Un outil open-source pour isoler les agents IA au niveau système

Anthropic a publié sandbox-runtime (srt), un outil open-source sous licence Apache 2.0, conçu pour restreindre les accès aux fichiers et au réseau des processus exécutés par des agents IA. Contrairement aux solutions basées sur des conteneurs comme Docker, srt opère directement au niveau du système d’exploitation, sans nécessiter de virtualisation. Selon la MarkTechPost, cet outil a été développé pour répondre à des risques spécifiques : sans isolation réseau, un agent IA pourrait exfiltrer des clés SSH, et sans isolation des fichiers, il pourrait s’échapper de la sandbox pour accéder au réseau.

Sans isolation réseau, un prompt-injected agent pourrait exfiltrer des clés SSH, et sans isolation des fichiers, il pourrait s’échapper de la sandbox pour accéder au réseau.

Fonctionnalités techniques et compatibilité par système d’exploitation

Le sandbox-runtime utilise des mécanismes différents selon le système d’exploitation. Sur macOS, il repose sur sandbox-exec avec des profils dynamiques générés par Seatbelt, nécessitant uniquement ripgrep comme dépendance. Sur Linux, il emploie bubblewrap pour supprimer le réseau du namespace, avec socat et ripgrep en support. La version Windows, encore en phase alpha, utilise un compte dédié srt-sandbox, le pare-feu Windows Filtering Platform (WFP) et des ACLs de fichiers explicites. Cependant, certaines limitations subsistent, comme l’incompatibilité avec les outils utilisant la pile TLS de Windows (PowerShell, .NET HttpClient, etc.) ou les requêtes HTTPS via PowerShell et winget, selon les détails fournis par whatisagenticai.net.

Réduction des invites de permission et configuration avancée

Anthropic indique que l’utilisation de srt a permis de réduire les invites de permission de 84 % dans l’environnement interne de Claude Code, son modèle d’IA. L’outil permet de configurer des listes de domaines autorisés ou refusés, des wildcards pour les noms de domaine, ainsi que des ports spécifiques. Les accès en lecture sont autorisés par défaut, tandis que les accès en écriture sont bloqués sauf exception explicite. Les règles de sécurité sont définies dans un fichier ~/.srt-settings.json, et l’outil supporte des fonctionnalités comme les politiques réseau allow-only, l’autorisation de sockets Unix et une terminaison TLS expérimentale, comme détaillé dans le dépôt GitHub cité par AI Weekly.

Ce que cela change ici : implications pour les entreprises et administrations d’Afrique de l’Ouest

Pour les entreprises et administrations d’Afrique de l’Ouest, où la sécurisation des infrastructures numériques est un enjeu croissant, sandbox-runtime pourrait offrir une solution légère et efficace pour limiter les risques liés à l’exécution d’agents IA. Son absence de dépendance aux conteneurs pourrait simplifier son déploiement sur des environnements hétérogènes, souvent rencontrés dans les PME et les institutions publiques. Cependant, les limitations techniques, notamment sur Windows, pourraient nécessiter des adaptations locales. Les organisations utilisant des outils comme Claude Code ou développant leurs propres agents IA pourraient tirer parti de srt pour renforcer la sécurité des données sensibles, à condition de tester ses compatibilités avec leurs infrastructures existantes.