Agent Sandboxing

El sandboxing de agentes es la práctica de ejecutar un AI agent, sus herramientas o el código generado dentro de un entorno de ejecución restringido. El sandbox limita a qué archivos, redes, credenciales, procesos y recursos informáticos puede acceder el agente. Si el agente toma una decisión insegura o procesa instrucciones maliciosas, esos límites reducen el impacto potencial en los sistemas de producción y los datos sensibles.

Cómo funciona el sandboxing de agentes#

Un agente opera a menudo a través de un agent harness que conecta un modelo con herramientas, memoria, APIs y bucles de ejecución. El sandboxing añade una capa de cumplimiento en torno a estas capacidades. En lugar de confiar en que el modelo siga una orden como «no accedas a archivos privados», el entorno operativo impide técnicamente ese acceso.

Un sandbox práctico puede combinar:

• Un contenedor efímero o máquina virtual que se destruye después de la tarea.
• Un sistema de archivos base de solo lectura con un espacio de trabajo de escritura pequeño.
• Reglas de salida de red que permiten únicamente dominios aprobados o servicios internos.
• Credenciales de corta duración con ámbito limitado al usuario y la tarea actuales.
• Límites de CPU, memoria, almacenamiento, procesos y tiempo de ejecución.
• Registros de auditoría que cubren llamadas a herramientas, cambios de archivos, solicitudes de red y violaciones de políticas.

Los controles de Linux como el Docker default seccomp profile pueden restringir las llamadas al sistema, mientras que las Docker resource constraints limitan el consumo de recursos. A escala de clúster, las Kubernetes NetworkPolicies pueden controlar con qué servicios se comunica una carga de trabajo de agentes.

Por qué es importante el sandboxing de agentes#

Los agentes pueden realizar acciones mediante function calling and tool use, lo que hace que sus fallos tengan consecuencias más graves que la respuesta incorrecta de un chatbot. Un agente de programación podría ejecutar comandos de shell, mientras que un agente de operaciones podría actualizar registros o activar despliegues.

La OWASP AI Agent Security guidance identifica riesgos que incluyen el abuso de herramientas, la escalada de privilegios, el envenenamiento de la memoria y la exfiltración de datos. El sandboxing ayuda a contener estos riesgos, especialmente cuando un agente se encuentra con una prompt injection oculta en una página web, documento, metadatos de imagen o respuesta de herramienta. La OWASP prompt injection prevention guidance recomienda defensas en capas porque el filtrado de entradas por sí solo no puede identificar de forma fiable cada instrucción hostil.

El sandboxing también aborda la agencia excesiva. Un agente con herramientas innecesarias, credenciales amplias y autonomía sin restricciones puede realizar acciones dañinas tras un error del modelo o una entrada manipulada. La OWASP guidance on excessive agency recomienda minimizar la funcionalidad de las herramientas, los permisos y la autonomía en lugar de depender únicamente del comportamiento del modelo.

Sandboxing frente a controles relacionados#

El sandboxing de agentes complementa otros mecanismos de seguridad, pero no los sustituye:

• AI guardrails: Los guardrails inspeccionan entradas, salidas o acciones propuestas. Un sandbox aplica límites ambientales incluso cuando un guardrail pasa por alto una amenaza.
• Control de acceso: La autorización determina si una acción está permitida. El sandboxing limita los recursos disponibles si se elude la lógica de autorización. Las AWS identity and access management best practices enfatizan las credenciales temporales y los permisos de privilegio mínimo.
• Contenedorización: Los contenedores empaquetan y aíslan procesos, pero la configuración predeterminada de los contenedores no constituye necesariamente un límite de seguridad fuerte. El Ultralytics Docker Quickstart admite entornos de visión artificial coherentes y aislados, mientras que los sandboxes de producción requieren restricciones adicionales de sistema de archivos, capacidades, red y recursos.
• Entornos de prueba: Un «sandbox» de desarrollo es una copia de un sistema que no es de producción. El sandboxing de agentes restringe específicamente la ejecución y puede aplicarse en el desarrollo y en la producción.

Ultralytics Agent Skills proporciona instrucciones reutilizables para agentes de programación, pero las habilidades no crean un límite de aislamiento. Sus scripts y dependencias deben seguir revisándose y ejecutándose con los permisos adecuados.

Aplicaciones en el mundo real#

Agentes de programación empresariales: Un agente de programación puede inspeccionar un repositorio, modificar archivos y ejecutar pruebas dentro de un espacio de trabajo temporal. El sandbox monta solo el repositorio asignado, bloquea las credenciales de producción, restringe el tráfico saliente a registros de paquetes aprobados y requiere la aprobación humana antes de fusionar o desplegar. Por lo tanto, una dependencia comprometida o una instrucción inyectada no puede escanear libremente el almacenamiento interno ni transmitir código fuente.

Agentes de operaciones con visión: Un agente de almacén puede analizar imágenes de cámaras con Ultralytics YOLO26, identificar pasillos bloqueados y abrir tickets de mantenimiento. Su sandbox puede proporcionar acceso de solo lectura a las imágenes entrantes y acceso a la red únicamente a las APIs de inferencia y ticketing. No debe recibir administración de cámara sin restricciones, registros de empleados ni credenciales de despliegue.

El paso de percepción puede utilizar el flujo de trabajo documentado Ultralytics YOLO predict workflow:

from pathlib import Path

from ultralytics import YOLO

source = "https://ultralytics.com/images/bus.jpg"
output_path = Path("sandbox_result.jpg")

# Run visual inference inside the restricted workspace
model = YOLO("yolo26n.pt")
results = model(source)

result = results[0]
result.save(filename=str(output_path))

El código Python realiza una inferencia ordinaria; el entorno de ejecución circundante proporciona el sandbox al restringir archivos, redes, credenciales y recursos.

Guía de diseño práctico#

Empieza sin acceso y permite explícitamente solo lo que cada tarea requiera. Utiliza espacios de trabajo temporales, credenciales de corta duración, montajes de solo lectura, listas permitidas de redes salientes, tiempos de espera y cuotas de recursos. Exige aprobación para acciones irreversibles y mantén las comprobaciones de autorización fuera del modelo.

Registra cada acción intentada, incluidas las operaciones bloqueadas, sin exponer secretos en los registros. Los equipos pueden usar Ultralytics Platform deployment monitoring para observar las solicitudes de endpoints de visión, la latencia, los errores y el estado dentro de los flujos de trabajo de los agentes. Por último, prueba el sistema completo contra archivos maliciosos, prompts indirectos, llamadas repetidas a herramientas e intentos de agotamiento de recursos. El NIST AI Risk Management Framework Playbook proporciona una estructura más amplia para gobernar, medir y gestionar continuamente estos riesgos.