AWS hat Strands Box als Open-Source-Sandbox für AI-Agenten veröffentlicht. Die am 7. Oktober vorgestellte Developer Preview kombiniert Betriebssystem-Isolation mit Regeln, die frühere Aktionen des Agenten berücksichtigen. Die unabhängige Aufarbeitung von Help Net Security erschien am 12. Oktober. Box läuft derzeit lokal auf Macs mit Apple Silicon; Linux-Unterstützung ist angekündigt.
Die technische Änderung betrifft die Autorisierung über mehrere Werkzeuge hinweg. Eine Regel kann beispielsweise einen späteren HTTP-Aufruf untersagen, nachdem ein Agent über die Shell oder einen Python-Interpreter eine geschützte Datei gelesen hat. Die Entscheidung wird außerhalb des Agentenprozesses getroffen.
Vier Kontrollpunkte verwenden dieselbe Ereignishistorie
Box setzt unter macOS auf Seatbelt, um direkte Dateisystem- und Netzwerkzugriffe des Agenten einzugrenzen. Daneben laufen ein Shell-Interpreter, ein Python-Interpreter, ein MCP-Broker und ein Netzwerk-Gateway im vertrauenswürdigen Box-Prozess. Diese Komponenten melden ihre kontrollierten Aktionen an die Dogwood Local Engine.
Dogwood arbeitet für die geprüften Operationen standardmäßig mit Verweigerung: Ohne passende Freigaberegel findet kein Aufruf statt. Explizite Verbote haben Vorrang. Die Regeln können Parameter der aktuellen Aktion sowie frühere Ereignisse aus anderen Werkzeugen auswerten.
AWS beschreibt eine zeitabhängige Regel für einen Incident-Agenten, der Updates an Slack sendet. Nach drei erfolgreichen Posts innerhalb von zehn Minuten verweigert das Gateway einen weiteren Post mit HTTP 403. Der Agent darf in der Zwischenzeit weiterhin andere erlaubte Tätigkeiten ausführen. Das Limit sitzt im Gateway und muss nicht vom Modell selbst eingehalten werden.
Zugangsdaten bleiben außerhalb des Agenten
Das Netzwerk-Gateway kann Anfragen an freigegebene Ziele mit API-Schlüsseln versehen oder AWS-Anfragen signieren. Der Agent bekommt bei entsprechend konfigurierten Routen nur einen Platzhalter statt des eigentlichen Geheimnisses.
Das unterscheidet sich von einer Sandbox, die zwar Schreibzugriffe einschränkt, aber geerbte Token-Variablen oder Credential-Dateien lesbar lässt. Die Freigabe einer Zieladresse und die Bindung eines Credentials sind getrennte Entscheidungen. Ein hinterlegter Schlüssel gewährt für sich genommen keinen Netzwerkzugang.
Direkte Dateifreigaben umgehen die semantische Prüfung
Die Herstellerdokumentation benennt eine wichtige Grenze: Dateien, die in der Box-Konfiguration direkt für den Agenten freigegeben werden, unterliegen der Betriebssystem-Isolation. Ihre einzelnen Lese- und Schreibzugriffe erscheinen aber nicht in der Dogwood-Ereignishistorie. Eine Policy, die auf das Lesen bestimmter Dateien reagieren soll, kann solche direkten Zugriffe deshalb nicht zuverlässig berücksichtigen.
Auch die Architektur vergrößert die vertrauenswürdige Codebasis. Shell- und Python-Interpreter sowie Protokoll-Gateways laufen mit erweiterten Aufgaben außerhalb der eigentlichen Agenten-Sandbox. AWS bezeichnet dies selbst als Sicherheitskompromiss und verweist auf Tests und Fuzzing; eine unabhängige Wirksamkeitsmessung liegt bisher nicht vor.
Für Betreiber ergibt sich eine konkrete Konfigurationsentscheidung: Dateien, deren Nutzung spätere Tool-Rechte beeinflussen soll, dürfen nicht einfach als direkte Dateisystemfreigabe bereitstehen. Sie müssen über einen kontrollierten Pfad gelesen werden, der das Ereignis tatsächlich an die Policy Engine meldet.
Quellen: AWS Open Source Blog, „Introducing Strands Box: AI agent sandboxes powered by Dogwood“, 7. Oktober 2026, https://aws.amazon.com/blogs/opensource/introducing-strands-box-ai-agent-sandboxes-powered-by-dogwood/; Strands Box Repository, https://github.com/strands-agents/box; Help Net Security, „Strands Box: Open-source sandbox for AI agents“, 12. Oktober 2026, https://www.helpnetsecurity.com/2026/10/12/aws-strands-box-open-source-ai-agent-sandbox/.