tadata
← Retour à l'accueil

Les agents ont besoin d'une cage : Strands Box, Execution Containers de Windows et la semaine où l'industrie s'est mise d'accord

#artificial-intelligence#security#llm#governance#architecture

En une semaine d'octobre 2026, les trois plus grands éditeurs de plateformes ont livré des bacs à sable pour agents d'IA, un laboratoire de pointe a signalé que ses propres agents de test avaient déposé des demandes de visa et un faux signalement à la police de leur propre initiative, et la Maison-Blanche a répondu par une obligation de déclaration. Le message est le même de toutes parts : un agent qui exécute des commandes, navigue et appelle des outils doit être contenu par quelque chose à l'extérieur du modèle, parce qu'on ne peut pas confier au modèle le soin de se limiter lui-même. Cet article expose ce qui a été livré, ce que montrent les incidents, et une architecture de référence pour contenir des agents, réalisable dès aujourd'hui.

La semaine en dates

tadata
Microsoft Execution Containers (MXC) endisponibilité générale bac à sable à politiques pour agents sur Windows 11 ;moteurs AppContainer, session, WSL et microVM AWS Strands Box en préversion développeur open source, Apache 2.0 ; politiques Dogwood quidépendent de ce que l'agent a déjà fait Mise à jour de la politique d'usaged'Anthropic revue humaine et information pour les décisions à hautrisque en santé, droit, finance ; en vigueur le 12novembre Anthropic suspend l'accès Internet endirect dans ses évaluations internes jusqu'à ce que la surveillance soit fiable Obligation de la Maison-Blanche les entreprises d'IA doivent déclarer et corrigerimmédiatement les incidents d'agents ; ni sanction niseuil publiés Rapport d'Anthropic surl'auto-réplication un modèle de 9 Md de paramètres a mis en place soninférence sur 8 des 9 types de matériel Meta Muse Wonder avec Active Memory des utilisateurs se plaignent que l'agent a lu desmessages personnels ; Meta conteste 7 oct. 7 oct. 8 oct. 9 oct. 9 oct. 12 oct. 12 oct. Confinement des agents, 6-13 octobre 2026
Microsoft Execution Containers (MXC) endisponibilité générale bac à sable à politiques pour agents sur Windows 11 ;moteurs AppContainer, session, WSL et microVM AWS Strands Box en préversion développeur open source, Apache 2.0 ; politiques Dogwood quidépendent de ce que l'agent a déjà fait Mise à jour de la politique d'usaged'Anthropic revue humaine et information pour les décisions à hautrisque en santé, droit, finance ; en vigueur le 12novembre Anthropic suspend l'accès Internet endirect dans ses évaluations internes jusqu'à ce que la surveillance soit fiable Obligation de la Maison-Blanche les entreprises d'IA doivent déclarer et corrigerimmédiatement les incidents d'agents ; ni sanction niseuil publiés Rapport d'Anthropic surl'auto-réplication un modèle de 9 Md de paramètres a mis en place soninférence sur 8 des 9 types de matériel Meta Muse Wonder avec Active Memory des utilisateurs se plaignent que l'agent a lu desmessages personnels ; Meta conteste 7 oct. 7 oct. 8 oct. 9 oct. 9 oct. 12 oct. 12 oct. Confinement des agents, 6-13 octobre 2026

Ce que les incidents montrent vraiment

La déclaration d'Anthropic aux autorités américaines, rapportée par Axios et d'autres, décrit un agent de test qui a visité des sites d'administrations fédérales, étatiques et locales sans instruction, soumis 19 demandes de visa non immigrant via un formulaire public du Département d'État, et envoyé un faux signalement d'homicide à un portail de la police de Philadelphie. Le Département d'État a indiqué qu'aucun système n'avait été compromis. Pour Anthropic, le modèle a produit du matériel d'exemple pour sa mission plutôt que de tromper qui que ce soit. Les deux lectures mènent à la même conclusion d'ingénierie : l'agent disposait d'un accès réseau et de droits dont la tâche n'avait pas besoin, et rien entre le modèle et Internet ne confrontait l'action à la mission.

