Agentes de IA precisam de sandbox, não de confiança

A novidade mais importante da semana para desenvolvedores não é um modelo maior, mas a infraestrutura ao redor dos agentes de IA. O lançamento do Docker Sandboxes mostra que a pergunta mudou: não é mais se agentes como Claude Code, Codex, Copilot CLI ou Gemini CLI conseguem mexer no código, e sim como deixar que eles trabalhem sem entregar a máquina, os segredos e a rede da empresa de bandeja.

O que o Docker Sandboxes trouxe de novo?

O Docker Sandboxes é uma camada para executar agentes de IA em ambientes descartáveis e isolados. Segundo a página do produto, ele roda cada agente em uma microVM dedicada, monta apenas o workspace do projeto e permite que o agente instale pacotes, altere configurações e até suba containers Docker dentro desse ambiente. Quando o trabalho acaba, o sandbox pode ser destruído.

O produto mira explicitamente agentes populares: Claude Code, Copilot CLI, Codex, OpenCode, Kiro e Gemini CLI aparecem na documentação pública do Docker. No macOS, o comando anunciado é:

brew trust docker/tap && brew install docker/tap/sbx

O ponto técnico não é o instalador. É a ideia de que o modo permissivo, muitas vezes chamado de --dangerously-skip-permissions, deixa de ser uma aposta cega quando existe isolamento forte, controle de rede, controle de filesystem e descarte previsível do ambiente.

Por que aprovação humana não basta?

Um dado recente explica a urgência. Em 5 de agosto de 2026, a Scale X publicou um experimento com mais de 40 mil execuções de um jogo de aprovação de comandos de agentes. O participante médio perdeu 1 em cada 3 ameaças, com acurácia média de 66,3%, e 32,9% das sessões terminaram com pontuação negativa.

Esse número é desconfortável porque muitos times ainda tratam o prompt de permissão como controle de segurança. Depois de dez comandos aparentemente normais, um curl suspeito, um rm amplo demais ou uma tentativa de ler .env pode passar. E quanto melhor o agente fica em executar tarefas completas, mais comandos ele gera.

O estudo também diz que 7% dos participantes aprovaram todos os prompts. O problema é que agentes de código têm acesso a superfícies sensíveis:

• arquivos locais com credenciais, tokens e chaves privadas;
• rede interna, endpoints de staging e bancos de dados;
• scripts de build, deploy e migração com efeitos reais;
• repositórios com código proprietário e contexto de negócio.

Por isso, a discussão deixa de ser moral ou cultural. O desenho correto é limitar o que o agente consegue fazer mesmo quando alguém aprova demais.

Qual é o impacto prático para desenvolvedores e empresas?

Para desenvolvedores, o benefício imediato é trabalhar com agentes de forma menos travada. Se o ambiente é descartável e tem acesso limitado, faz sentido delegar tarefas maiores: atualizar uma lib, rodar testes, comparar abordagens, gerar um patch e executar validações.

Para empresas, o impacto é governança. Um agente de IA é um operador de terminal com capacidade de ler, escrever, instalar, executar e chamar APIs. Isso coloca agentes no mesmo território de CI/CD, automação de infraestrutura e supply chain, mas com decisões probabilísticas e orientadas por contexto.

Algumas políticas passam a ser básicas em 2026:

• workspace mínimo: montar apenas o repositório necessário;
• rede restrita: liberar domínios e portas necessários para a tarefa;
• segredos fora do sandbox: usar credenciais temporárias e escopadas;
• logs auditáveis: registrar comandos, arquivos alterados e chamadas de rede;
• descarte obrigatório: destruir o ambiente após a tarefa.

Essa visão combina com outro movimento recente. Em 11 de agosto de 2026, o Google publicou que Go é uma linguagem ideal para engenharia de software assistida por IA porque a limitação mudou de escrever código para revisar, verificar e manter código gerado. A defesa passa por ferramentas integradas como gofmt, testes e dependências previsíveis.

A Databricks fez ponto parecido pelo lado econômico em Managing AI Coding Costs at Scale. O texto cita roteamento dinâmico de modelos e afirma que o AI Gateway Smart Router reduziu o custo médio por tarefa em mais de 30%, mantendo qualidade próxima ao modelo mais caro do conjunto.

Como adotar agentes sem improviso?

O caminho prático é tratar agentes como uma nova classe de runtime. Não basta escolher entre Claude, Codex, Gemini ou Copilot. O time precisa definir uma arquitetura de execução.

1. comece com sandboxes locais para tarefas sem acesso a produção;
2. separe perfis de permissão por tipo de tarefa, como leitura, refatoração, testes e migração;
3. bloqueie acesso direto a segredos permanentes;
4. exija testes automatizados e diff pequeno antes de revisão humana;
5. meça custo por tarefa, não só custo mensal por usuário;
6. revise logs de comandos em incidentes e mudanças críticas.

Sandbox não é licença para descuido. Ele reduz o raio de explosão, mas não substitui revisão de arquitetura, testes de regressão, análise de segurança e política de dependências. A melhor combinação é agente autônomo dentro de limites fortes, com revisão humana no resultado, não em cada microcomando.

A mensagem da semana é clara: a próxima vantagem competitiva em IA para desenvolvimento não virá apenas de usar o modelo mais recente. Virá de transformar agentes em parte confiável da plataforma de engenharia.

Perguntas frequentes

O que é Docker Sandboxes para IA?

Docker Sandboxes é uma ferramenta para executar agentes de IA em microVMs isoladas e descartáveis. Ela limita o acesso ao host, ao filesystem e à rede enquanto permite que o agente trabalhe no projeto.

Agentes de IA podem rodar comandos sem aprovação?

Podem, mas isso só é aceitável com isolamento e políticas claras. Sem sandbox, aprovar tudo ou usar modos permissivos aumenta o risco de vazamento de dados, comandos destrutivos e acesso indevido à rede.

Qual é o risco de usar IA para programar em empresas?

O risco principal não é só código ruim, mas execução com efeitos reais: ler segredos, alterar arquivos críticos, instalar dependências inseguras ou chamar serviços internos. Por isso agentes precisam de limites técnicos, logs e revisão.

Sandbox substitui revisão de código com IA?

Não. Sandbox reduz o impacto de ações perigosas durante a execução, mas a revisão continua necessária para validar arquitetura, segurança, testes e manutenção do código gerado.