AWS publie Strands Box, un bac à sable open source qui bloque les agents selon ce qu'ils ont déjà fait

La particularité de Strands Box, d’AWS, est qu’il se souvient de ce qu’un agent a déjà fait et s’en sert pour bloquer la suite.

AWS a publié le 7 octobre en préversion pour développeurs Strands Box, un bac à sable open source qui limite ce que les agents d’IA peuvent faire, sous licence Apache 2.0. Un bac à sable est une boîte de sécurité qui enferme un agent et restreint ce qu’il peut faire. C’est une préversion, donc les environnements pris en charge restent étroits, mais elle montre la direction que prennent les garde-fous pour les développeurs qui construisent des agents de code et de DevOps.

Ce que fait l’outil

Isolation au niveau du système d’exploitation plus moteur de politiques. Il isole l’agent au niveau du système d’exploitation et fait passer les commandes shell, scripts Python, requêtes réseau et appels d’outils MCP exécutés par l’agent par un moteur de politiques (Dogwood). Ce moteur décide d’autoriser ou de bloquer chaque action. MCP est une norme qui permet à l’IA d’utiliser des outils externes.
Des règles qui se souviennent des actions passées. Les conteneurs et les microVM enferment un agent mais ignorent ce qu’il a fait. Strands Box applique des règles fondées sur ce que l’agent a déjà fait.
Exemples de règles. Autoriser l’agent à publier sur Slack, mais seulement trois fois toutes les dix minutes. Bloquer les requêtes web sortantes dès que l’agent a lu un fichier d’un dossier de données clients. Plafonner les dépenses d’API serait aussi possible, selon les informations rapportées.

Peut-on l’utiliser maintenant

Environnement pris en charge. La préversion ne prend en charge que les Mac Apple silicon sous macOS 15 ou version ultérieure.
Feuille de route. La prise en charge de Linux serait en développement et celle de Windows à l’étude, mais sans dates. Les cibles de déploiement comme Bedrock AgentCore, ECS et Kubernetes sont prévues sans calendrier fixé.
Framework. Certains articles le présentent avec l’écosystème Strands Agents, tandis qu’une analyse indique qu’il vise à fonctionner indépendamment de tout framework d’agents particulier.

Les limites sont claires aussi

Selon des informations rapportées, AWS est elle-même franche sur les lacunes.

Certaines actions d’outils intégrés contourneraient les contrôles du moteur de politiques, et les interpréteurs de confiance s’exécutent hors du bac à sable.
L’outil ne remplace pas IAM (gestion des droits), la supervision ni le contrôle humain. Il vaut mieux le voir comme une contrainte utile que comme un confinement complet.

Affirmations que nous n’avons pas pu confirmer

Les formules « comportements d’agents hors de contrôle en environnement d’entreprise » et « supervision en temps réel » n’ont pas pu être confirmées dans les descriptions officielles. Ce qui est confirmé, ce sont l’isolation et les règles fondées sur les actions passées.
« Un framework de garde-fous pour agents est devenu officiel » est exagéré. Il s’agit pour l’instant d’une préversion open source pour développeurs, aux environnements limités.

Ce qui pourrait changer pour les développeurs

Ce qui suit est notre estimation et nos conseils à partir des informations disponibles.

Écrire « ne fais pas ça » dans un prompt ne suffit pas. Bloquer les actions au niveau du système, pour que l’agent ne puisse réellement pas les accomplir, pourrait devenir la norme.
Les règles peuvent se concevoir par nombre et par ordre. Les règles à état, comme les limites de débit ou le blocage du trafic sortant après la lecture de données sensibles, sont particulièrement utiles pour les agents de code et de DevOps.
À considérer comme expérimental pour l’instant. Une préversion réservée au Mac se prête mal au déploiement sur serveur. En production, gardez les protections existantes : IAM, journaux, validation humaine.
Vérifier les chemins de contournement. Partez du principe qu’il existe des chemins que l’outil ne peut pas bloquer (outils intégrés, interpréteurs de confiance), et ajoutez une étape de validation distincte pour les opérations importantes.

À suivre

Le calendrier de la prise en charge de Linux et Windows et des cibles de déploiement cloud, la documentation et les exemples du langage de règles (Dogwood), et la manière dont les cas de contournement sont signalés et corrigés.