AWS, Meta e la corsa a mettere in sandbox gli agenti AI nel browser

AWS ha lanciato Strands Box mercoledì. Si tratta di un sandbox open source progettato per impedire agli agenti autonomi di operare in "YOLO mode", una modalità in cui approvano azioni senza revisione umana. Secondo un comunicato dell'azienda, il sistema utilizza l'isolamento a livello di sistema operativo per applicare regole comportamentali rigorose.

Sicurezza e isolamento

Il problema centrale, come spiegato da Marc Brooker, VP di AWS, è che i contenitori standard non applicano le regole in base al contesto. Un agente all'interno di un contenitore potrebbe eliminare un database di produzione o inviare spam su Slack se dispone degli strumenti adatti. Strands Box risolve questo integrandosi con Dogwood Local Engine, che aggiunge consapevolezza temporale ai controlli delle policy. Ad esempio, può limitare un agente a tre post su Slack ogni dieci minuti o bloccare le chiamate API per prevenire perdite finanziarie. Questa integrazione consente un controllo granulare sulle azioni basate sul tempo, andando oltre i semplici set di permessi verso vincoli comportamentali dinamici che si adattano all'attività recente e ai pattern storici dell'agente.

"Gli interpreti Shell e Python di Box espongono operazioni come eliminazioni di file, mentre i suoi gateway espongono richieste API e chiamate di tool", ha detto Brooker a The Register. Questo permette agli sviluppatori di scrivere policy precise che tengono conto della storia di un agente, non solo della sua intenzione corrente. Lo strumento fa parte di un più ampio impegno di AWS per fornire strategie open source per rendere gli agenti AI responsabili.

Standardizzare l'accesso web

Meta e Sierra stanno affrontando l'interfaccia esterna. Mercoledì, le due aziende hanno introdotto il Personal Agent Protocol, uno standard per il modo in cui gli agenti AI interagiscono con i siti web aziendali. Il protocollo mira a sostituire il metodo inefficiente in cui gli agenti navigano nei siti web come utenti umani. Invece, consente alle aziende di scegliere tra accesso web, accesso API tramite Model Context Protocol o integrazione diretta degli agenti. Questo spostamento sposta il focus dall'emulazione del comportamento di navigazione umana alla creazione di canali di comunicazione diretti e strutturati tra entità AI e piattaforme aziendali, riducendo potenzialmente la latenza e i tassi di errore associati all'analisi visiva e alla navigazione basata su clic.

Secondo heise.de, il protocollo consente alle aziende di monitorare l'attività degli agenti e concedere accesso in lettura o scrittura, basato su autorizzazione OAuth. I partner iniziali includono Genesys, Instinct, Rocket, Shopify, Stripe e Walmart. Le specifiche sono previste per essere rilasciate come versione 0.1 entro la fine di questo mese. Questa mossa compete direttamente con gli standard esistenti di Visa, con Stripe e Shopify che partecipano a entrambi gli ecosistemi.

L'urgenza di questi controlli è chiara dagli incidenti di sicurezza recenti. Una campagna di phishing che prende di mira i responsabili pubblicitari ha aggiunto un falso prodotto "Muse Ads" alla sua offerta, appena otto giorni dopo il lancio dell'agente AI personale di Meta, Muse. The Register ha riportato che la campagna utilizza attacchi "browser-in-browser" per rubare le credenziali. Oleg Zaytsev, ricercatore di sicurezza presso Island, ha notato che gli operatori hanno adattato rapidamente la loro piattaforma, usando il tempestivo annuncio di Muse come motivo credibile per indurre le vittime ad agire. La velocità di questa adattabilità evidenzia la vulnerabilità dei nuovi lanci di prodotti all'esplorazione immediata da parte di malintenzionati che monitorano gli annunci aziendali per opportunità di ingegneria sociale.

"La parte striking è quanto velocemente hanno trasformato un annuncio tempestivo in un motivo credibile per qualcuno di agire", ha detto Zaytsev a The Register. Il vettore di attacco comporta una finestra di login falsa all'interno di un browser legittimo, ingannando il personale delle agenzie a consegnare le credenziali. Da un solo frontend, i ricercatori hanno osservato invio di circa 200 indirizzi email distinti in un mese, con il volume complessivo della campagna stimato notevolmente più alto.

Atrito per i consumatori e blocchi

Gli utenti si imbattono frequentemente in blocchi quando i loro agenti, come Muse di Meta o Dots di OpenAI, cercano di completare i compiti, secondo TechCrunch. Amazon ha esplicitamente bloccato Muse dal suo sito di vendita al dettaglio, mentre altri blocchi sembrano essere risultati accidentali di misure anti-bot tradizionali. Walmart ha detto a TechCrunch che i suoi blocchi non erano intenzionali, poiché l'azienda è partner di Muse. Il problema sorge spesso quando un sito web presenta un pulsante di verifica umana che interrompe il flusso dell'agente. Questo attrito evidenzia un disallineamento tra l'infrastruttura di sicurezza web attuale e l'era agent-first. I partner del settore, tra cui Meta, Walmart e Stripe, stanno lavorando su standard aperti per distinguere gli agenti legittimi dai bot malevoli. La sfida sta nel creare metodi di verifica abbastanza sicuri da prevenire gli abusi ma abbastanza trasparenti da consentire agli agenti autorizzati di funzionare senza intervento umano.

L'agente Dots di OpenAI ha affrontato un proprio set di problemi. Wired ha riportato che l'agente, che richiede un abbonamento di 100 dollari al mese, ha faticato con compiti di base come ricordare i nomi degli utenti e risolvere i captcha. In un caso, un agente chiamato Toolie ha detto erroneamente a un utente di amarlo, evidenziando le imperfezioni delle attuali implementazioni di agenti rivolti ai consumatori.

L'infrastruttura per governare questi strumenti sta diventando importante quanto gli agenti stessi. La corsa non riguarda più solo la capacità, ma il controllo, la standardizzazione e la fiducia in un web autonomo.