Pular para conteúdo

Capítulo 4.10 — Sandboxing e egress control

🎯 Objetivo

Definir o mínimo defensável para isolar execução de código não confiável - código gerado por LLM, scripts de tool, integrações de terceiros - e para controlar saídas de rede que podem se transformar em exfiltração silenciosa.

🧠 Conceito

Sandbox e egress control são camadas determinísticas (Cap. 0.6): não dependem do modelo "se comportar" para funcionar. São fronteiras físicas (ou virtualizadas) entre o que o agente propõe e o que o sistema executa de fato. Em ambientes corporativos, eles costumam ser o último anteparo contra um caminho de ataque que passou pelas demais camadas - prompt injection que chegou a uma tool, geração de código que tentou abrir conexão externa, ferramenta de terceiro que pediu acesso a um endpoint não previsto.

A regra prática é simples: se o modelo pode propor execução, o executor precisa estar isolado por design, não por instrução em prompt.

🛡️ Princípios

  • Código gerado por LLM não executa fora de sandbox.
  • Sandbox tem:
  • sistema de arquivos efêmero;
  • rede bloqueada por default;
  • secrets mínimos;
  • limite de CPU/memória/tempo.
  • Egress controlado:
  • allowlist de hosts;
  • inspeção de payload (DLP);
  • bloqueio de domínios suspeitos.

⚠️ Limites honestos

Sandbox não é mágica: ela reduz o blast radius, mas não impede que um agente legitimamente autorizado faça algo errado dentro do escopo permitido. Egress allowlist depende da qualidade da lista - domínios populares de hosting (raw GitHub, S3 público, paste services) são vetores comuns de exfiltração e precisam de tratamento explícito.

📚 Referências