Sandbox: aislar a un agente de IA para contener los riesgos
El sandbox (entorno aislado o «caja de arena») consiste en hacer trabajar a un agente de IA en un entorno cerrado, con acceso limitado a archivos, red y comandos. Si el agente se equivoca o lo manipulan, los daños quedan confinados en ese espacio.
Datos a 22 de octubre de 2026
Lo esencial en cifras
| Nivel | Avanzado |
|---|
El principio
Un agente de IA que ejecuta comandos actúa con los permisos que se le dan. En el ordenador de su usuario, sin precauciones, podría leer contraseñas, modificar archivos del sistema o enviar datos al exterior. El sandbox traza una frontera: dentro, el agente hace lo que quiere; fuera, todo está bloqueado o requiere autorización.
Hay dos barreras esenciales:
- Aislamiento del sistema de archivos: el agente solo ve y modifica una carpeta de trabajo definida.
- Aislamiento de red: solo puede conectarse a direcciones aprobadas.
En un artículo de octubre de 2025 sobre el aislamiento de Claude Code, Anthropic insiste en que ambas son necesarias y describe el uso de mecanismos del sistema operativo (bubblewrap en Linux, Seatbelt en macOS) para aplicarlas.
Un ejemplo concreto
Pide a una herramienta de programación agéntica que corrija un error. Dentro de su sandbox puede leer y modificar el código del proyecto, ejecutar los tests e instalar dependencias desde un registro autorizado. No puede abrir su carpeta personal ni contactar con un servidor desconocido. Si un archivo del proyecto esconde una instrucción para enviar sus claves de acceso a otro sitio, la inyección de prompt fracasa: la salida de red está bloqueada.
Las técnicas habituales
Según el nivel de riesgo, el aislamiento va desde una simple carpeta restringida hasta un contenedor, una máquina virtual ligera o un ordenador remoto desechable. Los agentes que manejan una interfaz gráfica (uso del ordenador) suelen funcionar en una máquina virtual dedicada que se reinicia tras cada tarea.
Por qué importa
El sandbox cambia la forma de controlar. En lugar de pedir permiso al usuario para cada acción, algo que acaba cansándolo hasta que lo acepta todo, se definen los límites una vez y el agente trabaja con libertad dentro de ellos. Complementa las salvaguardas y el humano en el bucle para las acciones irreversibles. Para valorar una tarea antes de delegarla, la herramienta ¿Puedo confiar esto a un agente? ofrece una lista de comprobación sencilla.
Ideas falsas frecuentes
- «Mi agente es fiable, no necesita aislamiento». El riesgo también viene de los contenidos que lee, no solo de sus propios errores.
- «Un contenedor siempre basta». Sin restricciones de red ni una gestión cuidadosa de los secretos, un contenedor todavía puede dejar escapar datos.
Términos relacionados
- Inyección de prompt · Ataque que introduce instrucciones ocultas en un texto que lee una IA para que ignore sus consignas o actúe contra el usuario.
- Barreras de seguridad (guardrails) · Controles situados alrededor de un modelo de IA para filtrar lo que entra y lo que sale, y bloquear respuestas o acciones no deseadas.
- Computer use (agente que usa un ordenador) · Capacidad de un modelo de IA para manejar un ordenador como una persona: mira capturas de pantalla, mueve el ratón, hace clic y escribe.
- Programación agéntica · Desarrollo de software en el que un agente de IA lee el código, edita archivos, ejecuta pruebas y corrige sus errores en varios pasos, bajo supervisión.
- Humano en el bucle · Principio por el que una persona valida, corrige o detiene los pasos importantes de una IA o de un agente antes de que se ejecuten.
Para probar
Todo el glosario
Preguntas frecuentes
¿Un sandbox hace que un agente sea totalmente seguro?
No. Limita las consecuencias de un error o de un ataque, pero el agente todavía puede hacer mal lo que se le permite, por ejemplo borrar archivos de su carpeta de trabajo. Se combina con salvaguardas, copias de seguridad y validaciones humanas.
¿Por qué aislar también la red y no solo los archivos?
Porque un agente que puede leer datos sensibles y conectarse a cualquier servidor puede sacarlos fuera. Anthropic subraya que un sandbox eficaz exige aislar a la vez el sistema de archivos y la red.
¿Los asistentes de consumo usan un sandbox?
Cuando un asistente ejecuta código para analizar un archivo o hacer un cálculo, esa ejecución suele hacerse en un entorno aislado del proveedor. Los detalles varían según el servicio y no siempre se publican.
¿Hace falta un sandbox para un agente que solo lee?
El riesgo es menor, pero no nulo: una página o un documento trampa puede empujar al agente a divulgar lo que ha leído. Limitar las salidas de red sigue siendo una buena práctica si hay datos confidenciales en juego.
Fuentes de los datos
Datos a 22 de octubre de 2026
Señalar un error
¿Una cifra, una fecha o un dato le parece incorrecto? Díganoslo: verificamos cada aviso.