Las sandboxes de Modal: dar a un agente una máquina para romper

Dar a un agente de IA la capacidad de ejecutar código es fácil. Darle un lugar seguro para hacerlo no lo es. El 1 de octubre de 2026, Modal Labs publicó sandboxes de VM completas para agentes, dando a cada uno un ordenador entero para ejecutar código y herramientas sin tocar lo que no debería. Es un lanzamiento de infraestructura, no de modelo, y aborda uno de los problemas más tercos de la historia de los agentes.

El problema es fácil de plantear. Un agente que solo habla es inofensivo. Un agente que puede actuar necesita un lugar para actuar, y los lugares donde podría actuar, de la base de datos de producción al propio ordenador del desarrollador, son justo los que no puedes permitirte que rompa. Las sandboxes intentan resolverlo dando al agente un mundo desechable donde un error no cuesta más que un reinicio.

Por qué un contenedor no siempre basta

Casi todos los runtimes de agentes ya aíslan el código, a menudo en un contenedor. Los contenedores impiden bien que un agente se salga de su caja, pero comparten el kernel con el anfitrión y pueden filtrarse de formas que importan cuando el contenido es impredecible. Una VM completa es más pesada pero más estricta: el agente obtiene su propio sistema operativo, su propio sistema de archivos y su propia vista de red, y el aislamiento se sostiene a un nivel inferior.

Para un agente que hace trabajo ordinario, la diferencia puede no aparecer nunca. Para un agente que ejecuta código generado, descarga de internet o instala dependencias, la diferencia es todo el punto. La sandbox no está para hacer al agente más rápido, sino para que, cuando haga algo inesperado, el radio de explosión sea una sola máquina desechable.

{{INLINE1}}

La tendencia detrás del lanzamiento

El momento de Modal refleja un giro más amplio. Los agentes pasaron de demos a pipelines, y una vez en un pipeline obtienen permisos reales. En el momento en que un agente tiene credenciales, dónde corre se convierte en una cuestión de seguridad y no de comodidad. Por eso los últimos meses han producido un flujo constante de herramientas de sandbox, permisos y gobernanza. La industria está construyendo las partes aburridas que hacen desplegables a los agentes.

Hay una ironía que conviene nombrar. El modelo se lleva los titulares, pero las capas que deciden si los agentes son fiables están hechas de ingeniería ordinaria. Sistemas de memoria que mantienen el contexto entre sesiones, sandboxes que contienen errores, protocolos de consentimiento que registran a qué accedió un usuario: nada de eso impresiona en una demo, y todo eso separa un juguete de algo que una empresa realmente ejecutará.

Qué preguntar antes de adoptar una sandbox

No todas las sandboxes son iguales, y las preguntas son prácticas. Cuánto tarda en arrancar una, porque un arranque lento convierte cada llamada de agente en una espera. A qué puede llegar el agente, y si eso se puede cerrar por tarea. Qué pasa con el estado al terminar el trabajo, y cuánto se registra. ¿Resiste de forma fiable código no confiable, o está ajustada para scripts bien educados. Las respuestas deciden si la sandbox es una frontera real o una formalidad.

Las sandboxes más fuertes asumen que el código de dentro será hostil o estará roto, y se diseñan para que ninguno de los dos escape. Es un objetivo distinto al de un entorno de desarrollo para trastear. Para el trabajo con agentes, la suposición de hostilidad es la correcta, porque el código generado es impredecible por naturaleza y los agentes toman sus instrucciones de fuentes que no controlas del todo.

Cómo encaja con el resto de la pila

Una sandbox es una pieza de un argumento mayor sobre infraestructura de agentes. Un agente necesita memoria para retomar donde lo dejó, permisos para tocar solo lo que debería, y un lugar donde correr para que sus errores queden contenidos. Cada uno es un asunto distinto, y cada uno ha producido su ola de herramientas este año. La sandbox es la pieza de contención, y más importante a medida que los agentes ganan autonomía.

Esa es la línea de tendencia. Los primeros agentes iban paso a paso con un humano aprobando cada movimiento. La dirección es hacia agentes que corren más tiempo, actúan más y necesitan menos supervisión. Cuanto más autónomo es un agente, más necesita una frontera que no dependa de que un humano lo atrape. Una VM completa es una herramienta más pesada que un contenedor, y la razón de pagar ese peso es precisamente dejar de depender de la supervisión.

Hay además una dimensión de coste rara vez discutida. Las sandboxes abaratan probar, no solo aseguran. Un agente que puede levantar una máquina nueva, romperla y tirarla trata el fallo como gratis. Eso cambia cómo trabaja: más experimental, probando más enfoques, recuperándose de callejones sin salida sin que un humano limpie. Contención y experimentación son la misma función vista desde dos ángulos.

Una prueba para cualquier sandbox

Antes de adoptar, haz un experimento sencillo. Da al agente una tarea que exija instalar un paquete desconocido, descargar algo de internet y escribir en disco. Luego observa qué puede ver la sandbox. ¿Puede alcanzar tu red interna por accidente. Un trabajo caído deja algo atrás. Cuánto tarda en arrancar una instancia nueva. Estas preguntas se responden rápido y revelan si el aislamiento es real o cosmético.

Luego rómpela a propósito. Alimenta la sandbox con código que intenta escapar, que lanza procesos en segundo plano, que se queda en bucle. Una buena sandbox trata todo eso como esperado y lo contiene. Una débil se colgará, filtrará o se caerá. La disposición a probar así es en sí la marca de equipos que se toman en serio la seguridad de los agentes, y es mucho más barata que descubrir los límites en producción.

Por qué importa más de lo que parece

El cuello de botella de los agentes útiles ha pasado de la inteligencia a la confianza. Los modelos son lo bastante capaces para muchas tareas reales, y no hacen más porque la gente no se siente cómoda entregando las llaves. Las sandboxes son una de las herramientas que cambian esa comodidad, porque permiten a un operador prudente correr un agente en un modo donde el peor caso queda contenido.

Lanzamientos como este nunca serán tendencia en un feed de noticias. Son la fontanería que determina si las ambiciosas demos de agentes del último año se convierten en cosas que corren un martes sin que nadie mire. Si construyes con agentes, esta es la capa donde poner tu atención, porque el agente que no puede contenerse no será confiado, y el agente en el que no se confía no será desplegado.