Strands Box: Wie AWS KI-Agenten mit Sandbox und Regeln begrenzt

Von /
Workflow-Diagramm: KI-Agent, Regelprüfung und Gateway als Kette, veranschaulicht das Sandbox-Muster von Strands Box.

AWS hat mit Strands Box ein Open-Source-Werkzeug vorge­stellt, das KI-Agenten in eine Sandbox setzt und jede geprüfte Aktion gegen Regeln abgleicht, die auch frühere Schritte des Agenten kennen. Die Developer Preview läuft bislang nur lokal auf Macs. Für Integrationsprojekte ist vor allem das tech­ni­sche Muster dahin­ter inter­es­sant.

Veröffentlicht hat AWS Strands Box am 7. Oktober 2026 im eige­nen Open-Source-Blog, der Code steht unter der Apache‑2.0‑Lizenz auf GitHub. Das Projekt stammt vom Strands-Team bei AWS, ist laut Hersteller aber nicht an ein bestimm­tes Agenten-Framework gebun­den.

Wie Strands Box Sandbox und Regeln verbindet

Strands Box arbei­tet mit zwei Schichten. Die erste ist die Isolation durch das Betriebssystem, auf macOS die Sandbox-Technik Seatbelt. Sie begrenzt, auf welche Dateien und Netzwerkziele der Agent direkt zugrei­fen kann.

Die zweite Schicht ist die Regelsprache Dogwood, die AWS selbst entwi­ckelt hat. Ihre Syntax lehnt sich laut AWS an die Policy-Sprache Cedar an. Geprüft wird an vier Stellen: in einer einge­bau­ten Shell, in einem Python-Interpreter, in einem Vermittler für MCP-Server (Model Context Protocol, ein verbrei­te­ter Standard, über den Agenten Werkzeuge aufru­fen) und in einem Gateway für alle ausge­hen­den Verbindungen. Was keine passende »permit«-Regel hat, wird abge­lehnt, ein »forbid« hat Vorrang.

Der eigent­li­che Unterschied zu einer reinen Sandbox liegt im Zustand. Alle Prüfstellen schrei­ben in einen gemein­sa­men Ereignisverlauf, auf den Regeln zugrei­fen. Laut AWS lassen sich damit Häufigkeiten, Zeitfenster und Reihenfolgen abbil­den. Die Beispiele aus dem Blogbeitrag:

  • Nur lesen: Ein Agent unter­sucht Logs über die AWS-Kommandozeile, eine IAM-Rolle mit tempo­rä­ren Zugangsdaten verhin­dert Änderungen an der Infrastruktur.
  • Begrenzen: Ein Agent darf höchs­tens drei erfolg­rei­che Nachrichten in zehn Minuten an Slack senden, weitere Versuche lehnt das Gateway ab.
  • Abfolgen sper­ren: Hat der Agent Dateien aus einem Verzeichnis mit Kundendaten gele­sen, sind danach keine ausge­hen­den HTTP-Anfragen mehr erlaubt, egal ob der Lesezugriff per Shell oder Python erfolgte.

Zugangsdaten bekommt der Agent nicht zu sehen. Er arbei­tet mit Platzhaltern, die das Gateway erst beim Verlassen der Box durch echte Schlüssel ersetzt oder durch eine AWS-Signatur ergänzt. Konfiguriert wird alles über zwei Dateien: box.toml für Umgebung, Werkzeuge und Zugriffe, policy.dw für die Regeln.

Wo die Preview an Grenzen stößt

AWS spricht selbst von einem frühen Stadium. Unterstützt werden derzeit Macs mit Apple Silicon ab macOS 15. Auf der Roadmap stehen laut AWS weitere Betriebssysteme, ein Kommandozeilenwerkzeug, das eine Grundkonfiguration erzeugt, und Box für produk­tiv betrie­bene Agenten, etwa auf Amazon Bedrock AgentCore, ECS oder Kubernetes. Einen Termin nennt AWS nicht.

