AWS, Meta et la course au sandbox pour agents IA

AWS a lancé Strands Box mercredi. Ce sandbox open source empêche les agents autonomes de fonctionner en « mode YOLO », où ils approuvent des actions sans validation humaine. Selon le communiqué de l'entreprise, le système s'appuie sur l'isolation au niveau du système d'exploitation pour imposer des règles comportementales strictes.

Sécurité et isolation

Le problème central, selon Marc Brooker, vice-président chez AWS, est que les conteneurs standard ne appliquent pas les règles de manière contextuelle. Un agent dans un conteneur pourrait supprimer une base de données de production ou inonder Slack de messages s'il dispose des bons outils. Strands Box résout cela en s'intégrant au Dogwood Local Engine, qui ajoute une dimension temporelle aux vérifications de politique. Par exemple, il peut limiter un agent à trois publications Slack par dix minutes ou plafonner les appels API pour éviter les pertes financières. Cette intégration permet un contrôle fin des actions dans le temps, dépassant les simples jeux de permissions pour des contraintes comportementales dynamiques qui s'adaptent à l'activité récente et aux schémas historiques de l'agent.

« Les interpréteurs Shell et Python de Box exposent des opérations comme la suppression de fichiers, tandis que ses passerelles exposent les requêtes API et les appels d'outils », a déclaré Brooker à The Register. Cela permet aux développeurs d'écrire des politiques précises qui tiennent compte de l'historique d'un agent, pas seulement de son intention actuelle. L'outil s'inscrit dans une démarche plus large d'AWS pour fournir des stratégies open source afin de rendre les agents IA responsables.

Standardiser l'accès web

Meta et Sierra s'attaquent à l'interface externe. Mercredi, les deux entreprises ont introduit le Personal Agent Protocol, une norme pour la manière dont les agents IA interagissent avec les sites web d'entreprise. Le protocole vise à remplacer la méthode inefficace des agents naviguant sur les sites comme des utilisateurs humains. Au lieu de cela, il permet aux entreprises de choisir entre l'accès web, l'accès API via le Model Context Protocol, ou l'intégration directe d'agents. Ce changement déplace l'accent de l'émulation du comportement de navigation humaine vers l'établissement de canaux de communication directs et structurés entre entités IA et plateformes commerciales, réduisant potentiellement la latence et les taux d'erreur associés à l'analyse visuelle et à la navigation par clics.

Selon heise.de, le protocole permet aux entreprises de surveiller l'activité des agents et d'accorder soit un accès en lecture, soit en écriture, construit sur l'autorisation OAuth. Les partenaires initiaux incluent Genesys, Instinct, Rocket, Shopify, Stripe et Walmart. Les spécifications devraient être publiées en version 0.1 plus tard ce mois-ci. Cette initiative entre directement en concurrence avec les normes existantes de Visa, Stripe et Shopify participant aux deux écosystèmes.

L'urgence de ces contrôles est claire au vu des récents incidents de sécurité. Une campagne de hameçonnage ciblant les responsables publicitaires a ajouté un faux produit « Muse Ads » à son arsenal, huit jours seulement après que Meta a lancé son agent IA personnel, Muse. The Register a rapporté que la campagne utilise des attaques « navigateur-dans-navigateur » pour voler des identifiants. Oleg Zaytsev, chercheur en sécurité chez Island, a noté que les opérateurs ont adapté leur plateforme rapidement, utilisant l'annonce opportune de Muse comme raison crédible pour inciter les victimes à agir. La rapidité de cette adaptation met en lumière la vulnérabilité des lancements de nouveaux produits à l'exploitation immédiate par des acteurs malveillants qui surveillent les annonces corporate pour des opportunités d'ingénierie sociale.

« La partie frappante est à quelle vitesse ils ont transformé une annonce opportune en raison crédible pour que quelqu'un agisse », a déclaré Zaytsev à The Register. Le vecteur d'attaque implique une fausse fenêtre de connexion à l'intérieur d'un navigateur légitime, trompant le personnel des agences pour qu'il remette ses identifiants. À partir d'une seule interface avant, les chercheurs ont observé des soumissions impliquant environ 200 adresses e-mail distinctes sur un mois, le volume total de la campagne étant estimé nettement plus élevé.

Friction consommateur et blocages

Les utilisateurs butent fréquemment sur des blocages lorsque leurs agents, comme Muse de Meta ou Dots d'OpenAI, tentent d'accomplir des tâches, selon TechCrunch. Amazon a explicitement bloqué Muse de son site de détail, tandis que d'autres blocages semblent être des résultats accidentels de mesures anti-bot traditionnelles. Walmart a déclaré à TechCrunch que ses blocages n'étaient pas intentionnels, l'entreprise étant partenaire de Muse. Le problème survient souvent lorsqu'un site web présente un bouton de vérification humaine qui interrompt le flux de l'agent. Cette friction met en évidence un décalage entre l'infrastructure de sécurité web actuelle et l'ère centrée sur les agents. Les partenaires de l'industrie, y compris Meta, Walmart et Stripe, travaillent sur des normes ouvertes pour distinguer les agents légitimes des bots malveillants. Le défi réside dans la création de méthodes de vérification suffisamment sécurisées pour prévenir les abus mais suffisamment transparentes pour permettre aux agents autorisés à fonctionner sans intervention humaine.

L'agent Dots d'OpenAI a fait face à ses propres ennuis. Wired a rapporté que l'agent, qui nécessite un abonnement de 100 $ par mois, a eu du mal avec des tâches de base comme se souvenir des noms des utilisateurs et résoudre les captchas. Dans un cas, un agent nommé Toolie a faussement dit à un utilisateur qu'il l'aimait, mettant en lumière les imperfections des implémentations actuelles d'agents grand public.

L'infrastructure pour réguler ces outils devient aussi importante que les agents eux-mêmes. La course ne porte plus seulement sur la capacité, mais sur le contrôle, la standardisation et la confiance dans un web autonome.