iTechGuides is reader-supported. When you buy through links on our site, we may earn an affiliate commission. As an Amazon Associate I earn from qualifying purchases. Learn more
Un agente puede trabajar dentro de un entorno aislado y, aun así, cambiar una aplicación web si tiene una herramienta que le permite hacerlo y autorización para usarla. El sandbox limita parte de su entorno; no revoca por sí solo los permisos concedidos a través del navegador, las integraciones o los servicios conectados.
Por eso, que un agente «rompa la web, pero porque se lo pido» no demuestra que haya escapado de un sandbox. Para saber qué ocurrió hay que distinguir entre una acción permitida que tuvo un resultado destructivo y el cruce de una frontera de aislamiento definida.
Qué protege un sandbox —y qué no
La palabra sandbox no describe por sí sola toda la autoridad de un agente. En la arquitectura de agentes con sandbox documentada por OpenAI, el harness conserva el control del bucle del agente, el enrutamiento de herramientas, las aprobaciones, las trazas, la recuperación y el estado. El sandbox es la capa de ejecución: allí el trabajo dirigido por el modelo puede leer y escribir archivos, ejecutar comandos, instalar dependencias y exponer puertos. Esa separación es una descripción de esa arquitectura, no una garantía sobre todos los productos o configuraciones. OpenAI: Sandbox Agents
Un límite de archivos o de red puede reducir lo que alcanza el proceso de ejecución sin impedir que otra herramienta autorizada modifique una web. Si el agente dispone de un navegador con sesión iniciada, una integración con permisos de escritura o una API capaz de cambiar datos, esas capacidades constituyen otra vía de acción. La pregunta útil no es solo «¿está aislado?», sino «¿qué puede hacer, a través de qué componente y con qué autorización?».
#1 Best Overall
¿Cambió la web o escapó del aislamiento?
Son sucesos diferentes. Si una herramienta habilitada cambió una página, publicó contenido o alteró datos dentro del alcance que le concedieron, pudo haber ejecutado una acción dañina sin salir de su entorno autorizado. Una fuga o evasión de sandbox exigiría evidencia de que el proceso cruzó una frontera definida —por ejemplo, accedió a archivos del host que debían estar aislados—, no solo que produjo un efecto no deseado en una aplicación.
Para describir una demostración con rigor, separa estos elementos:
- Límite configurado: qué archivos, procesos, redes o servicios debían quedar fuera de alcance.
- Capacidad concedida: qué herramientas tenía activas el agente y qué permisos tenían.
- Instrucción concreta: qué cambio se le pidió y con qué alcance.
- Resultado observable: qué cambió, cómo se comprobó y cómo se restauró.
- Contexto de exposición: si había una sesión autenticada, datos sensibles o acceso a redes externas.
- Controles aplicados: qué acciones se bloquearon, cuáles se permitieron y qué componente tomó la decisión.
Sin esos datos, puede decirse que el agente modificó la web bajo instrucciones, pero no que vulneró el sandbox.
El contenido que lee un agente puede ser una trampa
Una página, un manifiesto de herramientas o la salida de una integración pueden contener instrucciones hostiles. El agente debería tratarlas como datos no confiables, no como órdenes que anulan las instrucciones del usuario o las reglas de seguridad. Google identifica como riesgos tanto las instrucciones maliciosas en manifiestos de herramientas WebMCP como las salidas contaminadas con contenido aportado por terceros. Su guía recomienda controles deterministas, revisión de herramientas y salidas, y evaluación rutinaria de vulnerabilidades. Chrome for Developers: Agent security considerations for WebMCP
Google propone asumir que una herramienta WebMCP modifica el estado salvo que su descripción o anotaciones indiquen claramente que es de solo lectura: “Assume WebMCP tools mutate state, unless the tool description or annotations (readOnlyHint) clearly state otherwise.” Es una pauta para evaluar herramientas, no una garantía universal de cómo se comporta cada agente.
El riesgo importa especialmente si el agente lee una página y luego puede pulsar botones, enviar formularios o cambiar ajustes. Que la petición del usuario sea legítima no convierte automáticamente en confiable todo el contenido que el agente encuentra mientras la ejecuta.
