Le sandbox di Modal: dare a un agente una macchina da rompere

Dare a un agente IA la capacità di eseguire codice è facile. Dargli un posto sicuro per farlo non lo è. Il 1 ottobre 2026, Modal Labs ha pubblicato sandbox VM complete per agenti, dando a ciascuno un computer intero per eseguire codice e strumenti senza toccare ciò che non dovrebbe. È un rilascio di infrastruttura, non di modello, e affronta uno dei problemi più ostinati della vicenda degli agenti.

Il problema è semplice da enunciare. Un agente che parla soltanto è innocuo. Un agente che può agire ha bisogno di un posto dove agire, e i posti dove potrebbe agire, dal database di produzione alla macchina dello sviluppatore, sono proprio quelli che non puoi lasciare rompere. Le sandbox provano a risolverlo dando all'agente un mondo usa e getta dove un errore costa solo un riavvio.

Perché un container non sempre basta

Quasi tutti i runtime per agenti isolano già il codice, spesso in un container. I container impediscono bene a un agente di uscire dalla scatola, ma condividono il kernel con l'host e possono perdere in modi che contano quando il contenuto è imprevedibile. Una VM completa è più pesante ma più severa: l'agente ottiene il proprio sistema operativo, il proprio filesystem e la propria vista di rete, e l'isolamento regge a un livello più basso.

Per un agente che fa lavoro ordinario, la differenza può non emergere mai. Per un agente che esegue codice generato, scarica da internet o installa dipendenze, la differenza è tutto il punto. La sandbox non serve a rendere l'agente più veloce, ma a far sì che, quando fa qualcosa di inatteso, il raggio d'esplosione sia una sola macchina usa e getta.

{{INLINE1}}

La tendenza dietro il rilascio

Il tempismo di Modal riflette una svolta più ampia. Gli agenti sono passati dalle demo ai pipeline, e una volta in un pipeline ottengono permessi reali. Nel momento in cui un agente detiene credenziali, dove gira diventa una questione di sicurezza, non di comodità. Ecco perché gli ultimi mesi hanno prodotto un flusso costante di strumenti di sandbox, permessi e governance. L'industria sta costruendo le parti noiose che rendono gli agenti distribuibili.

C'è un'ironia da nominare. Il modello prende i titoli, ma gli strati che decidono se gli agenti sono affidabili sono fatti di ingegneria ordinaria. Sistemi di memoria che mantengono il contesto tra sessioni, sandbox che contengono errori, protocolli di consenso che registrano a cosa ha acconsentito un utente: nulla di tutto ciò impressiona in una demo, e tutto ciò separa un giocattolo da qualcosa che un'azienda farà davvero girare.

Cosa chiedere prima di adottare una sandbox

Non tutte le sandbox sono uguali, e le domande sono pratiche. Quanto ci mette ad avviarsi, perché un avvio lento trasforma ogni chiamata dell'agente in un'attesa. A cosa può accedere l'agente, e si può chiudere per compito. Cosa succede allo stato alla fine del lavoro, e quanto viene registrato. Resiste in modo affidabile a codice non attendibile, o è tarata per script ben educati. Le risposte decidono se la sandbox è un confine reale o una formalità.

Le sandbox più forti presumono che il codice dentro sarà ostile o rotto, e sono progettate perché nessuno dei due scappi. È un obiettivo diverso da un ambiente di sviluppo da smanettare. Per il lavoro con gli agenti, la presunzione di ostilità è quella giusta, perché il codice generato è imprevedibile per natura e gli agenti prendono istruzioni da fonti che non controlli del tutto.

Come si incastra nel resto dello stack

Una sandbox è un pezzo di un discorso più ampio sull'infrastruttura per agenti. Un agente ha bisogno di memoria per riprendere da dove era, di permessi per toccare solo ciò che dovrebbe, e di un posto dove girare perché i suoi errori restino contenuti. Ciascuno è un tema distinto, e ciascuno ha prodotto la sua ondata di strumenti quest'anno. La sandbox è il pezzo del contenimento, e conta di più man mano che gli agenti guadagnano autonomia.

È la linea di tendenza. I primi agenti andavano passo passo con un umano che approvava ogni mossa. La direzione è verso agenti che girano più a lungo, agiscono di più e richiedono meno supervisione. Più un agente è autonomo, più ha bisogno di un confine che non dipenda da un umano che lo catturi. Una VM completa è uno strumento più pesante di un container, e la ragione di pagarne il peso è proprio smettere di dipendere dalla supervisione.

C'è anche una dimensione di costo raramente discussa. Le sandbox rendono economico provare, non solo sicuro. Un agente che può lanciare una macchina nuova, romperla e buttarla tratta il fallimento come gratuito. Questo cambia come lavora: più sperimentale, provando più approcci, riprendendosi da vicoli ciechi senza che un umano pulisca. Contenimento e sperimentazione sono la stessa funzione vista da due angoli.

Un test per qualsiasi sandbox

Prima di adottare, fai un esperimento semplice. Dai all'agente un compito che richiede di installare un pacchetto sconosciuto, scaricare qualcosa da internet e scrivere su disco. Poi osserva cosa può vedere la sandbox. Può raggiungere per errore la tua rete interna. Un lavoro andato in crash lascia qualcosa. Quanto ci mette a partire una nuova istanza. Queste domande si rispondono in fretta e rivelano se l'isolamento è reale o cosmetico.

Poi rompila di proposito. Nutri la sandbox con codice che tenta di evadere, che genera processi in background, che resta in loop. Una buona sandbox tratta tutto ciò come previsto e lo contiene. Una debole si bloccherà, perderà o cadrà. La volontà di testare così è di per sé il segno delle squadre che prendono sul serio la sicurezza degli agenti, ed è molto più economica che scoprire i limiti in produzione.

Perché conta più di quanto sembri

Il collo di bottiglia degli agenti utili è passato dall'intelligenza alla fiducia. I modelli sono abbastanza capaci per molti compiti reali, e non ne fanno di più perché le persone non si sentono a proprio agio a consegnare le chiavi. Le sandbox sono uno degli strumenti che cambiano quel livello di agio, perché permettono a un operatore prudente di far girare un agente in una modalità in cui il caso peggiore è contenuto.

Rilasci come questo non saranno mai di tendenza in un feed di notizie. Sono l'idraulica che determina se le ambiziose demo di agenti dell'anno scorso diventano cose che girano di martedì senza che nessuno guardi. Se costruisci con gli agenti, è lo strato su cui investire attenzione, perché l'agente che non può essere contenuto non sarà creduto, e l'agente di cui non ci si fida non sarà distribuito.