As sandboxes da Modal: dar a um agente uma máquina para quebrar

Dar a um agente de IA a capacidade de executar código é fácil. Dar a ele um lugar seguro para isso não é. Em 1 de outubro de 2026, a Modal Labs lançou sandboxes de VM completas para agentes, dando a cada um um computador inteiro para executar código e ferramentas sem tocar no que não deveria. É um lançamento de infraestrutura, não de modelo, e trata um dos problemas mais teimosos da história dos agentes.

O problema é fácil de enunciar. Um agente que só fala é inofensivo. Um agente que pode agir precisa de um lugar para agir, e os lugares onde poderia agir, do banco de produção à própria máquina do desenvolvedor, são justamente os que você não pode deixar quebrar. As sandboxes tentam resolver isso dando ao agente um mundo descartável onde um erro custa só um reinício.

Por que um contêiner nem sempre basta

Quase todo runtime de agente já isola código, geralmente num contêiner. Contêineres impedem bem que um agente saia da caixa, mas compartilham o kernel com o host e podem vazar de formas que importam quando o conteúdo é imprevisível. Uma VM completa é mais pesada mas mais rigorosa: o agente ganha seu próprio sistema operacional, seu próprio sistema de arquivos e sua própria visão de rede, e o isolamento se sustenta num nível inferior.

Para um agente que faz trabalho comum, a diferença pode nunca aparecer. Para um agente que executa código gerado, baixa da internet ou instala dependências, a diferença é todo o ponto. A sandbox não existe para deixar o agente mais rápido, mas para que, quando ele fizer algo inesperado, o raio de explosão seja uma única máquina descartável.

{{INLINE1}}

A tendência por trás do lançamento

O momento da Modal reflete uma virada mais ampla. Os agentes passaram de demos para pipelines, e uma vez num pipeline ganham permissões reais. No instante em que um agente segura credenciais, onde ele roda vira uma questão de segurança, não de conveniência. Por isso os últimos meses produziram um fluxo constante de ferramentas de sandbox, permissões e governança. A indústria está construindo as partes chatas que tornam os agentes implantáveis.

Há uma ironia que merece ser nomeada. O modelo leva as manchetes, mas as camadas que decidem se os agentes são confiáveis são feitas de engenharia comum. Sistemas de memória que mantêm contexto entre sessões, sandboxes que contêm erros, protocolos de consentimento que registram a que o usuário concordou: nada disso impressiona numa demo, e tudo isso separa um brinquedo de algo que uma empresa realmente vai rodar.

O que perguntar antes de adotar uma sandbox

Nem toda sandbox é igual, e as perguntas são práticas. Quão rápido ela inicia, porque um cold start lento transforma cada chamada de agente numa espera. A que o agente pode chegar, e se isso pode ser trancado por tarefa. O que acontece com o estado ao fim do trabalho, e quanto é registrado. Ela aguenta de forma confiável código não confiável, ou está ajustada para scripts bem-comportados. As respostas decidem se a sandbox é uma fronteira real ou uma formalidade.

As sandboxes mais fortes assumem que o código lá dentro será hostil ou quebrado, e são projetadas para que nenhum dos dois escape. É um objetivo diferente de um ambiente de desenvolvimento para mexer. Para o trabalho com agentes, a suposição de hostilidade é a correta, porque código gerado é imprevisível por natureza e os agentes tiram suas instruções de fontes que você não controla por completo.

Como isso encaixa no resto da pilha

Uma sandbox é uma peça de um argumento maior sobre infraestrutura de agentes. Um agente precisa de memória para retomar de onde parou, permissões para tocar só o que deveria, e um lugar para rodar para que seus erros fiquem contidos. Cada um é um assunto distinto, e cada um produziu sua onda de ferramentas neste ano. A sandbox é a peça da contenção, e mais importante à medida que os agentes ganham autonomia.

Essa é a linha de tendência. Os primeiros agentes andavam passo a passo com um humano aprovando cada movimento. A direção é para agentes que rodam mais tempo, agem mais e precisam de menos supervisão. Quanto mais autônomo um agente, mais ele precisa de uma fronteira que não dependa de um humano pegá-lo. Uma VM completa é uma ferramenta mais pesada que um contêiner, e a razão de pagar esse peso é justamente parar de depender de supervisão.

Há também uma dimensão de custo raramente discutida. Sandboxes tornam barato tentar, não só seguro. Um agente que pode levantar uma máquina nova, quebrá-la e jogá-la fora trata o fracasso como grátis. Isso muda como ele trabalha: mais experimental, testando mais abordagens, recuperando-se de becos sem saída sem que um humano limpe. Contenção e experimentação são a mesma função vista de dois ângulos.

Um teste para qualquer sandbox

Antes de adotar, faça um experimento simples. Dê ao agente uma tarefa que exige instalar um pacote desconhecido, baixar algo da internet e escrever no disco. Depois observe o que a sandbox consegue ver. Ela consegue alcançar sua rede interna por acidente. Um job que travou deixa algo para trás. Quanto tempo uma instância nova leva para iniciar. Essas perguntas se respondem rápido e revelam se o isolamento é real ou cosmético.

Depois quebre-a de propósito. Alimente a sandbox com código que tenta escapar, que gera processos em segundo plano, que fica em loop. Uma boa sandbox trata tudo isso como esperado e contém. Uma fraca vai travar, vazar ou cair. A disposição de testar assim é em si a marca de equipes que levam a segurança de agentes a sério, e é muito mais barata do que descobrir os limites em produção.

Por que isso importa mais do que parece

O gargalo dos agentes úteis passou da inteligência para a confiança. Os modelos são capazes o bastante para muitas tarefas reais, e não fazem mais porque as pessoas não se sentem à vontade para entregar as chaves. As sandboxes são uma das ferramentas que mudam esse conforto, porque permitem a um operador cauteloso rodar um agente num modo em que o pior caso fica contido.

Lançamentos como este nunca serão tendência num feed de notícias. São o encanamento que determina se as ambiciosas demos de agentes do último ano se tornam coisas que rodam numa terça sem ninguém olhando. Se você constrói com agentes, é nesta camada que vale investir atenção, porque o agente que não pode ser contido não será confiado, e o agente em que não se confia não será implantado.