Los agentes de IA necesitan un sandbox, no bypass por defecto
AI-агентыконтейнеризацияsandboxкибербезопасность
El contenedor debe limitar el daño, no crear una ilusión
Después de incidentes de borrado de particiones de disco, no discutiría los permisos mientras el agente siga viendo el host. La conclusión principal es simple: la autonomía solo es aceptable dentro de un entorno donde un error no pueda convertirse en la pérdida de una partición, secretos o configuración del sistema.
El resumen de la discusión en el que se basa esta nota no identifica a la organización ni al documento original. A fecha del 6 de septiembre de 2026, tampoco se indican las fechas de los incidentes; por eso, este texto debe leerse como un análisis arquitectónico y no como el anuncio de un lanzamiento reciente. Se examinan dos modos: acceso en línea tras aprobación humana y bypass permissions activado por defecto.
Un contenedor por sí solo no resuelve el problema. Un límite real implica ejecutar sin root, eliminar capacidades Linux innecesarias, usar un sistema de archivos de solo lectura y permitir escritura únicamente en un directorio de trabajo dedicado. El resumen menciona además gVisor, microVM, Landlock, AppArmor y controles de nivel SELinux para reforzar el aislamiento.
La red merece la misma desconfianza que el disco. Las conexiones salientes deben limitarse a servicios autorizados, y las credenciales deben emitirse para cada tarea, con un alcance reducido, y revocarse después. Identidades separadas para el modelo, el controlador del agente y las herramientas reducen el radio de impacto si una capa resulta comprometida.
También revisaría el socket del runtime de contenedores, los directorios padre, los secretos montados y cualquier forma de ampliar el acceso de red mediante una herramienta disponible. Por esas grietas, un contenedor deja rápidamente de ser un sandbox y se convierte en una caja decorativa.
Bypass solo sirve para acciones delimitadas de antemano
El equilibrio correcto no está entre autonomía total y avisos emergentes constantes. Un agente puede leer archivos automáticamente, editar datos dentro de su directorio de trabajo y ejecutar comandos reversibles si esas operaciones no pueden afectar físicamente al host.
El borrado de archivos, los cambios de particiones, el acceso a secretos, la configuración del sistema y las conexiones fuera de la lista permitida deben pasar por un motor de políticas y contar con aprobación humana. Además, el permiso debe vincularse a una acción concreta, no a toda la sesión: aceptar un comando no debe convertirse en un pase permanente.
El coste del control humano es evidente: el agente trabaja más despacio y se detiene con mayor frecuencia. Pero un bypass amplio sin aislamiento estricto solo cambia comodidad por un radio de fallo mayor. La autonomía no empieza con un botón de autorización automática, sino con la prueba de que el agente casi no tiene nada que romper.