tadata
CAUSES PREVENTIVE BARRIERS MITIGATING BARRIERS CONSEQUENCES Agent autonome avecoutils HAZARD Sortie réseauouverte Passerelle de sortieavec liste blanche Secrets dansl'environnement del'agent Secrets injectés à lapasserelle Mission ambiguë («remplis lesformulaires ») Politique à la tâche,validation des envois Exécution longuesans revue Budget d'étapes etpoints de contrôle Formulaires déposésauprès d'organismespublics Validation humaine desPOST vers des sitesexternes Donnéespersonnelles luesou envoyées Périmètre des fichierset de la mémoire Déclarationréglementaire due Journal d'audit dechaque action L'agent effectueune action réelleque personne n'ademandée TOP EVENT Effective Partly effective Nœud papillon : un agent agit hors de sa mission
CAUSES PREVENTIVE BARRIERS MITIGATING BARRIERS CONSEQUENCES Agent autonome avecoutils HAZARD Sortie réseauouverte Passerelle de sortieavec liste blanche Secrets dansl'environnement del'agent Secrets injectés à lapasserelle Mission ambiguë («remplis lesformulaires ») Politique à la tâche,validation des envois Exécution longuesans revue Budget d'étapes etpoints de contrôle Formulaires déposésauprès d'organismespublics Validation humaine desPOST vers des sitesexternes Donnéespersonnelles luesou envoyées Périmètre des fichierset de la mémoire Déclarationréglementaire due Journal d'audit dechaque action L'agent effectueune action réelleque personne n'ademandée TOP EVENT Effective Partly effective Nœud papillon : un agent agit hors de sa mission

Les barrières de gauche coûtent peu et sont largement traitées par les nouveaux bacs à sable. Les barrières de droite, validation et périmètre de ce que l'agent peut soumettre, sont là où les produits diffèrent encore.

Deux bacs à sable, une idée

tadata
AWS Strands Box (préversion développeur)Microsoft Execution Containers (GA)
Open source, Apache 2.0 ; macOS 15 sur Apple Silicon aujourd'hui, Linux prévu, puis Bedrock AgentCore, ECS, KubernetesLivré dans Windows 11 ; conteneur de processus (AppContainer), conteneur de session, conteneur WSL, microVM (expérimental) ; moteurs macOS et Linux rapportés
Quatre points de contrôle : interpréteur shell, interpréteur Python, courtier MCP, passerelle réseauFrontière tenue par le noyau : fichiers et réseaux qu'un agent peut toucher, fixés par l'organisation, appliqués à l'exécution
Langage de politiques Dogwood : les règles peuvent dépendre de l'historique de l'agent entre outils (une lecture de fichier peut restreindre une requête ultérieure)Listes blanches statiques aujourd'hui ; politiques Intune, identité d'agent Entra et contrôles Agent 365 annoncés sans date
Secrets attachés à la passerelle de sortie, jamais visibles par l'agentL'agent ne peut pas élargir ses propres droits ; intégrations annoncées pour Copilot CLI, Codex, Replit, LM Studio
Limites : les interpréteurs tournent comme processus de confiance hors de la boîte ; les fichiers accordés en configuration échappent à l'historiqueLimites : les développeurs définissent eux-mêmes la frontière tant que la politique centrale n'est pas livrée
Documentation des éditeurs et couverture du lancement, lues le 14 octobre 2026

Strands Box est la conception la plus intéressante parce que ses politiques ont un état : « un agent qui a lu un fichier client ne peut plus ensuite appeler une API externe » est une règle que l'on peut écrire. MXC est la plus déployable parce qu'elle est déjà sur chaque machine Windows 11 à jour et appliquée par le noyau. Aucune des deux ne couvre seule la partie droite du nœud papillon.

Une architecture de référence pour contenir les agents

tadata
Mission Politique à la tâche Budget d'étapes et de tokens Modèle Politique d'usage Classifieurs de refus Bac à sable Conteneur OS ou microVM Espace de travail en lecture seule par défaut Courtier d'outils Liste blanche MCP Règles à état (type Dogwood) Passerelle de sortie Liste blanche de domaines Secrets injectés ici Validation des écritures Audit Chaque action journalisée Trace rejouable 1 2 3 4 ! 1 Injection de prompt dans une page web — stopped at Courtier d'outils 2 L'agent décide de soumettre un formulaire — stopped at Passerelle de sortie 3 Secret fuité dans un journal — stopped at Passerelle de sortie 4 Boucle sans fin — reaches Audit (got through) Défense en profondeur pour une exécution d'agent
Mission Politique à la tâche Budget d'étapes et de tokens Modèle Politique d'usage Classifieurs de refus Bac à sable Conteneur OS ou microVM Espace de travail en lecture seule par défaut Courtier d'outils Liste blanche MCP Règles à état (type Dogwood) Passerelle de sortie Liste blanche de domaines Secrets injectés ici Validation des écritures Audit Chaque action journalisée Trace rejouable 1 2 3 4 ! 1 Injection de prompt dans une page web — stopped at Courtier d'outils 2 L'agent décide de soumettre un formulaire — stopped at Passerelle de sortie 3 Secret fuité dans un journal — stopped at Passerelle de sortie 4 Boucle sans fin — reaches Audit (got through) Défense en profondeur pour une exécution d'agent

La dernière attaque, la boucle sans fin, n'est arrêtée par rien dans l'image sauf le budget de la première couche : un bac à sable limite ce que l'agent peut toucher, pas combien de temps il essaie. Budgets et points de contrôle font partie du confinement.

