AWS预览Strands Box：Agent读过敏感文件后，怎样限制外发？

AWS于2026年10月7日宣布Strands Box开发者预览，将操作系统隔离与Dogwood策略结合。公告以macOS为起点，其他操作系统支持仍在规划中。本文的事件日期和两篇官方博文发布日期都是10月7日；资料核验日期为10月12日。

这条新闻对允许Agent读企业文件、调用工具和访问外网的开发团队有意义：静态允许某个地址，并不能回答读取敏感资料后是否还应允许。Box可以把经过其执行入口的操作记录交给历史规则判断，官方也明确说明直接文件访问存在历史盲区。

预览版适合在隔离测试环境中核对自己的访问路径。官方设计文章同时建议云端多租户部署为每个会话另设VM或microVM。本文不把本地策略能力当作租户隔离，也不把规划中的平台支持写成已经可用。

官方安全文档标注Box为0.1.x预发布软件。直接授权的路径可以由进程自行访问，这类访问没有策略决定与记录；经Box的Shell或Python解释器进行的文件操作才受对应文件策略判断。某个工具启动获准，也不表示该工具内部每次文件读取都经过同样的判断。

下表是本站建议的验收清单。把同一个业务任务可能采用的路径分别填满；无法确认的项保留“未覆盖”，不能因为一次Shell测试成功就把所有读取方式都勾成通过。

官方动作参考把fs:read分为read_content、read_metadata、enumerate等操作。企业若只关心内容暴露，要明确触发条件；如果元数据本身也敏感，则另行纳入。分类来自企业的数据规则，产品不会替你判定一份文件能否离开组织。

先用自然语言写清规则，再由维护人员按当前版本实现。以下是本站的设计条件，不是可直接复制运行的Dogwood配置：

这个安排可能影响任务可用性。若敏感文件内容必须发送到云端模型才能生成结果，简单关闭全部外发就会中断任务；先确认该传输是否获准，再选择本地处理、脱敏后的独立阶段或受控模型入口。不能为了让演练跑通，临时扩大所有出口。

教学输入：一个仅含虚构姓名和虚构订单的文件、一份不含敏感信息的公开说明，以及只记录测试请求的受控接收端。敏感文件中的唯一标记用FAKE-ORDER-T017，任务标识用T-017。它们都是教学数据，没有客户资料；示例不代表产品已测试或已经符合企业要求。

先固定产品版本、配置与策略版本。准备彼此独立、只含虚构数据的测试场景，并分别记录box目录和初始历史、上下文。步骤1与2在同一干净场景中按“基线发送→敏感读取→再次发送”执行；步骤3、步骤4及各个步骤5出口另用干净场景，不能沿用步骤2已经触发的限制。敏感读取和外发按顺序执行，不开启并发。每轮记录调用入口、读取结果、策略决定和接收端实际收到的内容，只保留虚构标记及必要元数据。

“干净场景”指专门新建的虚构测试状态，不是删除已有敏感任务的历史或放宽权限。需要测试重启和历史延续时，保留原场景并使用下一节的边界演练。

T-017的结论应写成“某版本、某读取入口、某出口、某顺序下符合约定”，并保留失败项。Agent在回答中说“我已遵守规则”不能代替接收端证据。步骤3用于发现覆盖盲区；若这一路径会让敏感资料抵达可外发进程，即使步骤2成功也不应扩大试点。

官方设计文档说明每个box有自己的持久历史，同一box重启会复用；新建或修改的历史规则可能从空状态开始，不同box也不共享历史。历史窗口之外的事件会被清理。由结果事件触发的判断还存在操作已经进行、结果尚未记录的间隙。

敏感读取与外发可能并行时，本站建议在读取前就限制相关出口，或拆成不允许外发的敏感处理阶段。已经发送的请求无法被之后的规则追回，未完成请求也要单独核对。若任务必须持续把敏感内容交给外部服务，问题应回到已批准的数据流与对象权限，不能靠“先读后禁发”替代它们。

官方遥测指南提供决定记录，可查看动作、permit／deny、原因和决定规则。用它定位为何允许或拒绝，再与受控接收端的请求记录对照；遥测记录与策略引擎的历史文件用途不同，不能把普通日志缺一行解释为引擎没有处理过该操作。

官方安全文档也明确这些记录不是防篡改审计轨迹，远端服务不由Box隔离。某条请求获准后，接收方如何保存、再转发或使用资料仍需独立约定。

可以先选一个不涉及真实客户资料的任务，完成上面的路径表和顺序演练。没有覆盖的直接读取、原生网络或连接器先保持限制，之后再讨论更多工具。历史策略提供的是一种额外判断条件，现有身份、业务对象权限和数据处理合同仍需成立。

需要讨论企业AI／FDE接入时，可以带上脱敏的数据流、实际读取方式、外发清单和一条失败演练记录，与AI随心创沟通梳理范围。无需提供生产凭证或原始敏感文件。