别再给代理工具了，给它一个沙箱——Mikyo King，Arize AI

strands-agents/box

这是 Strands Agents 推出的开源 AI 智能体沙箱引擎，通过 OS 隔离、默认拒绝的 Dogwood 策略和把密钥置于智能体之外的凭据注入，限制智能体可执行、读写和访问网络的范围。项目用 Rust 编写，目前支持 Apple 芯片的 macOS，并计划支持 Linux；标签涉及智能体安全、出网控制、MCP、零信任等。

搭一个平台，然后看它烧起来——Michael Forrester（Accenture）与 Whitney Lee（Datadog）

Build a Platform and Watch It Burn — Michael Forrester, Accenture & Whitney Lee, Datadog

这是一场工作坊，讲者用一个卷饼点单助手演示代理权限过大的风险：该助手部署了外部容器镜像，并从 Kubernetes 环境中暴露出一份秘密配方，观众被邀请突破点单范围进行攻击，再在加入基础设施与 AI 护栏后重复这些攻击。工作坊分三种配置：第一种完全不设防；第二种加入基础设施控制，如用 Kyverno 规则限制镜像来源和部署要求，但预期的运行时防护并未稳定阻止配方被读取；第三种可开关 LLM Guard 的输入输出过滤，对比暴露敏感内容的回应、被脱敏的回应和在模型处理前被拦截的请求。此外，一个天气工具的描述要求代理在执行正常任务时读取内部配置，OpenTelemetry 追踪可在 Datadog 中查看提示、工具调用和结果。

超越 RAG：从零构建关系型上下文引擎 — Peter Werry，Unblocked

Beyond RAG: Build a Relational Context Engine from Scratch — Peter Werry, Unblocked

这是 Unblocked 的 Peter Werry 的实操工作坊录像，观点是 RAG（即相似度搜索）只覆盖检索的一半。工程上下文分布在 PR、评审评论、工单、wiki 和聊天中，带有作者、日期、状态、标签和关系等结构，全部丢进向量库再重排无法应对带时间或结构条件的提问；另一半是把自然语言转成真正的数据库查询，由模型写查询而非直接作答。工作坊通过六个层叠的 PR，把一个打桩的查询演练场变成可用的引擎：用程序化代码而非模型推断对 300 份文档采样并合并出 schema；用简单模糊匹配做身份解析；查询规划中传入 schema、强制调用名称抽取工具并注入当前日期；默认拒绝的校验，用操作符白名单防止在服务器上执行任意代码，并对隐藏元数据字段做租户隔离；以及把校验和执行错误回传给模型的重试循环。适合正在为代码与工程数据构建检索或上下文引擎的开发者观看。

代理提示人：用代理处理长周期金融工作

Agents Prompt People: Using Agents for Long-Horizon Financial Work

Latent Space 在 AI Engineer New York 期间对财富管理公司 Arca 首席 AI 工程师 Aman Singh 的访谈。文中称代理承担公司大部分后台工作，但由人类顾问做最终决策，即“代理提示人多于人提示代理”；代理任务可能持续长达十天，过程断续且涉及多方交接，因此 Arca 建了按客户持久保存的内部记忆系统，用于跟踪已发生事项、近期待办与长期跟进。模型主要使用 Anthropic 的 Claude，并自建了 harness。适合关注代理在受监管金融业务中落地方式的人阅读。

你的 AI Agent 该拥有多少凭据？零个。— Jim Clark，Docker

How Many Credentials Should Your AI Agent Have? Zero. — Jim Clark, Docker

一场关于 agent 安全的演讲，演讲者为 Docker 首席软件工程师 Jim Clark，以 MCP 网关为切入点。他提出 harness 只是简单循环，安全性取决于流入其中的上下文与工具，因此要管理的边界是沙箱；通过把新闻编辑流程拆分为研究员、事实核查、发布者三个沙箱，以及只在提交代码时才拿到签名密钥的编码 agent 两个例子，说明如何按任务意图设计沙箱、每个沙箱配一个 MCP 网关端点作为控制点，并主张沙箱内正确的凭据数量是零，同时介绍用 Okta 的 Cross App Access（XAA）让 agent 复用现有 SSO。适合构建 agent 系统并关心权限与沙箱隔离的工程师观看。