Agent Sandboxing

O sandboxing de agentes consiste em executar um agente de IA, as ferramentas do agente ou o código gerado pelo agente dentro de um ambiente de execução restrito. O sandbox limita os arquivos, as redes, as credenciais, os processos e os recursos computacionais que o agente pode acessar. Se o agente tomar uma decisão insegura ou processar instruções maliciosas, esses limites reduzem o impacto potencial sobre os sistemas de produção e os dados confidenciais.

Como funciona o sandboxing de agentes#

Um agente geralmente opera por meio de um ambiente de execução de agentes que conecta um modelo a ferramentas, memória, APIs e ciclos de execução. O sandboxing adiciona uma camada de aplicação de regras a esses recursos. Em vez de confiar que o modelo seguirá uma instrução como “não acesse arquivos privados”, o ambiente operacional impede tecnicamente esse acesso.

Um sandbox prático pode combinar:

• Um contêiner ou uma máquina virtual efêmera, destruídos após a tarefa.
• Um sistema de arquivos base somente leitura com um pequeno espaço de trabalho gravável.
• Regras de tráfego de saída da rede que permitem acesso apenas a domínios aprovados ou serviços internos.
• Credenciais de curta duração, limitadas ao usuário e à tarefa atuais.
• Limites de CPU, memória, armazenamento, processos e tempo de execução.
• Logs de auditoria que abrangem chamadas de ferramentas, alterações de arquivos, solicitações de rede e violações de políticas.

Controles do Linux, como o perfil seccomp padrão do Docker, podem restringir chamadas de sistema, enquanto as restrições de recursos do Docker limitam o consumo de recursos. Em escala de cluster, as NetworkPolicies do Kubernetes podem controlar com quais serviços uma carga de trabalho de agente se comunica.

Por que o sandboxing de agentes é importante#

Os agentes podem executar ações por meio de chamadas de função e uso de ferramentas, tornando suas falhas mais graves do que uma resposta incorreta de um chatbot. Um agente de programação pode executar comandos de shell, enquanto um agente de operações pode atualizar registros ou acionar implantações.

As orientações da OWASP sobre segurança de agentes de IA identificam riscos como abuso de ferramentas, escalonamento de privilégios, envenenamento de memória e exfiltração de dados. O sandboxing ajuda a conter esses riscos, especialmente quando um agente encontra injeção de prompt oculta em uma página da Web, documento, metadados de imagem ou resposta de ferramenta. As orientações da OWASP para prevenir injeção de prompt recomendam defesas em camadas, pois a filtragem de entradas, por si só, não consegue identificar com segurança todas as instruções maliciosas.

O sandboxing também ajuda a lidar com a autonomia excessiva. Um agente com ferramentas desnecessárias, credenciais abrangentes e autonomia irrestrita pode executar ações prejudiciais após um erro do modelo ou uma entrada manipulada. As orientações da OWASP sobre autonomia excessiva recomendam minimizar a funcionalidade das ferramentas, as permissões e a autonomia, em vez de confiar apenas no comportamento do modelo.

Sandboxing e controles relacionados#

O sandboxing de agentes complementa outros mecanismos de segurança, mas não os substitui:

• Proteções de IA: As proteções analisam entradas, saídas ou ações propostas. O sandbox impõe limites ambientais mesmo quando uma proteção não detecta uma ameaça.
• Controle de acesso: A autorização determina se uma ação é permitida. O sandboxing limita os recursos disponíveis caso a lógica de autorização seja contornada. As práticas recomendadas da AWS para gerenciamento de identidade e acesso enfatizam o uso de credenciais temporárias e permissões de privilégio mínimo.
• Contêineres: Os contêineres empacotam e isolam processos, mas as configurações padrão de contêineres não constituem necessariamente uma barreira de segurança robusta. O guia de início rápido do Docker da Ultralytics oferece ambientes de visão computacional consistentes e isolados, enquanto os sandboxes de produção exigem restrições adicionais de sistema de arquivos, recursos, rede e permissões.
• Ambientes de teste: Um “sandbox” de desenvolvimento é uma cópia de um sistema que não está em produção. O sandboxing de agentes restringe especificamente a execução e pode ser aplicado tanto no desenvolvimento quanto na produção.

As habilidades de agente da Ultralytics fornecem instruções reutilizáveis para agentes de programação, mas não criam uma barreira de isolamento. Ainda é necessário revisar os scripts e as dependências dessas habilidades e executá-los com as permissões adequadas.

Aplicações no mundo real#

Agentes de programação empresariais: Um agente de programação pode inspecionar um repositório, modificar arquivos e executar testes em um espaço de trabalho temporário. O sandbox monta somente o repositório atribuído, bloqueia credenciais de produção, restringe o tráfego de saída a registros de pacotes aprovados e exige aprovação humana antes de mesclar ou implantar. Assim, uma dependência comprometida ou uma instrução injetada não pode examinar livremente o armazenamento interno nem transmitir o código-fonte.

Agentes operacionais com visão: Um agente de armazém pode analisar imagens de câmeras com o Ultralytics YOLO26, identificar corredores bloqueados e abrir chamados de manutenção. O sandbox pode fornecer acesso somente leitura às imagens recebidas e acesso à rede apenas às APIs de inferência e de gerenciamento de chamados. O agente não deve receber acesso irrestrito à administração das câmeras, aos registros de funcionários ou às credenciais de implantação.

A etapa de percepção pode usar o fluxo de trabalho documentado de predição do Ultralytics YOLO:

from pathlib import Path

from ultralytics import YOLO

source = "https://ultralytics.com/images/bus.jpg"
output_path = Path("sandbox_result.jpg")

# Execute a inferência visual dentro do espaço de trabalho restrito
model = YOLO("yolo26n.pt")
results = model(source)

result = results[0]
result.save(filename=str(output_path))

O código Python executa a inferência normalmente; o ambiente de execução ao redor fornece o sandbox ao restringir arquivos, redes, credenciais e recursos.

Orientações práticas de projeto#

Comece sem conceder acesso e permita explicitamente apenas o que cada tarefa exige. Use espaços de trabalho temporários, credenciais de curta duração, montagens somente leitura, listas de permissões para tráfego de saída, tempos limite e cotas de recursos. Exija aprovação para ações irreversíveis e mantenha as verificações de autorização fora do modelo.

Registre todas as ações tentadas, inclusive as operações bloqueadas, sem expor segredos nos logs. As equipes podem usar o monitoramento de implantações da Ultralytics Platform para observar solicitações, latência, erros e integridade de endpoints de visão em fluxos de trabalho de agentes. Por fim, teste o sistema completo contra arquivos maliciosos, instruções indiretas, chamadas repetidas de ferramentas e tentativas de esgotamento de recursos. O Manual do Framework de Gerenciamento de Riscos de IA do NIST oferece uma estrutura mais abrangente para governar, medir e gerenciar continuamente esses riscos.