Un bac à sable pour agent est un environnement d’exécution restreint : l’agent peut y lire et écrire des fichiers, exécuter des commandes et atteindre des ressources réseau précises, mais tout ce qu’il peut toucher est décidé par la limite du bac à sable, et tout ce qui la dépasse est bloqué. Ce n’est pas une suggestion psychologique ajoutée à l’agent, mais une isolation au niveau du système d’exploitation ou de la virtualisation. La clé pour comprendre un bac à sable n’est pas l’étiquette « très sûr », mais exactement ce qu’il isole.
Trois choses qu’un bac à sable isole en général
La première est le système de fichiers. Un agent dans le bac à sable ne voit que le répertoire de travail qui lui est attribué ; les autres fichiers de la machine hôte restent hors de sa vue, de sorte que les dégâts d’une suppression ou d’une modification accidentelle restent circonscrits. La deuxième concerne les processus et les ressources. Le bac à sable limite les programmes que l’agent peut lancer et la quantité de processeur et de mémoire qu’il peut utiliser, pour qu’une tâche hors de contrôle ne paralyse pas toute la machine. La troisième est le réseau. Beaucoup de bacs à sable sont hors ligne par défaut ou ne laissent passer que les adresses d’une liste blanche, si bien que l’agent ne peut pas envoyer des données à sa guise. Le nouvel environnement de calcul pour agents de Google suit cette même idée : chaque agent dispose de son propre ordinateur isolé, la tâche s’exécute dans l’environnement isolé, et seul le résultat revient.
Trois choses qu’un bac à sable n’arrête pas
Un bac à sable contrôle ce que l’agent peut toucher, pas ce qu’il croit. Si un fichier, une page web ou un courriel lu par l’agent cache une instruction injectée, l’agent peut la suivre dans les limites autorisées — par exemple en envoyant des fichiers de son répertoire de travail vers une adresse quelconque. Un bac à sable n’arrête pas non plus des autorisations beaucoup trop généreuses : si l’on place tout un répertoire de projet et l’ensemble des secrets dans le bac à sable, l’isolation devient une formalité. Plus subtile encore est la fuite de signaux au niveau matériel ; des chercheurs ont déjà démontré des moyens d’extraire des données d’un environnement isolé via des signaux matériels partagés. Un bac à sable à lui seul n’est donc pas un verrou universel.
Quand lui faire confiance, et quand ne pas le faire
Utiliser un bac à sable par défaut est la bonne approche : l’agent s’exécute d’abord dans l’environnement isolé, ne reçoit que les répertoires, l’accès réseau et les clés nécessaires selon le principe du moindre privilège, et les actions critiques sont confirmées par un humain. Compter uniquement sur le bac à sable est une erreur : les répertoires sensibles n’y entrent pas, les contenus de sources douteuses sont d’abord examinés, et les opérations touchant à l’argent et aux comptes doivent être revues à la main. La valeur d’un bac à sable est de réduire le rayon des dégâts d’un accident, et non de porter le jugement à votre place.
