Agent Sandboxing

O sandboxing de agentes é a prática de executar um AI agent, as suas ferramentas ou o código gerado num ambiente de execução restrito. O sandbox limita quais os ficheiros, redes, credenciais, processos e recursos computacionais a que o agente pode aceder. Se o agente tomar uma decisão insegura ou processar instruções maliciosas, esses limites reduzem o impacto potencial em sistemas de produção e dados sensíveis.

Como Funciona o Sandboxing de Agentes#

Um agente opera frequentemente através de um agent harness que liga um modelo a ferramentas, memória, APIs e ciclos de execução. O sandboxing adiciona uma camada de imposição em redor destas capacidades. Em vez de confiar que o modelo segue um prompt como “não acedas a ficheiros privados”, o ambiente operativo impede tecnicamente esse acesso.

Um sandbox prático pode combinar:

• Um contentor efêmero ou máquina virtual que é destruído após a tarefa.
• Um sistema de ficheiros base só de leitura com uma pequena área de trabalho de escrita.
• Regras de tráfego de saída da rede que permitem apenas domínios aprovados ou serviços internos.
• Credenciais de curta duração limitadas ao utilizador e à tarefa atuais.
• Limites de CPU, memória, armazenamento, processos e tempo de execução.
• Registos de auditoria que abrangem chamadas de ferramentas, alterações de ficheiros, pedidos de rede e violações de políticas.

Controlos de Linux como o Docker default seccomp profile podem restringir chamadas de sistema, enquanto os Docker resource constraints limitam o consumo de recursos. À escala de cluster, os Kubernetes NetworkPolicies podem controlar com que serviços uma carga de trabalho de agente comunica.

Porque é que o Sandboxing de Agentes é Importante#

Os agentes podem realizar ações através de function calling and tool use, tornando as suas falhas mais graves do que a resposta incorreta de um chatbot. Um agente de programação pode executar comandos de shell, enquanto um agente de operações pode atualizar registos ou acionar implementações.

As OWASP AI Agent Security guidance identificam riscos incluindo abuso de ferramentas, escalação de privilégios, envenenamento de memória e exfiltração de dados. O sandboxing ajuda a conter estes riscos, especialmente quando um agente encontra prompt injection oculto numa página web, documento, metadados de imagem ou resposta de ferramenta. As OWASP prompt injection prevention guidance recomendam defesas em camadas porque a filtragem de entradas por si só não consegue identificar de forma fiável todas as instruções hostis.

O sandboxing também aborda a agência excessiva. Um agente com ferramentas desnecessárias, credenciais amplas e autonomia irrestrita pode realizar ações prejudiciais após um erro do modelo ou entrada manipulada. A OWASP guidance on excessive agency recomenda minimizar a funcionalidade das ferramentas, permissões e autonomia em vez de confiar apenas no comportamento do modelo.

Sandboxing vs. Controlos Relacionados#

O sandboxing de agentes complementa outros mecanismos de segurança, mas não os substitui:

• AI guardrails: As guardrails inspecionam entradas, saídas ou ações propostas. Um sandbox impõe limites ambientais mesmo quando uma guardrail falha uma ameaça.
• Controlo de acesso: A autorização determina se uma ação é permitida. O sandbox limita os recursos disponíveis caso a lógica de autorização seja contornada. As AWS identity and access management best practices enfatizam credenciais temporárias e permissões de privilégio mínimo.
• Contentorização: Os contentores empacotam e isolam processos, mas as predefinições dos contentores não constituem necessariamente um limite de segurança forte. O Ultralytics Docker Quickstart suporta ambientes de visão computacional consistentes e isolados, enquanto os sandboxes de produção requerem restrições adicionais de sistema de ficheiros, capacidades, rede e recursos.
• Ambientes de teste: Um “sandbox” de desenvolvimento é uma cópia de um sistema que não é de produção. O sandboxing de agentes restringe especificamente a execução e pode ser aplicado em desenvolvimento e produção.

As Ultralytics Agent Skills fornecem instruções reutilizáveis para agentes de programação, mas as competências não criam um limite de isolamento. Os seus scripts e dependências devem ainda ser revistos e executados com as permissões adequadas.

Aplicações no Mundo Real#

Agentes de programação empresariais: Um agente de programação pode inspecionar um repositório, modificar ficheiros e executar testes dentro de uma área de trabalho temporária. O sandbox monta apenas o repositório atribuído, bloqueia credenciais de produção, restringe o tráfego de saída para registos de pacotes aprovados e requer aprovação humana antes de fundir (merge) ou implementar. Uma dependência comprometida ou instrução injetada não pode, portanto, analisar livremente o armazenamento interno ou transmitir código-fonte.

Agentes de operações habilitados para visão: Um agente de armazém pode analisar imagens de câmaras com Ultralytics YOLO26, identificar corredores bloqueados e abrir tickets de manutenção. O seu sandbox pode fornecer acesso só de leitura a imagens recebidas e acesso de rede apenas às APIs de inferência e de ticketing. Não deve receber administração de câmara irrestrita, registos de funcionários ou credenciais de implementação.

O passo de perceção pode usar o documentado Ultralytics YOLO predict workflow:

from pathlib import Path

from ultralytics import YOLO

source = "https://ultralytics.com/images/bus.jpg"
output_path = Path("sandbox_result.jpg")

# Run visual inference inside the restricted workspace
model = YOLO("yolo26n.pt")
results = model(source)

result = results[0]
result.save(filename=str(output_path))

O código Python executa a inferência comum; o runtime circundante fornece o sandbox ao restringir ficheiros, redes, credenciais e recursos.

Orientações Práticas de Conceção#

Começa sem acesso e permite explicitamente apenas o que cada tarefa requer. Usa áreas de trabalho temporárias, credenciais de curta duração, montagens só de leitura, listas de permissões de rede de saída, tempos Limite (timeouts) e quotas de recursos. Exige aprovação para ações irreversíveis e mantém as verificações de autorização fora do modelo.

Regista cada ação tentada, incluindo operações bloqueadas, sem expor segredos nos registos. As equipas podem usar a Ultralytics Platform deployment monitoring para observar pedidos de endpoints de visão, latência, erros e estado de funcionamento nos fluxos de trabalho de agentes. Por fim, testa o sistema completo contra ficheiros maliciosos, prompts indiretos, chamadas de ferramentas repetidas e tentativas de esgotamento de recursos. O NIST AI Risk Management Framework Playbook fornece uma estrutura mais ampla para governar, medir e gerir continuamente estes riscos.