Sandbox de execução para agentes de IA: como escolher

O agente precisa de um lugar controlado para trabalhar

Algumas tarefas empresariais ultrapassam leitura e geração de texto. O agente precisa abrir arquivos, instalar uma biblioteca, executar código, usar um navegador, transformar documentos e salvar resultados intermediários. Esse trabalho acontece em um ambiente computacional que possui disco, memória, rede, processos e credenciais.

Um sandbox de execução para agentes de IA delimita esse ambiente. Ele oferece os recursos necessários para a tarefa e reduz o alcance de uma falha, de uma instrução indevida ou de um componente comprometido.

O sandbox pode ser provisionado por um fornecedor, executado na infraestrutura da empresa ou oferecido por uma plataforma especializada. A escolha interfere em segurança, latência, custo, residência de dados, manutenção e capacidade de investigação.

Em setembro de 2026, a OpenAI anunciou sua Agents API com opções de sandbox hospedado, infraestrutura própria e parceiros de ambiente. O lançamento reforça uma decisão que passa a fazer parte da arquitetura empresarial: onde o agente efetivamente trabalha e quais fronteiras continuam sob controle da empresa.

Sandbox de execução e ambiente de teste cumprem funções diferentes

Os termos aparecem misturados, mas descrevem dimensões distintas.

Um ambiente de teste para agentes de IA separa homologação e produção. Ele define dados, identidades, integrações, destinos e critérios para avaliar uma versão sem gerar consequências reais.

O sandbox de execução delimita recursos técnicos durante uma execução. Pode existir em desenvolvimento, homologação ou produção. Sua função é controlar o que o processo consegue ler, escrever, executar, alcançar pela rede e preservar depois do encerramento.

Uma homologação pode usar sandbox e continuar insegura se ele recebe credenciais oficiais e acesso amplo à rede. Uma produção pode usar sandbox com isolamento forte, ferramentas estreitas e saída governada. O nome do ambiente não substitui a configuração concreta.

O que o sandbox precisa delimitar

Sistema de arquivos

Defina quais arquivos entram, onde podem ser lidos, que diretórios aceitam escrita e como resultados deixam o ambiente. O agente não precisa enxergar o armazenamento inteiro da empresa para analisar um lote de documentos.

Uma estrutura simples pode separar:

entradas montadas como somente leitura;
diretório temporário de trabalho;
resultados candidatos;
artefatos aprovados para exportação;
registros técnicos da execução.

Essa separação reduz alterações acidentais em arquivos de origem e permite verificar a saída antes de persistir ou publicar.

Processos e código

O sandbox deve limitar comandos, pacotes, tempo de CPU, memória, quantidade de processos e duração. Instalar qualquer dependência da internet durante cada tarefa amplia variabilidade e risco de cadeia de suprimentos.

Prefira imagens versionadas, pacotes aprovados e capacidades preparadas para a função. Quando instalação dinâmica for necessária, registre origem, versão e hash do componente, aplique política de rede e descarte o ambiente depois da execução.

Rede

Acesso irrestrito à internet transforma uma tarefa local em uma rota potencial para coleta, download e envio de dados. Defina destinos por responsabilidade.

Um agente que gera uma planilha a partir de arquivos internos talvez não precise de saída para a internet. Um agente de pesquisa pode acessar domínios públicos e continuar impedido de alcançar sistemas internos. Um agente operacional pode chamar APIs específicas por um gateway autenticado, sem receber acesso lateral à rede corporativa.

Políticas de entrada e saída precisam aparecer na telemetria. Bloqueios também são evidência: mostram que a execução tentou atravessar uma fronteira.

Identidade e segredos

Credenciais não deveriam ser gravadas em arquivos, prompts ou variáveis disponíveis para qualquer processo. O ambiente precisa receber somente o segredo necessário, pelo período necessário e com escopo compatível com a ferramenta.

Use identidades por agente, processo e ambiente. Prefira credenciais curtas e mediadas por ferramentas. O guia de gestão de segredos para agentes detalha injeção, rotação, mascaramento e revogação.

Persistência

Disco temporário ajuda a reduzir resíduos, mas o processo ainda precisa decidir o que sobrevive. Entradas, checkpoints, resultados, logs e artefatos possuem finalidades e prazos diferentes.

Não trate o diretório inteiro como memória. Preserve somente objetos necessários, com identificador, origem, classificação, versão, responsável e política de descarte. O restante deve desaparecer junto com o ambiente.

Efêmero não significa sem estado

Muitos sandboxes nascem para uma tarefa e são destruídos ao final. Esse modelo reduz contaminação entre execuções e facilita voltar a uma imagem conhecida. Ele também cria uma exigência: estado útil precisa sair do ambiente antes do encerramento.

Uma execução longa pode depender de:

lista de itens já processados;
resultados intermediários validados;
ferramentas e versões usadas;
custo acumulado;
aprovações recebidas;
pendências e erros;
artefatos produzidos;
condição para retomada.

