---
title: "Sandbox de agente virou infraestrutura: 4 anúncios da semana"
slug: sandbox-agentes-ia-infraestrutura
date: 2026-10-24
category: "Arquitetura"
tags: ["ia", "agentes", "sandbox", "seguranca", "mcp"]
readTime: "3 min"
excerpt: "Google, NVIDIA, Alibaba e Anthropic anunciaram na mesma semana formas de isolar agentes de IA. O padrão que se repete nos quatro: a credencial e a permissão ficam fora do alcance do modelo."
url: https://eliseu.dev/blog/sandbox-agentes-ia-infraestrutura
---

Na semana da AGNTCon + MCPCon, em 22 e 23 de outubro, quatro empresas anunciaram jeitos de isolar agentes de IA. Separei os quatro anúncios com uma linha do que eu tiro de cada um, e no fim o padrão que aparece em todos.

## Os quatro anúncios

1. **Google Agent Compute Engine.** Cada agente roda numa microVM com isolamento de hardware, kernel próprio e credenciais de vida curta. As credenciais de serviço são injetadas no egress, fora da microVM. Entra em preview nos próximos meses, e a versão open source para Kubernetes, o Agent Substrate, já pode ser testada no GKE. O que eu tiro: o agente usa a credencial sem nunca ter a credencial.

2. **NVIDIA OpenShell.** Runtime open source (Apache 2.0) em que você declara numa política o que cada agente pode tocar. O controle acontece no kernel, em cada acesso a arquivo, syscall e conexão de rede. O agente não vê a credencial real, que só é adicionada em requisições para endpoints aprovados. Antes de aplicar uma mudança de política, verificação formal aponta acesso novo arriscado, que espera revisão humana. O que eu tiro: mudança de permissão merece o mesmo review que mudança de código.

3. **OpenSandbox na Agentic AI Foundation.** A Alibaba doou o OpenSandbox para a fundação que já cuida do MCP e do AGENTS.md. Ele traz SDKs para várias linguagens, runtimes em Docker e Kubernetes e um protocolo que define as APIs de ciclo de vida e execução do sandbox. O que eu tiro: sandbox caminha para ter contrato aberto, do mesmo jeito que o MCP padronizou ferramenta.

4. **Claude com auto mode por padrão.** A partir da semana que vem, os apps do Claude (web, desktop e mobile) rodam em auto mode nos planos Pro, Max e Team. Em vez de pedir aprovação a cada passo, um classificador separado bloqueia ações arriscadas. Quando a Anthropic fez a mesma troca no Claude Code, em agosto, ela informou que nos testes o classificador pegou 89% dos comandos perigosos, contra 14% da aprovação manual. O que eu tiro: clicar em "aprovar" o dia inteiro dá sensação de controle, e o número mostra que essa sensação engana.

## O padrão

Nos quatro casos, a decisão de segurança sai do modelo e vai para uma camada que ele não controla: o hypervisor, o kernel, o proxy de saída ou um classificador à parte.

```mermaid
flowchart LR
    A[Agente no sandbox] -->|requisição sem credencial| P{Proxy de saída com política}
    P -->|endpoint aprovado| C[Injeta credencial] --> API[Serviço externo]
    P -->|acesso novo| H[Revisão humana]
    P -->|fora da política| X[Bloqueia e registra]
```

Pra quem lidera time e já tem agente rodando com acesso a repositório, CI ou banco, eu faria três perguntas hoje:

- **Onde a credencial mora?** Se ela está numa variável de ambiente que o agente consegue ler, um prompt injection bem escrito consegue mandar ela pra fora.
- **Quem revisa mudança de permissão?** Liberar um host novo para o agente deveria passar por PR, com o porquê escrito.
- **O que fica registrado?** Qual agente chamou o quê, com quais argumentos e em nome de quem. Sem esse rastro, o incidente vira adivinhação.

O modelo continua sendo uma escolha importante. Só que, pelos anúncios desta semana, o mercado está apostando que a segurança do agente vai ser decidida na camada em volta dele.

## Fontes

- [Introducing Agent Compute Engine and expanded agent governance](https://cloud.google.com/blog/topics/ai-infrastructure/introducing-agent-compute-engine-and-expanded-agent-governance), Google Cloud, 22 de outubro de 2026
- [NVIDIA OpenShell](https://github.com/NVIDIA/OpenShell), GitHub
- [Agentic AI Foundation Announces Four New Projects: Agent Skills, Open Responses, OpenEnv, and OpenSandbox](https://www.linuxfoundation.org/press/agentic-ai-foundation-announces-four-new-projects-agent-skills-open-responses-openenv-and-opensandbox), Linux Foundation, 22 de outubro de 2026
- [OpenSandbox](https://github.com/opensandbox-group/OpenSandbox), GitHub
- [Auto mode por padrão nos apps do Claude](https://x.com/claudeai/status/2113360845409583307), Claude no X, 22 de outubro de 2026
- [Auto mode por padrão no Claude Code](https://x.com/ClaudeDevs/status/2085794862608318627), ClaudeDevs no X, 7 de agosto de 2026