Agent Sandboxing

Il sandboxing degli agenti consiste nell'eseguire un agente IA, i suoi strumenti o il codice generato all'interno di un ambiente di esecuzione limitato. La sandbox limita i file, le reti, le credenziali, i processi e le risorse di calcolo a cui l'agente può accedere. Se l'agente prende una decisione non sicura o elabora istruzioni dannose, questi limiti riducono il potenziale impatto sui sistemi di produzione e sui dati sensibili.

Come funziona il sandboxing degli agenti#

Un agente opera spesso tramite un framework di orchestrazione degli agenti che collega un modello a strumenti, memoria, API e cicli di esecuzione. Il sandboxing aggiunge un livello di protezione che fa rispettare i limiti di queste funzionalità. Invece di fidarsi che il modello segua un prompt come «non accedere ai file privati», l'ambiente operativo impedisce tecnicamente tale accesso.

Una sandbox pratica può combinare:

• Un container effimero o una macchina virtuale che viene eliminata al termine dell'attività.
• Un filesystem di base in sola lettura con un'area di lavoro scrivibile di dimensioni ridotte.
• Regole per il traffico di rete in uscita che consentono l'accesso solo a domini approvati o servizi interni.
• Credenziali di breve durata, limitate all'utente e all'attività correnti.
• Limiti per CPU, memoria, spazio di archiviazione, processi e durata dell'esecuzione.
• Log di controllo che registrano chiamate agli strumenti, modifiche ai file, richieste di rete e violazioni delle policy.

I controlli di Linux, come il profilo seccomp predefinito di Docker, possono limitare le chiamate di sistema, mentre i limiti delle risorse di Docker riducono il consumo di risorse. Su scala di cluster, le NetworkPolicy di Kubernetes possono controllare con quali servizi comunica il carico di lavoro dell'agente.

Perché il sandboxing degli agenti è importante#

Gli agenti possono eseguire azioni tramite chiamata di funzioni e uso di strumenti, rendendo i loro errori più gravi rispetto a una risposta errata di un chatbot. Un agente di programmazione potrebbe eseguire comandi della shell, mentre un agente operativo potrebbe aggiornare record o avviare distribuzioni.

Le linee guida OWASP sulla sicurezza degli agenti IA individuano rischi come l'uso improprio degli strumenti, l'escalation dei privilegi, l'avvelenamento della memoria e l'esfiltrazione dei dati. Il sandboxing aiuta a contenere questi rischi, soprattutto quando un agente incontra una prompt injection nascosta in una pagina web, un documento, i metadati di un'immagine o la risposta di uno strumento. Le linee guida OWASP per prevenire la prompt injection raccomandano difese stratificate, perché il solo filtraggio degli input non consente di identificare in modo affidabile ogni istruzione ostile.

Il sandboxing affronta anche il problema dell'eccessiva autonomia. Un agente dotato di strumenti non necessari, credenziali con privilegi ampi e autonomia senza restrizioni può compiere azioni dannose a seguito di un errore del modello o di un input manipolato. Le linee guida OWASP sull'eccessiva autonomia raccomandano di ridurre al minimo le funzionalità degli strumenti, le autorizzazioni e l'autonomia, invece di affidarsi soltanto al comportamento del modello.

Sandboxing e controlli correlati#

Il sandboxing degli agenti integra altri meccanismi di sicurezza, ma non li sostituisce:

• Guardrail per l'IA: i guardrail esaminano input, output o azioni proposte. Una sandbox applica limiti ambientali anche quando un guardrail non rileva una minaccia.
• Controllo degli accessi: l'autorizzazione determina se un'azione è consentita. Il sandboxing limita le risorse disponibili se la logica di autorizzazione viene aggirata. Le best practice AWS per la gestione delle identità e degli accessi sottolineano l'importanza delle credenziali temporanee e delle autorizzazioni con privilegi minimi.
• Containerizzazione: i container pacchettizzano e isolano i processi, ma le impostazioni predefinite dei container non costituiscono necessariamente un solido confine di sicurezza. La Guida rapida a Docker di Ultralytics consente di creare ambienti di computer vision coerenti e isolati, mentre le sandbox di produzione richiedono ulteriori restrizioni per filesystem, funzionalità, rete e risorse.
• Ambienti di test: una «sandbox» di sviluppo è una copia non di produzione di un sistema. Il sandboxing degli agenti limita in modo specifico l'esecuzione e può essere applicato sia in sviluppo sia in produzione.

Ultralytics Agent Skills fornisce istruzioni riutilizzabili per gli agenti di programmazione, ma le competenze non creano un confine di isolamento. È comunque necessario esaminarne gli script e le dipendenze ed eseguirli con autorizzazioni adeguate.

Applicazioni nel mondo reale#

Agenti di programmazione aziendali: un agente di programmazione può esaminare un repository, modificare file ed eseguire test in un'area di lavoro temporanea. La sandbox monta solo il repository assegnato, blocca le credenziali di produzione, limita il traffico in uscita ai registri di pacchetti approvati e richiede l'approvazione umana prima dell'unione o della distribuzione. Pertanto, una dipendenza compromessa o un'istruzione iniettata non possono esaminare liberamente lo spazio di archiviazione interno né trasmettere il codice sorgente.

Agenti operativi con funzionalità di visione: un agente utilizzato in un magazzino può analizzare immagini delle telecamere con Ultralytics YOLO26, individuare corsie bloccate e aprire ticket di manutenzione. La sua sandbox può fornire accesso in sola lettura alle immagini in ingresso e accesso di rete solo alle API di inferenza e gestione dei ticket. Non dovrebbe ricevere accesso senza restrizioni all'amministrazione delle telecamere, ai dati dei dipendenti o alle credenziali di distribuzione.

Il passaggio di percezione può seguire il flusso di lavoro documentato Ultralytics YOLO predict:

from pathlib import Path

from ultralytics import YOLO

source = "https://ultralytics.com/images/bus.jpg"
output_path = Path("sandbox_result.jpg")

# Esegui l'inferenza visiva nell'area di lavoro con restrizioni
model = YOLO("yolo26n.pt")
results = model(source)

result = results[0]
result.save(filename=str(output_path))

Il codice Python esegue una normale inferenza; l'ambiente di esecuzione circostante fornisce la sandbox limitando file, rete, credenziali e risorse.

Indicazioni pratiche per la progettazione#

Inizia senza concedere accessi e consenti esplicitamente solo quelli richiesti da ciascuna attività. Usa aree di lavoro temporanee, credenziali di breve durata, mount in sola lettura, elenchi di autorizzazione per il traffico di rete in uscita, timeout e quote di risorse. Richiedi l'approvazione per le azioni irreversibili e mantieni i controlli di autorizzazione al di fuori del modello.

Registra ogni azione tentata, incluse le operazioni bloccate, senza esporre segreti nei log. I team possono usare il monitoraggio delle distribuzioni di Ultralytics Platform per osservare le richieste agli endpoint di visione, la latenza, gli errori e lo stato di salute nei flussi di lavoro degli agenti. Infine, testa il sistema completo con file dannosi, prompt indiretti, chiamate ripetute agli strumenti e tentativi di esaurimento delle risorse. Il manuale del framework NIST per la gestione dei rischi dell'IA offre una struttura più ampia per governare, misurare e gestire continuamente questi rischi.