Esses dados pertencem a um registro externo de execução ou a checkpoints estruturados. Se o estado existe apenas no disco temporário, reiniciar o sandbox pode obrigar o agente a repetir trabalho caro ou produzir efeitos duplicados.

O guia sobre agentes de IA para tarefas longas mostra como dividir a execução, salvar checkpoints e retomar com segurança. O sandbox fornece o local de trabalho; a máquina de estados preserva a continuidade do processo.

Sandbox hospedado, próprio ou de parceiro

Ambiente hospedado pelo fornecedor do agente

Reduz provisionamento e manutenção inicial. Modelo, harness e ambiente podem compartilhar integrações, identidade de sessão e telemetria. Essa composição costuma acelerar provas de valor e cargas variáveis.

Avalie:

região de processamento e armazenamento;
isolamento entre clientes e sessões;
imagens, pacotes e recursos disponíveis;
política de rede;
mecanismos de segredo;
retenção de arquivos e logs;
exportação de artefatos;
cancelamento e descarte;
evidência acessível ao cliente;
estágio de maturidade do serviço.

Conveniência transfere parte da operação ao fornecedor. Ela também concentra dependência. Uma indisponibilidade pode afetar modelo, coordenação e computação no mesmo domínio.

Ambiente na infraestrutura da empresa

A empresa controla rede, imagem, armazenamento, telemetria e integrações locais. Esse desenho pode ser importante para código proprietário, dados restritos, sistemas internos ou requisitos de residência.

O custo inclui orquestração, correções de segurança, capacidade, imagens, filas, observabilidade, resposta a incidentes e suporte. Executar dentro da própria nuvem não produz isolamento automaticamente. Um contêiner com identidade administrativa e acesso amplo continua sendo uma fronteira fraca.

Plataforma especializada ou implantação na VPC

Fornecedores de sandbox podem oferecer provisionamento rápido, imagens preparadas, escalabilidade e implantação dentro de uma rede controlada. A empresa ganha uma camada especializada sem manter todos os componentes.

Essa opção adiciona outra dependência e outra interface de identidade. Verifique quem controla o plano de execução, onde os dados trafegam, como o ambiente é atualizado e que parte da telemetria permanece disponível durante uma investigação.

Composição híbrida

Uma organização pode usar sandbox hospedado para pesquisa pública e ambiente próprio para tarefas com sistemas internos. Também pode manter o harness gerenciado e executar ferramentas sensíveis em serviços estreitos sob seu controle.

O híbrido funciona quando a fronteira segue a classificação do trabalho. Se cada tarefa atravessa vários ambientes sem identidade, trace e contrato de dados comuns, a distribuição apenas multiplica pontos cegos.

Defina uma imagem mínima por responsabilidade

Uma imagem genérica com navegador, terminal, linguagens, clientes de banco, utilitários de nuvem e ferramentas administrativas atende muitas demonstrações. Em produção, ela oferece capacidades demais para qualquer função individual.

Monte perfis por tipo de trabalho.

Pesquisa e análise pública

Pode incluir navegador, extração de texto, processamento de documentos e geração de relatório. A rede acessa fontes permitidas. Sistemas internos e credenciais operacionais ficam ausentes.

Processamento documental interno

Recebe arquivos delimitados, bibliotecas aprovadas e armazenamento temporário. A rede pode permanecer fechada, com saída apenas para o repositório de artefatos e para serviços específicos de modelo.

Engenharia de software

Precisa de repositório, dependências, compilação e testes. Use clone temporário, token restrito, política de pacote, limites de rede e revisão obrigatória antes de qualquer mudança chegar ao branch protegido.

Operação empresarial

Ferramentas chamam CRM, ERP, help desk ou agenda por contratos estreitos. O sandbox não recebe acesso administrativo direto. Ações sensíveis passam por política e confirmação externa.

O catálogo de ferramentas para agentes de IA ajuda a separar cada operação por efeito, identidade, limite e evidência.

Controle a entrada e a saída do ambiente

Entrada

Todo arquivo, repositório, pacote e instrução externa deve carregar origem e classificação. Documentos podem conter macros, conteúdo malicioso ou instruções dirigidas ao agente. Repositórios podem executar scripts durante instalação e teste.

A entrada pode passar por:

validação de tipo e tamanho;
verificação de malware ou conteúdo executável;
remoção de metadados desnecessários;
classificação de sensibilidade;
montagem como somente leitura;
registro de hash e origem;
associação à unidade de trabalho.

Saída

Relatório, código, planilha, imagem ou arquivo compactado precisa ser tratado como candidato até passar pelos controles do processo.

Verifique:

formato esperado;
presença de segredos;
dados pessoais ou de outro cliente;
arquivos inesperados;
links e destinos;
integridade;
critérios de qualidade;
aprovação quando aplicável.

O agente pode produzir corretamente o arquivo errado para publicação. A saída precisa manter vínculo com a tarefa, a versão, as fontes e o aprovador.

Limites precisam atuar durante a execução

Um sandbox deve aplicar tetos técnicos, além de registrar orçamento no prompt.