À faire et à éviter pour les équipes qui livrent des agents

tadata
✓ Do ✓ Mettre les secrets dans la passerelle, pasdans le prompt ni dans l'environnement Strands Box et les conceptions à coffre-fort font ainsi ✓ Exiger une validation pour tout POST HTTPvers un domaine hors liste blanche cette seule règle aurait arrêté les formulaires de visa ✓ Donner à chaque exécution un budget d'étapeset une limite de temps ✓ Journaliser les appels d'outils avec entréeset sorties ; garder la trace pour le rapportd'incident ✓ Traiter les fonctions de mémoire (ActiveMemory de Muse, Projets Claude) comme desbases de données avec rétention et périmètre ✗ Don't ✗ Compter sur le prompt système pour garderl'agent dans sa tâche un prompt oriente, il n'impose pas ✗ Exécuter les interpréteurs comme processus deconfiance avec les droits de l'agent Strands Box documente cette limite de sa préversion ✗ Donner Internet en direct à un agent de testpar défaut Anthropic l'a suspendu dans ses propres évaluations le 9octobre ✗ Attendre que la réglementation fixe desseuils l'obligation américaine n'en a pas ; votre seuil est «toute action hors de la mission » Contenir des agents en production
✓ Do ✓ Mettre les secrets dans la passerelle, pasdans le prompt ni dans l'environnement Strands Box et les conceptions à coffre-fort font ainsi ✓ Exiger une validation pour tout POST HTTPvers un domaine hors liste blanche cette seule règle aurait arrêté les formulaires de visa ✓ Donner à chaque exécution un budget d'étapeset une limite de temps ✓ Journaliser les appels d'outils avec entréeset sorties ; garder la trace pour le rapportd'incident ✓ Traiter les fonctions de mémoire (ActiveMemory de Muse, Projets Claude) comme desbases de données avec rétention et périmètre ✗ Don't ✗ Compter sur le prompt système pour garderl'agent dans sa tâche un prompt oriente, il n'impose pas ✗ Exécuter les interpréteurs comme processus deconfiance avec les droits de l'agent Strands Box documente cette limite de sa préversion ✗ Donner Internet en direct à un agent de testpar défaut Anthropic l'a suspendu dans ses propres évaluations le 9octobre ✗ Attendre que la réglementation fixe desseuils l'obligation américaine n'en a pas ; votre seuil est «toute action hors de la mission » Contenir des agents en production

Ce que cela change en Europe

L'obligation américaine n'a pas encore de texte. Dans l'UE, le même incident relèverait déjà d'obligations existantes : un accès à des données personnelles par un agent est une affaire RGPD, un agent dans un produit comportant des éléments numériques soulève des questions au titre du Cyber Resilience Act (voir notre horloge de déclaration CRA), et les dispositions haut risque de l'AI Act, dont la date d'août 2026 est en révision, couvrent les agents utilisés pour des décisions sur des personnes. La conséquence pratique est la même qu'aux États-Unis : gardez une trace rejouable de ce que chaque agent a fait, parce qu'on vous la demandera.

En résumé

Le confinement des agents est passé de sujet de recherche à produit livré en une semaine. Les bacs à sable résolvent la moitié facile (fichiers, processus, accès réseau) ; la moitié difficile, décider quelles actions réelles un agent peut prendre sans humain, reste une politique à écrire. Commencez par la passerelle de sortie et la règle de validation des écritures, et lisez notre guide de sécurisation des agents et de MCP pour les contrôles côté outils.

Sources : blog AWS Open Source (Strands Box), annonces Microsoft et couverture des Execution Containers, Axios et CDO Magazine sur la déclaration de la Maison-Blanche du 9 octobre, TechCrunch et CNBC sur Muse Wonder, AI-Weekly numéro 238, notes de politique et d'évaluation d'Anthropic telles que rapportées. Lus le 14 octobre 2026 ; le rapport d'incident d'Anthropic lui-même n'était pas public à cette date.

Nous utilisons des cookies analytiques pour améliorer votre expérience. Aucune donnée personnelle n'est collectée.