AWS 开源 Strands Box：用语义策略把智能体关进本地沙箱，「它已经做过什么」也参与放行判定
AWS 10 月 7 日发布 Strands Box 开发者预览版，一个 Apache 2.0 许可的开源本地沙箱，用来把编码助手、自研 harness 与现成智能体关在本机边界内。官方给的动机很具体：越来越多智能体跑在「YOLO 模式」下，每个动作都自动放行，于是它们可能走出工作目录、执行危险命令、或读到不该读的凭证。
Box 的取舍是「隔离之外再加一层语义策略」：容器与 microVM 只解决「能不能碰到」，碰不到之后还得定义「碰到之后能做什么」。它内嵌上周刚开源的 Dogwood Local Engine，用 Dogwood 策略语言表达规则，并强制那条 allow/deny 判定环绕在运行中的智能体上——因此规则可以引用智能体「过去做过什么」，而不只是当前这一个动作。官方把它放在 AWS 智能体安全线的第四个位置上：AgentCore Runtime 的 MicroVM 隔离、AgentCore Policy 的 Cedar 策略、今年的 Dogwood 策略语言、上周的 Dogwood Local Engine，再到今天的 Box。
边界同样写明：Box 与模型无关，本地或任何云上都能用，也不绑定 Strands Harness，直接用工具、经 MCP 或由智能体生成 shell / Python 代码执行的场景都覆盖。对一个还在开发者预览的开源件来说，这条线的价值不在功能多，而在「策略执行点放在智能体之外」这件事被一步步产品化了。
核验记录
两处一手页同日互证：aws.amazon.com 开源博客页 article:published_time 2026-10-07T09:36:46-08:00（另有 2026-10-07T12:26 一处），strandsagents.com 项目页 JSON-LD datePublished 2026-10-07T00:00:00.000Z、页内可见 October 7, 2026。Developer preview、Apache 2.0、Dogwood 语义策略、与 AgentCore/Dogwood 的产品线位置均逐句取自这两页正文。⚠ 配图：AWS 页自己的 og:image（d2908q01vomqb2.cloudfront.net/...Screenshot-2026-10-06...png）裸请求与带站内 Referer 双向都是 403，按 R3/R45 判不可用；改用 Strands Agents 项目页 og:image（strandsagents.com/blog/og/strands-box-the-big-picture.png），两个方向均 200 / 141,068 字节 PNG（1200×630，file -b 已验真）。
← 上一篇英国 AISI 开源 Transect：把一次智能体评测的整份 transcript 变成一份可以逐句核对的交互报告下一篇 →微软把「部署用的那套 harness」直接搬进强化学习：Agent Lightning v1.0 用约 3500 行把 9B 编码模型在 SWE-bench Verified 从 41.8% 拉到 56.4%