Sandbox para agentes de IA: limites de execução

Um agente recebe cinquenta contratos, instala uma biblioteca, executa um script e entrega uma planilha consolidada. A demonstração parece segura porque tudo aconteceu “dentro de um sandbox”. Mas o ambiente tinha acesso ao diretório inteiro do cliente, uma chave de nuvem em variável de ambiente, internet aberta e um servidor MCP rodando fora da fronteira de isolamento. O processo ficou separado do computador ou apenas ganhou um nome tranquilizador?

Sandbox é um ambiente delimitado para executar código, manipular arquivos e usar ferramentas sem entregar acesso irrestrito ao host. Ele é importante, mas não é um selo universal de segurança. O que protege a empresa é o contrato concreto: qual carga entra, quais arquivos aparecem, para onde a rede sai, quais credenciais podem ser usadas, quanto recurso existe, o que persiste e como um resultado atravessa a fronteira.

A documentação atual da OpenAI sobre segurança de sandboxes resume o ponto central: código gerado pelo agente pode acessar arquivos, credenciais e rede disponíveis no ambiente. A Cloudflare, em orientação atualizada em 22 de outubro de 2026, recomenda assumir que o código usará tudo o que conseguir alcançar dentro do sandbox. Portanto, isolamento não substitui escopo mínimo.

Sandbox não é sinônimo de permissão segura

Separe três camadas que costumam ser tratadas como uma só:

Ambiente de execução: onde comandos, processos, pacotes, arquivos e portas existem.
Plano de controle: quem escolhe ferramentas, inicia e interrompe sessões, aprova ações, registra eventos e recupera o estado.
Sistemas de negócio: ERP, CRM, e-mail, nuvem, banco, WhatsApp e demais destinos em que uma ação produz efeito real.

Um processo pode estar perfeitamente isolado do servidor hospedeiro e ainda possuir uma credencial capaz de cancelar pedidos, enviar mensagens ou baixar dados demais. Também pode alterar um arquivo compartilhado que, depois, será executado por CI, IDE ou automação fora do sandbox. O isolamento reduz o raio de impacto técnico; a alçada, o gateway de ferramentas e a aprovação controlam o efeito operacional.

O guia de agentes em sandbox da OpenAI recomenda separar o plano de controle do ambiente de computação. O primeiro pode manter autenticação, auditoria, aprovações e recuperação em infraestrutura confiável; o segundo fica limitado a arquivos, comandos, pacotes e montagens necessários para a tarefa. Essa arquitetura é uma decisão de operação, não apenas de infraestrutura.

O que significa “mesmo sandbox”

A menor unidade de confiança precisa ser explícita. Dois clientes, duas filiais ou dois jobs no mesmo ambiente podem compartilhar processos, arquivos, portas locais, caches e estado persistido. Separar apenas por pasta ou usuário de sistema pode não ser suficiente, dependendo da tecnologia escolhida.

A orientação da Cloudflare afirma que tudo dentro de um mesmo sandbox deve ser tratado como compartilhado e recomenda uma instância por usuário ou por job quando trabalhos não podem ler dados uns dos outros. A documentação de segurança do Docker Sandboxes mostra a mesma ideia por outra arquitetura: a microVM é a fronteira principal, mas diretórios montados, rede permitida, credenciais mediadas, skills compartilhadas e gateways MCP continuam atravessando essa fronteira de forma controlada.

Isso muda a pergunta de compra. Em vez de “o produto tem sandbox?”, pergunte: qual é a unidade isolada, o que cruza a fronteira e quem consegue ampliar essa permissão?

