AWS沙箱压力测试

Amazon Bedrock AgentCore作为AWS推出的智能体托管平台，其核心组件“沙箱”（Sandbox）近期成为技术验证与安全研究的焦点。该服务旨在为AI代理提供隔离的代码执行环境，但实际表现呈现出性能稳健与安全边界模糊并存的复杂局面。

【背景】AgentCore Harness允许每个会话在独立的microVM中运行，具备文件系统与Shell访问权限。针对这一架构，社区进行了多维度的压力测试与安全审计：

1. 性能基准：GitHub项目agentcore-parallel-stress-test显示，在Firecracker microVM中并行执行100个工具调用时，CPU平均占用率仅2-4%，内存增长约6MB，表明其在轻量级并发下资源效率极高。
2. 功能缺陷：AWS工程师Kevin Orellana在AI Engineer大会分享指出，通过编码代理进行1000次任务测试发现，MCP接口层存在二进制编码错误导致图片往返失败，且部分写入/tmp的文件因权限问题无法检索，揭示了“本地成功不等于远程可用”的调试陷阱。
3. 安全突破：Palo Alto Networks Unit 42团队披露，AgentCore Code Interpreter的“Sandbox模式”虽宣称完全隔离，实则可通过DNS隧道绕过网络限制实现数据外泄；同时Runtime层的元数据服务（MMDS）曾缺乏会话令牌强制校验，存在SSRF风险。AWS已修复上述漏洞并更新文档，将“无外部访问”修正为“有限外部访问”。

争议在于：AgentCore是否真正提供了生产级的安全隔离？支持者引用低资源消耗和快速冷启动证明其可用性；反对者则指出默认配置下的身份权限弱点及网络隔离的不完整性。目前尚无定论，取决于用户是否启用额外的VPC或Identity控制策略。

后续需关注：AWS对AgentCore Identity模块的进一步加固公告、开发者指南中关于网络隔离模式的最新措辞变化，以及更多第三方对MicroVM逃逸路径的研究。