Riscos de segurança e limites do sandbox
Por que as configurações de um agente são importantes para a segurança e o que o sandbox do Managed Agents pode e não pode fazer.
Esta página explica por que as configurações em Proteger sua implantação do Managed Agents são importantes e o que o sandbox pode e não pode fazer.
Por que isso é importante
Instruções ocultas em conteúdo que um agente lê podem direcionar o agente. Isso é chamado de "prompt injection" (injeção de prompt). O Claude é inerentemente resiliente a isso, mas o comportamento do modelo não é um controle de segurança. As configurações em Proteger sua implantação do Managed Agents limitam o efeito caso uma tentativa seja bem-sucedida.
O Claude também pode dar um passo que você não esperava enquanto continua trabalhando para concluir a tarefa que você lhe deu. Por exemplo, ele pode usar uma ferramenta ou credencial que consegue alcançar para superar um obstáculo. As mesmas configurações limitam o que esse passo pode alcançar, e um revisor offline pode sinalizá-lo posteriormente.
| O que pode dar errado | Exemplo | Controles |
|---|---|---|
| Entrada não confiável direciona o agente | Um ticket instrui o agente a cancelar todos os pedidos em aberto | Menor conjunto de ferramentas, entrada não confiável mantida longe de ferramentas poderosas, aprovações para ações arriscadas |
| Código no sandbox pode usar uma credencial | Um script que o agente foi induzido a executar envia a chave do agente para um host externo, ou a usa para ler os pedidos de todos os clientes | Credenciais em vaults, rede limitada, aprovações para ações arriscadas |
| Uma rede aberta permite a saída de dados | Um comando bash envia um arquivo para um host externo | Rede limitada, a lista de domínios do web_fetch |
| O Claude dá um passo que você não esperava | Para superar um obstáculo, ele usa uma ferramenta ou credencial que consegue alcançar | As configurações em Proteger sua implantação do Managed Agents. Um revisor offline pode sinalizar o passo posteriormente |
Essas configurações reduzem o risco, mas não o eliminam, portanto não coloque no sandbox dados que nunca devem sair dele. Um agente ainda pode colocar dados que tem permissão para ler em sua própria resposta ou na saída de ferramentas. Limite as permissões de uma chave no serviço que a emitiu, pois essas configurações não as limitam. As configurações não protegem suas ferramentas personalizadas, seus servidores MCP ou sua infraestrutura auto-hospedada.
O que o sandbox pode e não pode fazer
O Managed Agents mantém o loop do agente, o histórico da sessão e os segredos do vault fora do sandbox por design. Para o contexto do design, consulte Scaling Managed Agents.
| Parte | Onde é executada | O que a limita |
|---|---|---|
| Loop do agente | Servidores da Anthropic | O conjunto de ferramentas, as políticas de permissão e o orçamento que você define |
bash e ferramentas de arquivo | O sandbox. Em um ambiente em nuvem, cada sessão recebe seu próprio contêiner Linux isolado | A rede do ambiente, o conjunto de ferramentas e as políticas de permissão |
web_search e web_fetch | Servidores da Anthropic | A própria lista de domínios da ferramenta e, em um ambiente em nuvem limited, os hosts permitidos do ambiente. O web_fetch também abre apenas URLs que já apareceram na sessão |
| Segredo do vault | Fora do sandbox. Credenciais MCP nunca entram nele. Para uma credencial de variável de ambiente, o código vê um placeholder | Para uma credencial MCP, a URL do servidor MCP a que ela se destina. Para uma credencial de variável de ambiente, os hosts que a credencial permite, seu local de injeção e os hosts permitidos do ambiente |
| Histórico da sessão | Servidores da Anthropic, até que você exclua a sessão | As chaves de API do workspace, as funções Developer e Admin no Claude Console e a exclusão da sessão |
| Ferramentas personalizadas | Sua aplicação | Seu código |
Em um ambiente em nuvem, as sessões não compartilham o estado do sistema de arquivos. Um memory store (armazenamento de memória) anexado a mais de uma sessão é compartilhado entre elas.
Esses limites não substituem uns aos outros. Por exemplo, limitar os hosts do ambiente não impede que o agente use uma credencial em um host que você permitiu.
Was this page helpful?