"YOLO горим"-ыг таслан зогсооно: AWS бие даасан AI агентуудад зориулсан "Strands Box" нээлттэй сэндбоксыг зарлалаа

Агентуудын "YOLO горим" ба хөгжүүлэгчдийн шинэ толгойн өвчин

Программ хангамж хөгжүүлэлтийн өдөр тутмын амьдралд бие даасан AI агентууд (Claude Code, Codex CLI, Cursor агент г.м.) маш хурдацтай нэвтэрч байна. Хөгжүүлэгчид агентуудад shell комманд биелүүлэх, код засварлах, git push хийх, API дуудах эрхийг найдан өгөх болсон. Гэвч ихэнх багууд агент бүрийн алхам тутамд "Зөвшөөрөх үү?" гэж асуухаас залхаж, бүх үйлдлийг нь автоматаар зөвшөөрдөг буюу салбарынхны нэрлэж заншсанаар "YOLO mode" (You Only Live Once)-д шилжүүлж байна.

Энэхүү хяналтгүй эрх чөлөөний төлөөс асар өндөр. Бие даасан агент ажлын фолдероосоо хальж системийн чухал файлуудыг устгах, prod орчны санг цэвэрлэх, эсвэл өөрт нь харагдах ёсгүй нууц токен (.env, AWS credentials)-ийг гадагш нь алдах эрсдэл бодитой тулгарах болов.

Энэхүү эмзэг байдлыг үндсээр нь шийдвэрлэхээр Amazon Web Services (AWS) компани бие даасан агентуудын үйлдлийг үйлдлийн системийн түвшинд хязгаарлаж, нарийн дүрмээр хазаарладаг Strands Box нээлттэй эхийн сэндбоксоо Apache 2.0 лицензтэйгээр нийтэд танилцууллаа.

Strands Box гэж юу вэ? Энгийн Docker эсвэл VM-ээс юугаараа өөр вэ?

Олон хөгжүүлэгчид "Агентаа зүгээр л Docker контейнер юм уу microVM дотор тусгаарлачихвал болоо юм биш үү?" гэж боддог. Гэвч уламжлалт контейнерууд зөвхөн орон зайн тусгаарлалт (isolation) хийдэг. Өөрөөр хэлбэл, хэрэв та агентад ямар нэг хэрэгсэл (tool), терминал эсвэл сүлжээний эрх өгсөн л бол тухайн тусгаарлагдсан орчин дотроо юу хийхийг нь контейнер хянаж чаддаггүй. Жишээ нь, продакшн инцидент шалгаж буй агент лог унших эрхтэй байж болох ч дэд бүтцийн тохиргоог өөрчлөх ёсгүй.

Strands Box нь уг асуудлыг дараах хоёр түвшний хослолоор шийддэг:

Үйлдлийн системийн түвшний тусгаарлалт: macOS орчинд Seatbelt механизмыг ашиглан агентын хандаж болох файл, процесс, сангуудыг системийн цөм (kernel)-ийн түвшинд чанд хязгаарлана.
Семантик бодлогын хөдөлгүүр (Policy Engine): AWS-ийн өмнө зарласан нээлттэй эхийн Dogwood хэлийг ашиглан агентын хийх үйлдэл бүрт детерминистик (эргэлзээгүй тодорхой) дүрмийн хяналт тавина.

Өнгөрсөн түүхийг санадаг "Temporal Policies"

Strands Box-ийн хамгийн хувьсгалт шийдэл нь цаг хугацаа болон үйлдлийн түүхээс хамаарсан бодлого (Temporal Policies) юм. Энгийн IAM эрх зөвхөн тухайн агшинд ирсэн хүсэлтийг шалгадаг бол Dogwood хөдөлгүүр нь агентын өмнө нь хийсэн үйлдлүүдийн бүртгэл (history) дээр үндэслэн дараагийн эрхийг шийддэг.