Método CÁPSULA: sete decisões antes de liberar execução

C — Classifique a carga. Liste código gerado, arquivos enviados, dependências, repositórios, documentos, imagens e instruções externas. Marque o que é confiável, desconhecido ou potencialmente hostil. Um PDF, pacote ou repositório pode carregar conteúdo que tenta orientar o agente ou explorar o executor.
Á — Áreas montadas e compartilhadas. Defina caminhos de leitura, escrita e saída. Prefira cópia privada, montagem somente leitura e diretório de artefatos separado. Decida se a unidade é por cliente, caso, job ou sessão. Não monte um drive inteiro quando a tarefa precisa de vinte arquivos.
P — Portas, rede e provedores. Comece com saída bloqueada. Libere destinos, métodos e portas necessários, pelo menor tempo possível. Registre DNS, proxy, downloads, uploads e conexões MCP. Instalar um pacote pede acesso ao repositório; não pede internet irrestrita.
S — Segredos fora do ambiente. Não entregue chaves de longa duração em prompt, arquivo ou variável que o código possa ler. Use proxy, broker, cofre, token curto e escopo por serviço, cliente, ação e tempo. O sandbox deve pedir uma operação; a infraestrutura confiável decide se injeta a autorização.
U — Uso e recursos. Limite CPU, memória, disco, processos, duração, tentativas, concorrência, tamanho de arquivos e custo. Defina o que acontece no timeout: interromper, preservar para investigação, retomar de checkpoint ou descartar. “Travou” não pode virar consumo ilimitado.
L — Limpeza e ciclo de vida. Determine o que nasce limpo, o que pode persistir, quem acessa snapshots e quando tudo é destruído. Cache, histórico de shell, logs, configuração de pacote e arquivos temporários também carregam dados. Reusar ambiente economiza tempo, mas amplia contaminação entre tarefas.
A — Auditoria e autorização de saída. Registre entradas, imagem/base, política efetiva, comandos, rede, alterações, artefatos e encerramento. Valide arquivos antes de movê-los para fora. Ações em sistemas oficiais passam por ferramenta tipada, alçada, confirmação e reconciliação; não por acesso genérico do shell.

Matriz sensibilidade dos dados × alcance do efeito

Dados pouco sensíveis + efeito reversível: ambiente temporário, acesso mínimo a arquivos e revisão simples do artefato podem bastar.
Dados sensíveis + efeito reversível: instância exclusiva, entradas minimizadas, montagem somente leitura, rede bloqueada e destruição comprovada.
Dados pouco sensíveis + efeito amplo: o risco principal está na ação externa. Use gateway tipado, limites de volume e valor, simulação, aprovação e recibo do sistema.
Dados sensíveis + efeito amplo: separação por job ou cliente, saída de rede por allowlist, credenciais mediadas e efêmeras, alçada por ação, monitoramento e resposta a incidente.

A matriz evita um erro comum: escolher isolamento apenas pelo dado. Um agente que usa informação pública para alterar produção pode ter consequência maior do que outro que lê dados restritos e apenas prepara um resumo para revisão.

Contrato mínimo da CÁPSULA

ID do job, solicitante, cliente, finalidade, owner e prazo;
imagem ou template, versão, dependências permitidas e assinatura;
arquivos de entrada, classificação, origem, checksum e validade;
caminhos de leitura, escrita, execução e saída;
destinos de rede, portas, protocolos, métodos e justificativa;
serviços autenticados, escopo do token, duração e broker responsável;
CPU, memória, disco, processos, concorrência, tempo e custo máximos;
ferramentas MCP e integrações, indicando se rodam dentro ou fora do isolamento;
política de persistência, snapshot, cache, retenção e destruição;
critérios de aprovação, exportação e uso dos artefatos;
logs obrigatórios, alertas, modo degradado e resposta a violação;
evidência final de conclusão, limpeza e reconciliação.

Exemplo hipotético: conferência de contratos de fornecedores

Uma empresa quer usar um agente para ler contratos e montar uma tabela de obrigações. No desenho inicial, o agente recebe acesso ao drive jurídico, instala bibliotecas da internet, usa a credencial de nuvem da aplicação e salva o resultado no mesmo diretório. A tarefa é simples, mas o alcance não é.

O piloto seleciona vinte contratos e os copia para uma área exclusiva, somente leitura, sem outros clientes ou pastas do departamento.
O ambiente nasce de uma imagem aprovada. Pacotes adicionais ficam bloqueados; se um for necessário, entra por processo separado de avaliação.
A rede permanece fechada. O modelo e o armazenamento são acessados pelo plano de controle, que não entrega as chaves ao código executado.
O agente grava apenas JSON e planilha na pasta de saída. Macros, executáveis, links externos e formatos inesperados são rejeitados.
Uma pessoa revisa amostra, fonte, campos vazios e divergências antes de importar qualquer obrigação para o sistema oficial.
Ao final, o processo registra hashes dos insumos e artefatos, política efetiva, logs e destruição da instância.

O sandbox não decide se a cláusula foi interpretada corretamente nem se uma obrigação deve ser criada. Ele reduz a superfície técnica da execução. Qualidade, aceite e efeito no sistema permanecem em controles próprios.

