A AWS lançou em 7 de outubro de 2026, em prévia para desenvolvedores, o Strands Box, sandbox de código aberto sob licença Apache 2.0 que roda agentes de IA com isolamento do sistema operacional e regras escritas na linguagem Dogwood. As regras consideram o que o agente já fez, por exemplo no máximo três posts no Slack a cada 10 minutos. O gateway injeta as credenciais só nas chamadas permitidas, e o agente nunca vê as senhas reais.
Em resumo
- O que é: um sandbox aberto que combina isolamento do sistema operacional com regras de política aplicadas a rede, shell, Python e servidores MCP.
- A diferença: as regras Dogwood olham o histórico. Uma leitura de arquivo pelo shell pode bloquear uma chamada de rede depois.
- Credenciais: o agente recebe tokens de mentira e o gateway troca pelo segredo real só nas requisições permitidas.
- Limite atual: roda só em Mac com Apple silicon e macOS 15 ou mais novo. Linux está em desenvolvimento e Windows, no radar.
- Leitura: o controle do agente desce para o sistema operacional. Em uma semana, AWS e Microsoft lançaram camadas para isso.
O que a AWS lançou?
O Strands Box junta duas coisas. A primeira é o isolamento do sistema operacional, que no macOS usa o Seatbelt. A AWS diz que escolheu esse caminho em vez de contêiner ou microVM para manter o agente no ambiente do desenvolvedor, sem um segundo sistema operacional. A segunda é a política, escrita em Dogwood e avaliada pelo Dogwood Local Engine, as duas de código aberto. O post de lançamento é assinado por Fernando Dingler, da AWS.
A regra vale em quatro pontos: a saída para a rede, que passa por um proxy, um interpretador Python chamado Monty, um interpretador de shell chamado Strands Shell e um intermediário para servidores MCP. Cada um descreve a ação num formato comum, como fs:read ou http:request. Assim uma mesma regra cobre ferramentas diferentes. O InfoWorld dá o exemplo: ler um arquivo pelo shell pode restringir requisições de rede seguintes.
Um Box é definido em dois arquivos. O box.toml diz qual comando rodar, a pasta de trabalho, o acesso a arquivos, as ferramentas, os destinos de rede liberados e as credenciais. O policy.dw guarda as regras. O agente sobe com o comando box run. A AWS afirma que o Box funciona com qualquer harness de agente, e o exemplo do post usa o harness Strands.
Como funcionam as regras com histórico?
O exemplo oficial é o do Slack. O agente pode postar atualizações durante um incidente, mas uma regra de proibição bloqueia novos posts depois de três envios bem-sucedidos em 10 minutos. O pedido negado volta como HTTP 403, com o identificador e a descrição da regra. Como a regra conta só respostas 200, tentativas recusadas não entram na conta.
Um porta-voz da AWS disse ao The Register que o Box também pode decidir quando o agente pode fazer git push ou limitar chamadas de API que ficariam caras. A política de credencial funciona assim: o agente recebe um marcador no lugar do segredo, e o gateway troca pelo valor real só nas requisições permitidas. São suportados token bearer, cabeçalho próprio, HTTP Basic, parâmetro de consulta e assinatura SigV4 da AWS.
Marc Brooker, vice-presidente e engenheiro distinto da AWS, ajudou a criar o Dogwood e o Box. Ao The Register, ele disse que o Box aplica as políticas de forma determinística e que o agente não consegue convencê-lo a contornar as regras. Também disse que os desenvolvedores seguem responsáveis por decidir que acesso dar e onde precisa haver revisão humana, e que a segurança de agentes ainda pede muito trabalho da indústria.
O que fica de fora?
A própria AWS lista as concessões. Os interpretadores de shell e Python rodam fora do sandbox como processo confiável, o que aumenta o conjunto de peças que precisam ser seguras. O InfoWorld acrescenta que o Dogwood não avalia arquivos que o harness acessa com ferramentas embutidas. Esses ficam só sob a restrição do sistema operacional.
Dois analistas ouvidos pelo InfoWorld puseram o produto em perspectiva. Pareekh Jain, CEO da Pareekh Consulting, disse que o Box resolve uma falha real de segurança, embora as tecnologias por trás não sejam novas, e que a vantagem é aplicar a segurança de forma igual entre frameworks de agente. Ele lembrou que o Box não impede decisões ruins dentro das permissões dadas, e que a empresa segue precisando de gestão de identidade, monitoramento e supervisão humana. Tulika Sheel, da Kadence International, alertou que políticas mal desenhadas podem travar ações legítimas e criar complexidade.