Defina por classe de trabalho:

CPU e memória;
espaço em disco;
duração total;
processos simultâneos;
largura de banda;
quantidade e tamanho de arquivos;
chamadas externas;
custo acumulado;
número de sandboxes paralelos;
tempo ocioso antes do descarte.

Quando um limite é alcançado, o comportamento precisa ser conhecido: salvar checkpoint, gerar saída parcial, pedir ampliação, encaminhar para revisão ou encerrar. Matar o processo sem preservar estado protege infraestrutura e pode destruir horas de trabalho útil.

Combine quotas do sandbox com rate limit para agentes de IA e orçamento por unidade. Capacidade computacional e chamadas de modelo são recursos diferentes, embora participem da mesma entrega.

Cold start, capacidade e custo entram na decisão

Ambientes efêmeros levam tempo para provisionar imagem, dependências e arquivos. Esse cold start pode ser irrelevante para uma auditoria de duas horas e inviável para uma interação que precisa responder em segundos.

Meça:

tempo para provisionar;
tempo para carregar entradas;
duração útil de processamento;
tempo parado aguardando ferramenta ou pessoa;
custo do ambiente ativo;
custo de armazenamento persistente;
reaproveitamento seguro entre etapas;
fila em períodos de pico;
falhas de criação e descarte.

Manter sandboxes aquecidos reduz latência e aumenta capacidade ociosa. Reutilizar o mesmo ambiente reduz provisionamento e amplia risco de estado residual. A escolha deve seguir o SLA e a classificação da tarefa.

Observabilidade deve alcançar o trabalho, sem gravar tudo

Logs do provedor podem mostrar criação, consumo e encerramento do ambiente. A empresa também precisa ligar esses eventos à unidade operacional.

Registre, conforme o risco:

identificador da execução;
agente, harness e versões;
imagem do sandbox;
solicitante e processo;
entradas e hashes;
política de rede aplicada;
ferramentas liberadas;
comandos ou eventos relevantes;
bloqueios;
consumo de recursos;
artefatos exportados;
aprovações;
motivo e horário de encerramento;
confirmação de descarte.

Não copie conteúdo sensível inteiro para observabilidade por conveniência. Use referências, metadados, classificações e amostras protegidas. O log de auditoria para agentes de IA deve preservar reconstrução suficiente sem virar uma segunda base indiscriminada.

Teste a fronteira do sandbox

Uma configuração segura no diagrama pode falhar por permissão herdada ou rota esquecida. Inclua testes como:

ler caminho fora do diretório autorizado;
escrever sobre arquivo de entrada;
acessar metadados da nuvem;
alcançar endereço interno não permitido;
enviar arquivo para domínio externo;
recuperar segredo por processo vizinho;
iniciar processos acima do limite;
preencher o disco;
manter processo depois do cancelamento;
recuperar dado de uma execução anterior;
exportar artefato sem validação;
retomar a tarefa depois da destruição do ambiente.

Teste também o caminho legítimo. Isolamento excessivo que impede toda tarefa útil será contornado pela equipe. A fronteira precisa permitir o trabalho aprovado e bloquear o alcance excedente.

Checklist para escolher e operar um sandbox

[ ] A unidade de trabalho e os recursos necessários estão definidos?
[ ] O sandbox será usado em teste, produção ou nos dois ambientes?
[ ] Entradas são montadas com origem, classificação e acesso mínimo?
[ ] Sistema de arquivos separa fonte, trabalho e saída?
[ ] Imagem, pacotes e ferramentas possuem versão?
[ ] Rede de entrada e saída segue a responsabilidade do agente?
[ ] Credenciais têm escopo curto e ficam fora do contexto do modelo?
[ ] Estado útil sobrevive fora do disco temporário?
[ ] Artefatos passam por verificação antes da persistência?
[ ] CPU, memória, disco, tempo, rede e paralelismo possuem limites?
[ ] Cancelamento alcança processos e tarefas em curso?
[ ] O descarte remove estado residual e gera confirmação?
[ ] Telemetria liga ambiente, agente, processo e resultado?
[ ] Cold start e capacidade de pico cabem no prazo do processo?
[ ] A equipe consegue investigar falhas do ambiente e da tarefa?
[ ] Existe rota de contingência se o fornecedor ficar indisponível?

O sandbox deve reduzir o alcance da execução

Agentes capazes de trabalhar com código e arquivos ampliam a quantidade de rotinas que podem assumir. Esse ganho vem acompanhado de um ambiente real, com recursos e portas que precisam de governo.

A escolha do sandbox começa pela tarefa. Defina dados, ferramentas, rede, persistência, evidência, prazo e impacto. Depois decida se o ambiente hospedado, próprio, especializado ou híbrido oferece a melhor relação entre velocidade e controle.

O sandbox adequado não torna o agente infalível. Ele torna a falha menor, a execução mais visível e o descarte verificável. Essa é a base para transformar capacidade computacional em trabalho empresarial operável.

Fonte consultada: OpenAI, Introducing the Agents API, 10 de setembro de 2026.