Como aplicar nas verticais da V7

v7 Obras: isole modelos, diários, fotos e planilhas por empreendimento; o agente produz artefatos, mas não publica medição nem altera planejamento sem aceite.
v7 Carteira: separe arquivos por cliente ou lote de pedidos; não exponha credencial ampla do ERP ao ambiente que interpreta anexos recebidos.
v7 Agro: mantenha documentos técnicos e dados de produtor no escopo estritamente necessário; recomendação e pedido continuam sob responsável e regra competente.
v7 Imob: use instância por carteira ou caso, evitando misturar documentos, propostas e dados pessoais de locatários ou compradores.
v7 Clínicas Retorno: prefira execução sem internet e com dados minimizados; um sandbox não amplia a finalidade autorizada nem transforma automação administrativa em decisão clínica.
v7 Custom: desenhe o ambiente por tarefa, não por tecnologia: leitura de documentos, geração de código, navegação e ação em sistema pedem contratos diferentes.

Placar operacional do sandbox

Jobs isolados conforme política: execuções com unidade correta por cliente, usuário ou tarefa.
Exposição de entrada: volume e classes de dados efetivamente montados versus o mínimo planejado.
Exceções de rede: destinos liberados, negados e adicionados fora do contrato original.
Segredos visíveis ao processo: contagem e escopo; o objetivo para chaves de longa duração é zero.
Estouro de recursos: jobs interrompidos por tempo, memória, disco, processos ou custo.
Artefatos rejeitados: saídas bloqueadas por formato, conteúdo, malware, ausência de fonte ou regra de qualidade.
Tempo de destruição: entre encerramento e eliminação comprovada do ambiente e de temporários.
Ações externas reconciliadas: operações autorizadas que produziram o efeito esperado no sistema oficial.

Piloto assistido de 20 dias úteis

Dias 1 a 4: escolha uma tarefa que realmente precise de arquivos ou código. Mapeie carga, dado, efeito externo, owner e critério de aceite.
Dias 5 a 8: crie o contrato CÁPSULA, a imagem aprovada e as políticas de montagem, rede, recursos, credenciais e ciclo de vida.
Dias 9 a 12: execute casos normais e adversariais: arquivo com instrução escondida, pacote inesperado, tentativa de ler outro diretório, upload para domínio não permitido e consumo excessivo.
Dias 13 a 16: teste fronteiras: snapshot reutilizado, job concorrente, MCP local, falha do proxy, timeout, artefato malformado e tentativa de usar credencial fora do escopo.
Dias 17 a 20: revise logs, exceções e custos; corrija o contrato, repita casos críticos e aprove apenas o trecho que deixou evidência de contenção e resultado.

O material do NIST sobre ameaças e mitigações em IA agêntica combina escopo estrito de ferramentas, sandbox, aprovação por ação, tokens vinculados ao workflow, isolamento de memória, componentes assinados, limites de raio de impacto e telemetria. A lição prática é defesa em camadas: nenhum controle carrega sozinho a responsabilidade.

Sinais de alerta

“sandbox” aparece na proposta, mas o fornecedor não nomeia a fronteira técnica;
clientes ou jobs diferentes reutilizam arquivos, caches, snapshots ou credenciais;
o ambiente recebe o diretório inteiro porque é mais fácil;
internet aberta é requisito padrão, não exceção justificada;
chaves reais entram em variáveis, prompts, URLs, logs ou repositórios;
um MCP local ou daemon roda no host com privilégios maiores que o agente;
não há limite de tempo, disco, processos, tentativas ou custo;
artefatos saem do ambiente e entram em produção sem validação;
o time testa apenas se a tarefa termina, não se a contenção resiste;
ninguém consegue provar quando a instância e seus dados foram destruídos.

O ponto de vista da V7 Agents

IA gera ROI quando consegue trabalhar com contexto suficiente sem receber alcance desnecessário. O sandbox é parte dessa engenharia: ele transforma uma capacidade aberta de executar em um ambiente limitado, observável e descartável. Mas resultado operacional também exige processo, dados, responsável, alçada, rotina de revisão e confirmação no sistema oficial.

O V7 IA Ready ajuda a identificar tarefas que realmente precisam de execução, classificar dados e efeitos, definir fronteiras e preparar um piloto. O v7 Custom implementa agentes internos com ferramentas e ambientes ajustados ao processo. A Operação Contínua acompanha dependências, políticas, exceções e métricas, porque a fronteira segura de hoje pode deixar de ser suficiente depois de uma nova integração.

Fontes consultadas

Seu agente está isolado ou apenas executando longe da vista?

O diagnóstico da V7 Agents mapeia dados, arquivos, rede, credenciais, ferramentas e efeitos externos antes de definir um piloto seguro e mensurável.

Solicitar diagnóstico Conhecer o V7 IA Ready

Seu agente ganhou um sandbox. O que ainda ficou exposto?