Isolement des agents IA avec WebAssembly : Autorité zéro par défaut

L'article de Cosmonic, actuellement en tendance sur HN, présente un argument solide selon lequel les mécanismes de sandboxing Linux conventionnels — seccomp, seatbelt, bubblewrap — sont fondamentalement inadaptés aux charges de travail d'IA agentique. Le problème central : l'autorité ambiante.

Le problème de l'autorité ambiante

Chaque runtime moderne donne à un processus toutes les permissions offertes par son environnement : système de fichiers, réseau, les identifiants git de l'utilisateur, une clé API AWS dans ENV. Le processus ne les a jamais demandées. Pour les binaires déterministes écrits par des humains, on peut éventuellement gérer ce risque avec des audits. Mais les agents LLM et les workflows non déterministes héritent de l'identité et des capacités complètes du développeur, créant une 'surface d'attaque intolérable.'

L'auteur appelle cela le dilemme du cartographe : vous essayez de cartographier un littoral changeant de chemins d'exfiltration, et le LLM trouvera chaque crique non cartographiée.

Le modèle de capacités de WebAssembly

Cosmonic positionne WebAssembly et WASI comme l'alternative. Un composant Wasm démarre avec zéro autorité : pas de système de fichiers, pas de réseau, pas d'appels système, pas de variables d'environnement. Toute capacité doit être une importation typée dans l'interface du composant. C'est le modèle objet-capacité de Mark Miller en tant que runtime : la référence est la permission.

Implications clés :

• Autorisations virtualisées : une capacité de système de fichiers ne donne pas accès à /etc. Elle fournit une interface soutenue par n'importe quel stockage (tmpfs, blob par session, base de données). Le composant ne peut pas échapper à l'abstraction.
• Capacités composables : au lieu d'importer 'le réseau', un composant importe wasi:http avec des formes de trafic autorisées, ou wasi:keyvalue avec un bucket spécifique. Chaque capacité est nommée, limitée et vérifiable.

Cela fait passer le modèle de sécurité de 'autoriser par défaut, restreindre par exception' à 'refuser par défaut, accorder explicitement.' L'auteur soutient que c'est la seule base solide pour la sécurité des agents IA.