AWS, Meta e la corsa a mettere in sandbox gli agenti AI nel browser

AWS ha lanciato Strands Box mercoledì. È un sandbox open source pensato per impedire agli agenti autonomi di operare in "YOLO mode", una modalità in cui approvano azioni senza revisione umana. Il sistema usa l'isolamento a livello di sistema operativo per applicare regole comportamentali rigorose, come spiega il comunicato dell'azienda.

Sicurezza e isolamento

Il problema centrale, secondo Marc Brooker, VP di AWS, è che i contenitori standard non applicano le regole in base al contesto. Un agente in un contenitore potrebbe eliminare un database di produzione o inviare spam su Slack se ha gli strumenti giusti. Strands Box risolve il problema integrandosi con Dogwood Local Engine, che aggiunge consapevolezza temporale ai controlli delle policy. Può limitare un agente a tre post su Slack ogni dieci minuti o bloccare le chiamate API per prevenire perdite finanziarie. L'integrazione consente un controllo granulare sulle azioni basate sul tempo, andando oltre i semplici set di permessi verso vincoli dinamici che si adattano all'attività recente e ai pattern storici dell'agente.

"Gli interpreti Shell e Python di Box espongono operazioni come eliminazioni di file, mentre i gateway espongono richieste API e chiamate di tool", ha detto Brooker a The Register. Questo permette agli sviluppatori di scrivere policy precise che tengono conto della storia di un agente, non solo della sua intenzione corrente. Lo strumento fa parte di un impegno più ampio di AWS per fornire strategie open source per rendere gli agenti AI responsabili.

Standardizzare l'accesso web

Meta e Sierra si occupano dell'interfaccia esterna. Mercoledì le due aziende hanno introdotto il Personal Agent Protocol, uno standard per il modo in cui gli agenti AI interagiscono con i siti web aziendali. Il protocollo mira a sostituire il metodo inefficiente in cui gli agenti navigano nei siti come utenti umani. Consente alle aziende di scegliere tra accesso web, accesso API tramite Model Context Protocol o integrazione diretta degli agenti. Il focus si sposta dall'emulazione del comportamento di navigazione umana alla creazione di canali di comunicazione diretti e strutturati tra entità AI e piattaforme aziendali, riducendo potenzialmente la latenza e i tassi di errore legati all'analisi visiva e alla navigazione basata su clic.

Secondo heise.de, il protocollo consente alle aziende di monitorare l'attività degli agenti e concedere accesso in lettura o scrittura, basato su autorizzazione OAuth. I partner iniziali sono Genesys, Instinct, Rocket, Shopify, Stripe e Walmart. Le specifiche usciranno come versione 0.1 entro la fine di questo mese. La mossa compete direttamente con gli standard esistenti di Visa, con Stripe e Shopify che partecipano a entrambi gli ecosistemi.

L'urgenza di questi controlli emerge dagli incidenti di sicurezza recenti. Una campagna di phishing contro i responsabili pubblicitari ha aggiunto un falso prodotto "Muse Ads" alla sua offerta, appena otto giorni dopo il lancio di Muse, l'agente AI personale di Meta. The Register ha riportato che la campagna usa attacchi "browser-in-browser" per rubare le credenziali. Oleg Zaytsev, ricercatore di sicurezza presso Island, ha notato che gli operatori hanno adattato rapidamente la piattaforma, usando l'annuncio di Muse come motivo credibile per indurre le vittime ad agire. La velocità dell'adattamento evidenzia la vulnerabilità dei nuovi lanci di prodotto all'esplorazione immediata da parte di malintenzionati che monitorano gli annunci aziendali per opportunità di ingegneria sociale.

"La parte impressionante è quanto velocemente hanno trasformato un annuncio tempestivo in un motivo credibile per agire", ha detto Zaytsev a The Register. Il vettore di attacco prevede una finestra di login falsa all'interno di un browser legittimo, ingannando il personale delle agenzie a consegnare le credenziali. Da un solo frontend, i ricercatori hanno osservato l'invio di circa 200 indirizzi email distinti in un mese, con il volume complessivo della campagna stimato notevolmente più alto.

Atrito per i consumatori e blocchi

Gli utenti si imbattono spesso in blocchi quando i loro agenti, come Muse di Meta o Dots di OpenAI, cercano di completare i compiti, secondo TechCrunch. Amazon ha esplicitamente bloccato Muse dal suo sito di vendita al dettaglio, mentre altri blocchi sembrano essere risultati accidentali di misure anti-bot tradizionali. Walmart ha detto a TechCrunch che i suoi blocchi non erano intenzionali, poiché l'azienda è partner di Muse. Il problema sorge spesso quando un sito web presenta un pulsante di verifica umana che interrompe il flusso dell'agente. L'attrito evidenzia un disallineamento tra l'infrastruttura di sicurezza web attuale e l'era agent-first. I partner del settore, tra cui Meta, Walmart e Stripe, stanno lavorando su standard aperti per distinguere gli agenti legittimi dai bot malevoli. La sfida sta nel creare metodi di verifica abbastanza sicuri da prevenire gli abusi ma abbastanza trasparenti da consentire agli agenti autorizzati di funzionare senza intervento umano.

L'agente Dots di OpenAI ha affrontato i suoi problemi. Wired ha riportato che l'agente, che richiede un abbonamento di 100 dollari al mese, ha faticato con compiti di base come ricordare i nomi degli utenti e risolvere i captcha. In un caso, un agente chiamato Toolie ha detto erroneamente a un utente di amarlo, evidenziando le imperfezioni delle attuali implementazioni di agenti rivolti ai consumatori.

L'infrastruttura per governare questi strumenti sta diventando importante quanto gli agenti stessi. La corsa non riguarda più solo la capacità, ma il controllo, la standardizzazione e la fiducia in un web autonomo.