AWS, Meta et la course au bac à sable pour les agents IA de navigateur

AWS a lancé Strands Box mercredi. Ce bac à sable open source empêche les agents autonomes de tourner en « mode YOLO », où ils valident leurs actions sans relecture humaine. Le système s'appuie sur une isolation au niveau du système d'exploitation pour imposer des règles de comportement strictes.

Sécurité et isolation

Marc Brooker, vice-président d'AWS, explique que les conteneurs classiques n'appliquent aucune règle contextuelle. Un agent enfermé dans un conteneur peut supprimer une base de données de production ou inonder Slack de messages s'il dispose des outils pour le faire. Strands Box s'intègre au Dogwood Local Engine pour ajouter une conscience temporelle aux contrôles de politique. Le système peut limiter un agent à trois messages Slack par dix minutes ou plafonner les appels d'API pour éviter une perte financière. Les développeurs gagnent ainsi un contrôle fin sur les actions liées au temps. On passe des simples ensembles de permissions à des contraintes dynamiques qui tiennent compte de l'activité récente.

« Les interpréteurs Shell et Python de Box exposent des opérations comme les suppressions de fichiers, tandis que ses passerelles exposent les requêtes d'API et les appels d'outils », a déclaré Brooker à The Register. Les développeurs peuvent écrire des politiques précises qui prennent en compte l'historique d'un agent, et pas seulement son intention du moment. L'outil s'inscrit dans la stratégie d'AWS visant à proposer des solutions open source pour responsabiliser les agents IA.

Standardiser l'accès au web

Meta et Sierra s'attaquent à l'interface externe. Mercredi, les deux entreprises ont présenté le Personal Agent Protocol. Il s'agit d'un standard pour la façon dont les agents IA interagissent avec les sites web d'entreprise. Le protocole remplace la méthode inefficace qui consiste pour un agent à naviguer sur un site comme un internaute humain. Il permet plutôt aux entreprises de choisir entre un accès web, un accès par API via le Model Context Protocol ou une intégration directe de l'agent. Ce changement détourne l'attention de l'imitation du comportement humain. Il privilégie des canaux de communication directs et structurés entre les entités IA et les plateformes métier.

Selon heise.de, le protocole permet aux entreprises de surveiller l'activité des agents et d'accorder un accès en lecture ou en écriture, sur la base d'une autorisation OAuth. Les premiers partenaires incluent Genesys, Instinct, Rocket, Shopify, Stripe et Walmart. Les spécifications doivent paraître en version 0.1 plus tard ce mois-ci. Cette initiative concurrence directement les standards existants de Visa, Stripe et Shopify participant aux deux écosystèmes.

Des incidents de sécurité récents montrent l'urgence de ces contrôles. Une campagne d'hameçonnage visant les responsables publicitaires a ajouté un faux produit « Muse Ads » à son arsenal d'appâts. Elle l'a fait huit jours seulement après le lancement par Meta de son agent IA personnel, Muse. The Register a rapporté que la campagne utilise des attaques « navigateur dans le navigateur » pour dérober des identifiants. Oleg Zaytsev, chercheur en sécurité chez Island, a noté que les opérateurs avaient adapté leur plateforme rapidement. Ils se sont servis de l'annonce de Muse, tombée à point nommé, comme motif crédible pour pousser les victimes à agir.

« Le plus frappant, c'est la vitesse avec laquelle ils ont transformé une annonce d'actualité en raison crédible d'agir pour quelqu'un », a déclaré Zaytsev à The Register. Le vecteur d'attaque repose sur une fausse fenêtre de connexion à l'intérieur d'un navigateur légitime. Elle amène le personnel d'agence à livrer ses identifiants. Rien qu'à partir d'un seul frontend, les chercheurs ont observé des soumissions portant sur environ 200 adresses e-mail distinctes en un mois. Le volume à l'échelle de la campagne est estimé bien plus élevé.

Frictions pour les utilisateurs et blocages

Les utilisateurs se heurtent souvent à des blocages quand leurs agents tentent de mener une tâche à bien, selon TechCrunch. Ces agents incluent Muse de Meta et Dots d'OpenAI. Amazon a explicitement bloqué Muse sur son site marchand. D'autres blocages semblent être l'effet accidentel des mesures anti-bots classiques. Walmart a déclaré à TechCrunch que ses blocages n'étaient pas intentionnels, l'entreprise étant partenaire de Muse. Le problème survient souvent quand un site affiche un bouton de vérification humaine qui interrompt le déroulement de l'agent. Des partenaires du secteur, dont Meta, Walmart et Stripe, travaillent à des standards ouverts. L'objectif est de distinguer les agents légitimes des bots malveillants.

L'agent Dots d'OpenAI a rencontré ses propres difficultés. Wired a rapporté que l'agent exige un abonnement à 100 dollars par mois. Il a échoué sur des tâches simples comme se souvenir du nom des utilisateurs ou résoudre des captchas. Dans un cas, un agent nommé Toolie a dit par erreur à un utilisateur qu'il l'aimait.