Guardrails y sandbox para agentes

Un agente de IA es un sistema que, por diseño, toma entradas no confiables (lo que escribe el usuario, lo que lee de una web, lo que hay en una nota de cita) y las convierte en acciones: llamadas a herramientas, código, peticiones a AWS. No puedes garantizar que nunca lo manipulen. Así que la pregunta no es si una inyección de prompt tuerce su objetivo, sino qué pasa cuando lo hace. La respuesta es la misma que en el resto de la nube: defensa en profundidad, varias capas independientes donde cada una respalda a la anterior.

Varias capas, cada una para un fallo distinto#

Ningún control por sí solo basta. Los Guardrails filtran contenido pero no detienen una llamada a s3:DeleteBucket. El rol mínimo deniega esa llamada pero no impide que el agente genere y ejecute código. El sandbox aísla el código pero no decide si una transferencia de datos es apropiada. La clave es apilarlos de modo que la acción maliciosa choque, en cada punto de su recorrido, con un control pensado para ese punto.

Defensa en profundidad para un agente manipulado

Controles · Guardrails · Sandbox · IAM · Aprobación

Paso 1 de 6Agente manipulado

Una inyección de prompt tuerce el objetivo del agente. Asume que puede ocurrir: la pregunta ya no es si, sino qué capa detiene cada acción.

Capa por capa#

1. Guardrails: filtra el contenido (entrada y salida)#

Amazon Bedrock Guardrails es la capa que mira el contenido, justo lo que la autorización de herramientas con Cedar no inspecciona (lo vimos en identidad y autorización). Aplica políticas tanto a lo que entra al modelo como a lo que sale:

Filtros de contenido: odio, insultos, violencia, conducta indebida y una categoría específica de prompt attack para detectar intentos de inyección y jailbreak.
Temas prohibidos: define de qué no debe hablar el agente (p. ej. consejo médico que Citas no está autorizada a dar).
Filtros de información sensible: detecta PII y la bloquea o enmascara en entradas y salidas. Útil contra la exfiltración por una herramienta permitida.
Comprobaciones de fundamentación y, desde 2025, Automated Reasoning checks para reducir alucinaciones verificando la respuesta contra una política.

Protege la capa de contenido: tóxico, PII que se fuga, instrucciones de inyección en la entrada.

2. Sandbox: contiene el código que el agente genera#

Muchos agentes generan y ejecutan código. Si ese código corre en tu host o dentro de tu VPC con acceso a todo, una manipulación se convierte en ejecución remota. El AgentCore Code Interpreter ejecuta ese código en un sandbox aislado: sin acceso a tu red privada ni al sistema de ficheros del agente. Aunque el agente genere un escáner de red o un reverse shell, se queda dentro de la caja.

Protege la capa de ejecución.

3. Rol de ejecución mínimo + SCP/RCP: acota el radio de impacto#

Si una acción atraviesa las capas anteriores y llega a la API de AWS, el mínimo privilegio decide cuánto daño puede hacer. Dale a cada agente su propio rol de ejecución con solo los permisos de su tarea, y envuélvelo en SCP/RCP a nivel de organización como red de seguridad que ni siquiera un rol mal configurado puede superar.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SoloEnviarRecordatorios",
      "Effect": "Allow",
      "Action": ["ses:SendEmail"],
      "Resource": "*",
      "Condition": {
        "StringEquals": { "ses:FromAddress": "recordatorios@citas.example" }
      }
    }
  ]
}

Y una RCP (resource control policy) que impide que cualquier principal de la cuenta —incluido un agente manipulado— saque objetos del bucket de adjuntos fuera de la organización:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenegarLecturaFueraDeLaOrg",
      "Effect": "Deny",
      "Action": ["s3:GetObject"],
      "Resource": "*",
      "Condition": {
        "StringNotEqualsIfExists": { "aws:PrincipalOrgID": "o-ejemplo1234" }
      }
    }
  ]
}

Protege la capa de acceso a AWS y acota el radio de impacto.

4. Aprobación humana para acciones de impacto#

No todas las acciones deben ser autónomas. Para las de alto impacto —mover dinero, borrar datos, enviar algo a muchos destinatarios— introduce human-in-the-loop: el agente propone, un humano aprueba. Es la capa que atrapa justo lo que las demás no pueden evaluar, porque la decisión no es técnica sino de negocio.

Protege la capa de impacto / decisión.

5. Trazabilidad: Observability + CloudTrail#

Las cuatro capas anteriores previenen y contienen; esta detecta. AgentCore Observability registra las trazas del agente (qué razonó, qué herramientas pidió) y CloudTrail registra las llamadas a la API de AWS. Sin este plano no sabrías que una capa actuó, ni podrías investigar un incidente ni alimentar tu red team.

Protege la capa de detección y respuesta (y es transversal a todas).

El mapa de un vistazo#

Capa que protege	Control	Tipo
Contenido (entrada/salida, PII)	Bedrock Guardrails	Preventivo
Ejecución de código	Sandbox de AgentCore Code Interpreter	Preventivo (contención)
Acceso a AWS / radio de impacto	Rol de ejecución mínimo + SCP/RCP	Preventivo
Impacto / decisión de negocio	Aprobación humana (human-in-the-loop)	Preventivo
Detección y respuesta	AgentCore Observability + CloudTrail	Detectivo

Errores comunes#

Tu turno

Mapea los controles de un agente a las capas que protegen

Toma un agente de tu laboratorio o trabajo y rellena la tabla. Para cada capa, anota el control que tienes hoy (o «ninguno») y qué acción maliciosa concreta detendría.

Agente: ...

| Capa               | Control actual | ¿Qué acción detiene? |
| ------------------ | -------------- | -------------------- |
| Contenido          |                |                      |
| Ejecución (código) |                |                      |
| Acceso a AWS       |                |                      |
| Impacto / decisión |                |                      |
| Detección          |                |                      |

Después, para cada capa sin control, pregúntate: si fallara la capa de arriba, ¿qué pasaría? Esa es tu lista de prioridades.

Reto

Tienes Guardrails con filtro de PII y un rol de ejecución mínimo. ¿Por qué querrías además egreso de red restringido y aprobación humana?

▸Mostrar solución

Porque son capas independientes contra fallos distintos. Guardrails puede no reconocer PII ofuscada; el rol mínimo no impide que el agente use una herramienta permitida con salida a Internet. Restringir el egreso de red corta el canal de exfiltración aunque el dato pase los filtros, y la aprobación humana atrapa la acción de alto impacto que todas las capas técnicas considerarían «válida».