（組み込みツール、信頼されたインタープリター）があることを前提に、重要な操作には別の承認段階を設けるほうが安全だ。

今後の注目点

LinuxとWindows対応およびクラウドのデプロイ先の時期、ポリシールール言語（Dogwood）のドキュメントと例、そして迂回の事例がどう報告され修正されるか。