Riesgos de seguridad y límites del sandbox
Por qué la configuración de un agente es importante para la seguridad, y qué puede y qué no puede hacer el sandbox de Managed Agents.
Esta página explica por qué es importante la configuración de Protege tu implementación de Managed Agents, y qué puede y qué no puede hacer el sandbox.
Por qué es importante
Las instrucciones ocultas en el contenido que lee un agente pueden dirigir al agente. Esto se llama prompt injection (inyección de prompts). Claude es inherentemente resistente a ella, pero el comportamiento del modelo no es un control de seguridad. La configuración de Protege tu implementación de Managed Agents limita el efecto si un intento tiene éxito.
Claude también puede dar un paso que no esperabas mientras sigue trabajando para terminar la tarea que le diste. Por ejemplo, podría usar una herramienta o credencial a la que tiene acceso para superar un obstáculo. La misma configuración limita lo que ese paso puede alcanzar, y un revisor sin conexión puede señalarlo después.
| Qué puede salir mal | Ejemplo | Controles |
|---|---|---|
| Una entrada no confiable dirige al agente | Un ticket le indica al agente que cancele todos los pedidos abiertos | Conjunto mínimo de herramientas, entrada no confiable alejada de herramientas potentes, aprobaciones para acciones riesgosas |
| El código en el sandbox puede usar una credencial | Un script que el agente ejecuta tras ser engañado envía la clave del agente a un host externo, o la usa para leer los pedidos de todos los clientes | Credenciales en vaults, red limitada, aprobaciones para acciones riesgosas |
| Una red abierta permite que salgan datos | Un comando bash envía un archivo a un host externo | Red limitada, la lista de dominios de web_fetch |
| Claude da un paso que no esperabas | Para superar un obstáculo, usa una herramienta o credencial a la que tiene acceso | La configuración de Protege tu implementación de Managed Agents. Un revisor sin conexión puede señalar el paso después |
Esta configuración reduce el riesgo pero no lo elimina, así que no pongas en el sandbox datos que nunca deban salir de él. Un agente aún puede incluir datos que tiene permitido leer en su propia respuesta o en la salida de una herramienta. Limita los permisos de una clave en el servicio que la emitió, porque esta configuración no los limita. La configuración no protege tus herramientas personalizadas, tus servidores MCP ni tu infraestructura autoalojada.
Qué puede y qué no puede hacer el sandbox
Managed Agents mantiene el bucle del agente, el historial de la sesión y los secretos del vault fuera del sandbox por diseño. Para conocer los antecedentes del diseño, consulta Scaling Managed Agents.
| Parte | Dónde se ejecuta | Qué la limita |
|---|---|---|
| Bucle del agente | Servidores de Anthropic | El conjunto de herramientas, las políticas de permisos y el presupuesto que configuras |
bash y herramientas de archivos | El sandbox. En un entorno en la nube, cada sesión obtiene su propio contenedor Linux aislado | La red del entorno, el conjunto de herramientas y las políticas de permisos |
web_search y web_fetch | Servidores de Anthropic | La propia lista de dominios de la herramienta y, en un entorno en la nube limited, los hosts permitidos del entorno. web_fetch además solo abre URLs que ya hayan aparecido en la sesión |
| Secreto del vault | Fuera del sandbox. Las credenciales de MCP nunca entran en él. Para una credencial de variable de entorno, el código ve un marcador de posición | Para una credencial de MCP, la URL del servidor MCP al que corresponde. Para una credencial de variable de entorno, los hosts que la credencial permite, su ubicación de inyección y los hosts permitidos del entorno |
| Historial de la sesión | Servidores de Anthropic, hasta que elimines la sesión | Las claves de API del espacio de trabajo, los roles Developer y Admin en la Claude Console, y la eliminación de sesiones |
| Herramientas personalizadas | Tu aplicación | Tu código |
En un entorno en la nube, las sesiones no comparten el estado del sistema de archivos. Un almacén de memoria adjunto a más de una sesión se comparte entre ellas.
Estos límites no se reemplazan entre sí. Por ejemplo, limitar los hosts del entorno no impide que el agente use una credencial en un host que permitiste.
Was this page helpful?