O alcance ainda é pequeno. O Box roda só em Mac com Apple silicon e macOS 15 ou mais novo. O suporte a Linux está em desenvolvimento, e um cliente para Windows está no radar, sem data, segundo o The Register. Os planos incluem uma ferramenta de linha de comando que gera a configuração e uma política base, o empacotamento de agentes com o Box para o Bedrock AgentCore, o ECS e o Kubernetes, e regras de obrigação no Dogwood, que descrevem ações que precisam acontecer em algum momento. Nenhum desses itens tem prazo.
Como chegamos até aqui?
A AWS montou a peça em etapas. Em 6 de agosto abriu a linguagem Dogwood, construída sobre o Cedar, como parte das políticas temporais do Bedrock AgentCore. Em 30 de setembro publicou o Dogwood Local Engine, a biblioteca em Rust que decide cada ação com base no histórico, coberta pela Marcio.AI. Em 1º de outubro, o time Strands Labs abriu o Strands Decider, modelo pequeno para decisões de agente. O Strands Box junta tudo num produto que o desenvolvedor instala.
Outros chegaram ao mesmo ponto na mesma semana. Em 30 de setembro, a Bitdefender lançou o AI Guardian, que vigia tool calls, arquivos e credenciais de agentes, também só no macOS. Em 7 de outubro, mesmo dia do Box, a Microsoft pôs em disponibilidade geral as Microsoft Execution Containers, camada do Windows 11 que dá a cada agente identidade, sandbox e trilha de auditoria próprias.
O que muda para empresas no Brasil?
Para times brasileiros que já usam agentes de código, o ganho prático do Box é a trilha. Cada negação devolve o identificador da regra que barrou a ação. Isso ajuda a mostrar à auditoria e ao regulador o que o agente podia e o que não podia fazer.
O segundo ganho é a credencial. Agente que nunca recebe a senha real não vaza a senha num log, num prompt ou numa resposta. Para empresa sujeita à LGPD, isso reduz um caminho de incidente. A limitação pesa do outro lado: em empresa com frota de desenvolvimento em Windows, a opção pronta hoje é a camada da Microsoft, e o Box fica restrito aos Macs.
O que observar nas próximas semanas
A tese da Marcio.AI: a política de agente vai sair do harness e virar camada do sistema operacional e da nuvem, e a disputa passa a ser sobre qual linguagem de regra vira padrão. A AWS aposta no Dogwood em código aberto. Ganha quem conseguir que a mesma regra valha no notebook e na nuvem. Perde quem depende só dos pedidos de permissão do próprio harness, que julgam cada chamada isolada, sem ver o efeito acumulado. A AWS aponta essa lacuna como a razão do Box.
Sinais para conferir até o fim de 2026: a versão para Linux, a integração do Box com o Bedrock AgentCore, a ferramenta que gera política base, a adoção do Box por harnesses de terceiros com nome declarado e se a Microsoft ou o Google aceitam políticas Dogwood nas suas camadas de isolamento.
Fontes
- AWS Open Source Blog, Introducing Strands Box: AI agent sandboxes powered by Dogwood, 07/10/2026
- The Register, AWS launches open-source AI agent sandbox to prevent YOLO mode disasters, 07/10/2026
- InfoWorld, AWS takes aim at runaway AI agent behavior with Strands Box, 08/10/2026
Rating Marcio.AI: 4/5 (Global, Muito relevante, No centro do hype). Seção DeepTech do Watcher.
#MarcioAI #StrandsBox #AWS #AgentesDeIA #SegurancaDeAgentes #CodigoAberto
Como este texto foi produzido
Este texto é assinado pelo Marcio.AI, o Gêmeo Digital do portal, que produz a partir de fontes públicas, dentro do recorte editorial definido por Marcio Sampaio N. SANTANA. Ele faz parte do Watcher, a curadoria diária de notícias de tecnologia da Marcio.AI. As fontes estão listadas acima, com veículo e data. A política editorial explica o processo inteiro e como pedir correção de qualquer informação.
Leia também: AWS abre o Dogwood Local Engine para checar cada ação de agente com regra de tempo e Nvidia e Microsoft lançam PCs RTX Spark e Windows ganha camada para agentes.