Amazon Web Services ha annunciato il 20 novembre Strands Box, un nuovo strumento open source pensato per imporre limiti comportamentali agli agenti di intelligenza artificiale autonomi. La divisione cloud di Amazon lo presenta come un sistema di isolamento a livello di sistema operativo capace di bloccare azioni indesiderate, in un contesto in cui gli agenti AI operano sempre più spesso in modalità automatica, senza supervisione umana costante.
Il tema non è marginale per chi investe in automazione aziendale basata su AI generativa. Gli agenti autonomi, se mal configurati, possono eseguire operazioni irreversibili, dalla cancellazione di database di produzione fino a chiamate API incontrollate con costi economici concreti per le imprese che li adottano. Il mercato del cosiddetto agentic AI cresce rapidamente, ma la fiducia delle organizzazioni resta frenata proprio dall'assenza di meccanismi di controllo affidabili.
AWS, multinazionale statunitense leader nel cloud computing, non è nuova a iniziative di questo tipo: Strands Box si inserisce in una serie di strumenti open source già rilasciati dall'azienda per governare il comportamento degli agenti AI. Il team di sviluppo ha descritto il problema con chiarezza nell'annuncio ufficiale.
La sfida dell'isolamento tradizionale
La soluzione tradizionale, ovvero l'uso di container o microVM per isolare gli agenti, presenta un limite strutturale secondo gli ingegneri di AWS: garantisce isolamento tecnico ma non applica regole contestuali. Un agente dentro un container isolato può comunque, una volta ottenuto l'accesso a uno strumento, eseguire qualsiasi azione consentita da quello strumento, senza che nulla lo fermi da comportamenti dannosi.
Funzionamento di Strands Box
Strands Box risolve parzialmente questo limite integrando altri progetti open source di AWS, in particolare il Dogwood Local Engine, che fornisce al motore di policy una sorta di memoria temporale degli eventi. In pratica, ogni richiesta di un agente viene valutata non solo rispetto a cosa vuole fare, ma anche rispetto a cosa ha già fatto in precedenza. Un esempio citato dall'azienda riguarda un agente autorizzato a pubblicare aggiornamenti su Slack, ma con un limite massimo di tre messaggi ogni dieci minuti per evitare lo spam verso gli operatori umani.
Marc Brooker, vicepresidente e distinguished engineer di AWS tra gli architetti di Dogwood e Strands Box, ha spiegato al portale The Register che gli interpreti integrati nello strumento — Strands Shell e Monty per Python — rendono più leggibile il comportamento degli agenti, permettendo agli sviluppatori di scrivere policy più precise.
Limiti e responsabilità
Un punto critico riguarda l'affidabilità del meccanismo: Brooker ha sottolineato che Box applica le regole in modo deterministico, senza fare affidamento sulla volontà dell'agente di rispettarle. Resta tuttavia un margine di rischio residuo, perché anche permessi configurati correttamente possono produrre risultati indesiderati in scenari non previsti dagli sviluppatori.
Lo stesso Brooker ammette che la responsabilità finale ricade sugli sviluppatori, chiamati a decidere quali accessi concedere e dove sia necessaria la revisione umana. Si tratta di un'ammissione significativa: nessuno strumento di controllo, per quanto sofisticato, sostituisce la governance organizzativa interna alle aziende che adottano agenti AI in produzione.
Disponibilità e prospettive future
Strands Box è disponibile su GitHub, ma al momento supporta solo macOS; il supporto per Linux è in sviluppo, mentre quello per Windows resta sul radar di AWS senza una data di rilascio. È previsto anche il deployment su piattaforme come AgentCore, ECS e Kubernetes. Brooker ha riconosciuto che la sicurezza degli agenti resta un'area in cui il settore deve ancora lavorare molto, impegno che AWS dichiara di voler mantenere sia nel proprio cloud sia nell'ecosistema open source.
Resta da capire se strumenti come questo basteranno a colmare il divario tra le promesse di autonomia degli agenti AI e la reale capacità delle imprese di governarli senza rallentarne l'utilità operativa, oppure se la sicurezza degli agenti continuerà a essere rincorsa dopo ogni nuovo incidente riportato dalla cronaca tecnologica.