Бодит жишээнүүдийг дурдвал:

Өгөгдөл алдагдахаас сэргийлэх: Хэрэв агент өмнөх алхамдаа хэрэглэгчийн эмзэг мэдээлэл бүхий хавтаснаас файл уншсан бол тухайн агентын гадаад интернэт рүү хийх бүх сүлжээний хүсэлт автоматаар хаагдана.
Үйлдлийн дарааллын хяналт: git push коммандыг зөвхөн автомат тестүүд (unit tests) амжилттай давсны дараа, мөн сүүлийн git add-аас хойш 15 минутын дотор л зөвшөөрнө.
Спам ба циклээс сэргийлэх: Агент Slack эсвэл Discord суваг руу ажлын явцаа мэдээлэх эрхтэй боловч 10 минут тутамд 3-аас илүү удаа мессеж илгээж чадахгүй.

Хамгийн гол нь эдгээр дүрэм LLM-ийн prompt биш учраас ямар ч prompt injection эсвэл хиймэл оюуны хий үзэгдэл (hallucination) энэхүү дүрмийг тойрч гарч чадахгүй.

4 гол хяналтын цэг ба Нууц түлхүүрийн хамгаалалт

Strands Box нь агентын ажиллах орчны 4 чухал цэг дээр бодлогын хяналт тавьдаг:

Shell коммандууд: Терминал дээр гүйцэтгэх комманд бүрийг шалгаж, аюултай скриптүүдийг шууд блоклоно.
Python орчин: Дотоодод ажиллаж буй Python интерпретатороор дамжих файлын болон сүлжээний дуудлагуудыг хянана.
MCP (Model Context Protocol) Broker: Орчин үеийн агентуудын хэрэглэж буй MCP серверүүдийн tool call бүрийг шүүнэ.
Сүлжээний гарц (Network Egress Gateway): Гадагш чиглэсэн бүх HTTP/TCP урсгалыг тунгаана.

Түүнчлэн Strands Box нь "Credential Isolation" буюу нууц түлхүүр нуух өвөрмөц механизмтай. Агентын өөрийнх нь ажиллаж буй орчинд бодит API түлхүүр, нууц үг хэзээ ч ордоггүй. Агент зөвхөн dummy placeholder утгуудыг харж ажиллана. Агент гадаад сервис рүү хүсэлт илгээх үед Strands Box-ийн сүлжээний гарц тухайн хүсэлт дүрмийн дагуу зөвшөөрөгдсөн эсэхийг шалгаад, яг гарах мөчид бодит токенийг толгой хэсэгт (header) орлуулан тавьж илгээдэг. Ингэснээр агент дотоод санах ойгоороо дамжуулан API key алдах эрсдэл тэг болж буурч байгаа юм.

Цаашдын төлөв ба хөгжүүлэгчид юуг анхаарах вэ?

Одоогоор Strands Box нь Developer Preview шатандаа яваа бөгөөд Apple silicon чиптэй macOS 15+ үйлдлийн систем дээр ажиллах боломжтой байна. AWS-ийн зүгээс удахгүй Linux (Lambda MicroVMs болон cgroups суурьтай) болон цаашид Windows дэмжлэгийг нэмж, Kubernetes, ECS зэрэг үүлэн дэд бүтцүүдэд зориулсан бүтэн экосистем болгон өргөжүүлэхээ зарлаад байна.

AI агентуудыг зүгээр л чатлах төдий бус, системийн чухал даалгавруудыг бие даан гүйцэтгэх түвшинд аваачихын тулд "итгэлцэл" бус харин "программчилсан хатуу хяналт" шаардлагатай болсныг энэхүү төсөл харуулж байна. Хэрэв та орон нутгийн машин дээрээ бие даасан CLI агентуудыг ажиллуулдаг бол Strands Box-ийг өнөөдрөөс туршиж үзэх нь таны код болон төхөөрөмжийг болзошгүй "YOLO сүйрэл"-ээс хамгаалах найдвартай бамбай болох нь дамжиггүй.

Эх сурвалж: AWS Architecture Blog, InfoWorld Developer News, GitHub (strands-agents/box)