Zwei Einschränkungen sind doku­men­tiert. Dateien, die in der Konfiguration direkt frei­ge­ge­ben sind, schützt nur das Betriebssystem, diese Zugriffe tauchen im Ereignisverlauf nicht auf. Zudem laufen Interpreter und Gateway außer­halb der Sandbox, der Bestand an Code, dem man vertrauen muss, wächst also. Analysten weisen gegen­über InfoWorld außer­dem darauf hin, dass Box nicht jede schäd­li­che Entscheidung inner­halb erlaub­ter Rechte verhin­dern kann und schlecht formu­lierte Regeln legi­time Arbeit blockie­ren können.

Was bedeutet das konkret?

Strands Box ist kein Produkt für den Redaktionsbetrieb. Das Muster dahin­ter lässt sich aber auf Integrationsprojekte über­tra­gen, in denen Agenten auf Redaktionssystem, DAM oder Infrastruktur zugrei­fen:

  • Least Privilege zuerst: Ein Agent bekommt ein eige­nes tech­ni­sches Konto mit genau den Rechten, die seine Aufgabe braucht, etwa Lesezugriff auf Metadaten im DAM, aber keine Lösch- oder Veröffentlichungsrechte.
  • Regeln außer­halb des Modells: Grenzen gehö­ren in eine Prüfschicht an Schnittstelle oder Gateway, nicht in den Prompt. Ein Modell lässt sich umstim­men, eine abge­lehnte API-Anfrage nicht.
  • Zustand mitden­ken: Viele Risiken entste­hen erst aus der Abfolge, etwa wenn ein Agent gesperrte Inhalte liest und danach einen exter­nen Dienst aufruft. Solche Ketten soll­ten Sie gezielt beschrei­ben.
  • Schlüssel tren­nen: API-Schlüssel für Redaktionssystem, DAM oder KI-Dienste gehö­ren nicht in die Umgebung des Agenten.
  • Entscheidungen proto­kol­lie­ren: Jede erlaubte und jede abge­lehnte Aktion sollte nach­voll­zieh­bar sein.

Unsere Einordnung für Integrationsprojekte

Für den Produktiveinsatz ist Strands Box heute zu früh. Lohnend ist es dennoch, die Architektur jetzt zu verste­hen: Sandbox, Regeln mit Gedächtnis und ausge­la­gerte Zugangsdaten bilden einen Rahmen, an dem sich auch andere Werkzeuge messen lassen.

Praktisch beginnt die Absicherung vor der Werkzeugwahl. Erfassen Sie, auf welche Systeme ein Agent zugrei­fen soll, welche Aktionen dort erlaubt sind und welche Kombinationen ausge­schlos­sen sein müssen. Diese Liste ist später die Grundlage für Rechte, Regeln und Tests, unab­hän­gig davon, ob Sie Strands Box, eine andere Lösung oder eigene Prüfungen an der Schnittstelle einset­zen.

Bei der Systemintegration ordnen wir solche Fragen gemein­sam mit Betreibern ein. Für KI-Aufgaben in WoodWing Studio und WoodWing Assets setzen wir mit ao.Services auf modu­lare, fest defi­nierte Automatisierungs-Workflows statt auf frei handelnde Agenten.

Ob ein Agent im Alltag hilft oder zum Risiko wird, entschei­det sich weni­ger am Modell als an den Grenzen, die das System um ihn zieht.

Quellen

Wie können wir Sie unter­stüt­zen?

Kostenloses Erst-Gespräch

Lassen Sie uns gemein­sam prüfen, wo in Ihren Kommunikations‑, Marketing- oder Unternehmensprozessen konkrete Effizienzpotenziale liegen.

– Henning Bartens, Co-CEO

Termin verein­ba­ren


Strukturiert. Ehrlich. Informativ.

Nach oben scrollen