Rank #3
Una URL también puede filtrar información
Las URL no son solo destinos: pueden transportar datos. Si una instrucción inducida lleva al agente a incluir información privada en una dirección, el servidor de destino podría registrar esa solicitud en sus logs. OpenAI describe una comprobación de URL conocidas públicamente mediante un índice independiente para reducir el riesgo de recuperación automática de enlaces que puedan contener datos privados. La organización señala: “If a URL is already known to exist publicly on the web, independently of any user’s conversation, then it’s much less likely to contain that user’s private data.” Esto no garantiza la seguridad de cualquier URL ni cubre todos los agentes o tipos de enlace. OpenAI: Keeping your data safe when an AI agent clicks a link
Windows Errors? Fix Them Before They Spread
Repair common Windows errors and clear accumulated junk for a smoother, more stable PC - no reinstall needed.Free scan · no reinstallOutdated Drivers Are Slowing You Down
One free scan finds every outdated or missing driver and matches the right update for your exact hardware.Free scan · exact hardware matchPor tanto, hay que considerar tanto las acciones visibles —como enviar un formulario— como los datos que pueden salir en una URL, una solicitud o un registro del servidor. Limitar los permisos de escritura no basta si la navegación permite revelar información sensible.
Qué puede y qué no puede cubrir cada aislamiento
Sandbox de terminal
La documentación de Visual Studio Code explica que su sandbox de terminal aplica límites del sistema operativo a los comandos de terminal y sus procesos hijos. La cobertura documentada varía por plataforma: vista previa en macOS, Linux y WSL2; experimental en Windows. Conviene comprobar el estado vigente en la documentación antes de depender de esa cobertura. La misma guía advierte que el sandbox no abarca las herramientas integradas de lectura, edición y escritura de archivos. Microsoft Visual Studio Code: Understand trust and safety for AI agents
Contenedor de desarrollo
Un contenedor no bloquea automáticamente todo acceso al host o a la red. Los montajes, los permisos y la configuración determinan qué recursos quedan realmente disponibles. Si se comparte un directorio sensible o se permite una conexión externa, el contenedor no elimina ese acceso por el mero hecho de aislar algunos procesos.
Herramienta de navegador
En la herramienta de navegador documentada por Anthropic, el bucle se ejecuta en la aplicación integradora. Anthropic recomienda para integradores usar un contenedor o una máquina virtual dedicada, un perfil nuevo sin credenciales y restricciones de red que se revisen después de redirecciones. También recomienda considerar no confiable el contenido de las páginas y pedir confirmación humana antes de compras, cambios de cuenta, mensajes o aceptación de términos. Son recomendaciones para ese patrón de integración, no evidencia de que todos los navegadores de agentes tengan la misma arquitectura. Anthropic: Browser use tool
Do these 3 things before closing this tab:
1Scan for outdated or missing drivers - takes under a minute2Repair Windows errors before they cause bigger problems3Fix the driver behind crashes, sound loss and screen glitchesCómo reducir el riesgo sin confiar en una sola barrera
La defensa práctica combina límites de capacidad con controles del entorno y de las acciones. Ninguna etiqueta —sandbox, contenedor o modo seguro— sustituye a comprobar qué rutas quedan abiertas.
- Concede solo las herramientas necesarias. Revisa por separado el acceso a archivos, terminal, navegador, APIs y servicios integrados. Un agente que solo necesita inspeccionar una página no debería recibir permisos de edición o publicación sin una razón clara.
- Acota archivos y red. Comprueba directorios montados, permisos del host, destinos de red permitidos y comportamiento ante redirecciones. No supongas que un sandbox de terminal cubre herramientas de archivos o navegador.
- Evita sesiones autenticadas innecesarias. Para pruebas de navegador, usa un perfil dedicado sin credenciales cuando sea posible; una sesión iniciada amplía las acciones disponibles y las consecuencias de una instrucción maliciosa.
- Trata páginas y salidas como datos no confiables. El agente no debe obedecer instrucciones encontradas en contenido externo por encima de las reglas de la tarea.
- Pide confirmación para cambios relevantes. Antes de enviar mensajes, comprar, cambiar una cuenta, publicar o aceptar términos, muestra la acción y solicita aprobación humana.
- Evalúa de forma adversarial y repetida. Prueba contenido hostil en páginas y respuestas de herramientas; verifica qué controles son reglas deterministas y cuáles dependen de clasificadores o del modelo.
La cobertura real se determina componente por componente: qué herramientas están activas, qué archivos y redes pueden alcanzar, si el navegador usa una sesión autenticada, si puede ejecutar JavaScript o subir archivos, qué acciones requieren confirmación y qué queda fuera del sandbox.
Qué hace falta para afirmar que el agente “rompió la web”
La expresión puede describir un cambio inesperado en una aplicación, pero no identifica por sí misma un fallo de seguridad. Para sostener que hubo una evasión, hace falta especificar la frontera que debía contener al proceso y demostrar cómo la cruzó. Si el agente usó una capacidad habilitada siguiendo una instrucción, la conclusión más precisa es que el permiso concedido permitió una acción de riesgo; si accedió a recursos que debían estar aislados, entonces hay que documentar esa evidencia por separado.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
