Endo Familiar : Bac à sable à capacité d'objet pour agents d'IA

La démo Endo Familiar, construite sur HardenedJS et le modèle de sécurité par capacités objet (ocap), résout le défaut de sécurité fondamental des frameworks actuels d'agents IA : le « problème du sac d'identifiants ». La plupart des agents reçoivent aujourd'hui un accès complet aux systèmes de fichiers, aux clés API et aux identifiants, créant un point de défaillance unique où une injection de prompt ou un mauvais alignement peut causer des dégâts catastrophiques.

Comment ça marche

Dans cette démo, l'ingénieur Kris Kowal génère un agent nommé lal avec une seule capacité : lire un guide d'instructions. Pas d'accès au système de fichiers, pas de réseau, pas d'identifiants. L'agent ne peut agir que sur ce qu'il détient explicitement comme référence. Lorsque des opérations sur fichiers sont nécessaires, un montage d'un répertoire spécifique est créé — pas une passerelle générale vers le système de fichiers. Le montage ne peut pas remonter au-dessus de sa racine, ne peut pas suivre les liens symboliques hors de l'arborescence, et ne peut pas sortir de ses limites par construction. Ce montage est remis à l'agent comme référence.

L'agent écrit ensuite un programme qui produit une vue en lecture seule d'un répertoire. Le code généré s'exécute dans un sandbox sans capacités ambiantes. Le résultat est une capacité plus restreinte dérivée de l'originale, et cette capacité réduite est redonnée à l'agent. À chaque étape, le périmètre d'autorité se réduit exactement à ce qui est nécessaire.

Détails techniques clés

• Modèle par capacités objet : Une référence est une autorité. Il n'existe pas de pool d'autorisations ambiantes. Si le code ne détient pas une référence, il ne peut pas en forger une.
• Aucune échappatoire de parcours : Les montages du système de fichiers ne peuvent pas suivre les liens symboliques ni sortir de leur répertoire racine.
• Génération de code sandboxé : L'agent écrit des programmes dans un sandbox qui n'a pas de capacités intégrées ; toutes les entrées sont des références explicites.
• Relais WebSocket : Un collègue se connecte via un relais WebSocket pour partager un répertoire distant. L'agent résume les fichiers distants sans jamais savoir qu'ils sont distants — il ne détient qu'une référence vers une vue en lecture seule.

Pourquoi c'est important maintenant

L'article soutient que le déploiement des agents IA s'accélère dangereusement sans une base de sécurité appropriée. La même erreur commise par les applications de réseaux sociaux il y a une décennie — accorder tous les privilèges utilisateur à du code tiers — se répète avec les agents IA. L'approche Endo garantit que même si un agent est détourné via une injection de prompt, les dégâts sont limités aux capacités spécifiques qui lui ont été accordées.