Agent Sandboxing

Il sandboxing degli agenti è la pratica di eseguire un agente AI, i suoi strumenti o il codice generato all'interno di un ambiente di esecuzione limitato. La sandbox limita quali file, reti, credenziali, processi e risorse di calcolo l'agente può accedere. Se l'agente prende una decisione non sicura o elabora istruzioni dannose, quei confini riducono il potenziale impatto sui sistemi di produzione e sui dati sensibili.

Come funziona il sandboxing degli agenti#

Un agente opera spesso tramite un agent harness che collega un modello a strumenti, memoria, API e cicli di esecuzione. Il sandboxing aggiunge un livello di imposizione attorno a queste capacità. Invece di fidarsi del modello affinché segua un prompt come “non accedere a file privati”, l'ambiente operativo impedisce tecnicamente quell'accesso.

Una sandbox pratica può combinare:

• Un contenitore effimero o una macchina virtuale che viene distrutta dopo il compito.
• Un file system di base di sola lettura con un piccolo spazio di lavoro scrivibile.
• Regole di uscita di rete che consentono solo domini approvati o servizi interni.
• Credenziali a breve durata limitate all'utente e al compito attuali.
• Limiti di CPU, memoria, archiviazione, processo e tempo di esecuzione.
• Log di controllo che coprono chiamate a strumenti, modifiche ai file, richieste di rete e violazioni delle policy.

I controlli di Linux come il profilo seccomp predefinito di Docker possono limitare le chiamate di sistema, mentre i vincoli di risorsa di Docker limitano il consumo di risorse. Su scala di cluster, i NetworkPolicies di Kubernetes possono controllare con quali servizi comunica un carico di lavoro di un agente.

Perché il sandboxing degli agenti è importante#

Gli agenti possono intraprendere azioni tramite chiamata di funzioni e uso di strumenti, rendendo i loro fallimenti più rilevanti rispetto alla risposta errata di un chatbot. Un agente di codifica potrebbe eseguire comandi di shell, mentre un agente di operazioni potrebbe aggiornare record o attivare distribuzioni.

La guida alla sicurezza degli agenti AI di OWASP identifica rischi tra cui abuso di strumenti, escalation dei privilegi, avvelenamento della memoria ed esfiltrazione di dati. Il sandboxing aiuta a contenere questi rischi, soprattutto quando un agente incontra prompt injection nascosta in una pagina web, documento, metadati di immagine o risposta di uno strumento. La guida alla prevenzione del prompt injection di OWASP raccomanda difese a strati perché il solo filtraggio degli input non è in grado di identificare in modo affidabile ogni istruzione ostile.

Il sandboxing affronta anche l'eccessiva agenzia. Un agente con strumenti non necessari, credenziali ampie e autonomia illimitata può compiere azioni dannose dopo un errore del modello o un input manipolato. La guida di OWASP sull'eccessiva agenzia consiglia di ridurre al minimo la funzionalità degli strumenti, le autorizzazioni e l'autonomia anziché fare affidamento solo sul comportamento del modello.

Sandboxing vs. Controlli correlati#

Il sandboxing degli agenti integra altri meccanismi di sicurezza ma non li sostituisce:

• Guardrail AI: I guardrail ispezionano input, output o azioni proposte. Una sandbox applica limiti ambientali anche quando un guardrail non rileva una minaccia.
• Controllo degli accessi: L'autorizzazione determina se un'azione è consentita. Il sandboxing limita le risorse disponibili se la logica di autorizzazione viene aggirata. Le best practice di gestione delle identità e degli accessi AWS enfatizzano credenziali temporanee e permessi con privilegi minimi.
• Contenizzazione: I contenitori confezionano e isolano i processi, ma le impostazioni predefinite dei contenitori non costituiscono necessariamente un forte confine di sicurezza. La guida rapida di Docker di Ultralytics supporta ambienti di computer vision coerenti e isolati, mentre le sandbox di produzione richiedono ulteriori restrizioni su file system, funzionalità, rete e risorse.
• Ambienti di test: Una “sandbox” di sviluppo è una copia non di produzione di un sistema. Il sandboxing degli agenti vincola specificamente l'esecuzione e può essere applicato nello sviluppo e nella produzione.

Le competenze degli agenti Ultralytics forniscono istruzioni riutilizzabili per gli agenti di codifica, ma le competenze non creano un confine di isolamento. I loro script e dipendenze dovrebbero comunque essere revisionati ed eseguiti con le autorizzazioni appropriate.

Applicazioni nel mondo reale#

Agenti di codifica aziendali: Un agente di codifica può ispezionare un repository, modificare file ed eseguire test all'interno di uno spazio di lavoro temporaneo. La sandbox monta solo il repository assegnato, blocca le credenziali di produzione, limita il traffico in uscita a registri di pacchetti approvati e richiede l'approvazione umana prima dell'unione o della distribuzione. Una dipendenza compromessa o un'istruzione iniettata non possono quindi scansionare liberamente la memoria interna o trasmettere il codice sorgente.

Agenti di operazioni abilitati alla visione: Un agente di magazzino può analizzare immagini di telecamere con Ultralytics YOLO26, identificare corridoi bloccati e aprire ticket di manutenzione. La sua sandbox può fornire accesso di sola lettura alle immagini in arrivo e accesso alla rete solo alle API di inferenza e ticketing. Non dovrebbe ricevere amministrazione di telecamere senza restrizioni, record dei dipendenti o credenziali di distribuzione.

Il passaggio di percezione può utilizzare il flusso di lavoro di previsione YOLO di Ultralytics documentato:

from pathlib import Path

from ultralytics import YOLO

source = "https://ultralytics.com/images/bus.jpg"
output_path = Path("sandbox_result.jpg")

# Run visual inference inside the restricted workspace
model = YOLO("yolo26n.pt")
results = model(source)

result = results[0]
result.save(filename=str(output_path))

Il codice Python esegue l'inferenza ordinaria; il runtime circostante fornisce la sandbox limitando file, reti, credenziali e risorse.

Guida alla progettazione pratica#

Inizia senza accesso e consenta esplicitamente solo ciò che ciascun compito richiede. Usa spazi di lavoro temporanei, credenziali a breve durata, montaggi di sola lettura, whitelist di rete in uscita, timeout e quote di risorse. Richiedi l'approvazione per azioni irreversibili e mantieni i controlli di autorizzazione al di fuori del modello.

Registra ogni azione tentata, incluse le operazioni bloccate, senza esporre segreti nei log. I team possono utilizzare il monitoraggio della distribuzione della piattaforma Ultralytics per osservare richieste di endpoint di visione, latenza, errori e stato all'interno dei flussi di lavoro degli agenti. Infine, testa il sistema completo contro file dannosi, prompt indiretti, chiamate di strumenti ripetute e tentativi di esaurimento delle risorse. Il Playbook del quadro di gestione dei rischi AI del NIST fornisce una struttura più ampia per governare, misurare e gestire continuamente questi rischi.