AWS durcit l’encadrement des agents IA avec un bac à sable open source

AWS a dévoilé Strands Box, un outil open source destiné à mieux encadrer les agents IA autonomes. Pensé pour réduire les dérapages en production, il combine isolation système et contrôle des politiques d’exécution. L’enjeu est simple : éviter qu’un agent, lancé trop librement, ne supprime des données, spamme Slack ou fasse grimper la facture API. Dans le même temps, une autre actualité illustre le revers du décor : un malware baptisé PoeLLM a déjà compromis plus de 3 000 serveurs en abusant d’infrastructures IA ouvertes.

Le bac à sable ne suffit plus

Strands Box s’appuie sur une idée connue en cybersécurité : isoler un processus ne protège pas de tout. AWS explique que les conteneurs et microVM protègent bien l’environnement, mais ne savent pas toujours imposer des règles contextuelles. Un agent peut donc rester enfermé tout en exécutant une action indésirable. C’est là que Box ajoute une couche de contrôle, avec des politiques capables de tenir compte de l’historique des actions, et pas seulement de la requête en cours.

La brique clé s’appelle Dogwood Local Engine. Elle apporte une forme de mémoire temporelle au moteur de politique : l’outil peut vérifier ce qu’un agent a déjà fait avant d’autoriser la suite. AWS donne un exemple très parlant, presque trop : un agent peut être autorisé à publier des mises à jour sur Slack, mais limité à trois messages toutes les dix minutes. Même logique pour les Git push ou les appels d’API susceptibles de coûter cher. Le cloud géant veut ainsi déplacer la sécurité du “tout ou rien” vers un contrôle fin, déterministe, et non négociable par l’agent.

Shell, Python et politiques plus lisibles

Strands Box intègre aussi Strands Shell et Monty for Python, deux interfaces qui exposent les opérations shell et Python au même moteur de règles. Selon Marc Brooker, vice-président et distinguished engineer chez AWS, ces interpréteurs rendent le comportement des agents plus intelligible pour les développeurs. Il explique que les politiques peuvent alors prendre en compte à la fois l’action tentée et l’activité précédente. En pratique, cela aide à définir des garde-fous plus précis sur des opérations sensibles comme la suppression de fichiers ou les appels à des outils externes.

AWS insiste sur un point qui compte pour les équipes techniques : Box n’a pas besoin de faire confiance à l’agent pour qu’il obéisse. Les règles s’appliquent côté infrastructure, ce qui limite les contournements par simple persuasion du modèle. Marc Brooker résume ainsi la philosophie du projet : « Box enforces the policies developers configure, deterministically, and the agent can't talk its way around these rules ». Même avec de bons réglages, l’entreprise rappelle toutefois qu’un agent autorisé à agir peut encore produire un mauvais résultat. Le bouton “exécuter” n’est pas devenu sage, lui.

Où en est le projet ?

Strands Box est disponible sur GitHub, mais uniquement sur macOS pour l’instant. Le support Linux est en développement, tandis qu’un client Windows est « on our radar », sans date annoncée. AWS prévoit aussi des déploiements vers AgentCore, ECS et Kubernetes. Le projet s’ajoute à d’autres outils open source du même ensemble, dont Dogwood, que le groupe présente comme une réponse à un problème désormais central : faire cohabiter autonomie des agents et contraintes opérationnelles réelles.

Quand l’IA ouverte attire aussi les attaquants

La publication de Strands Box intervient dans un contexte où les infrastructures IA exposées restent une cible facile. L’autre dossier publié le même jour par The Register rapporte que le malware PoeLLM a infecté plus de 3 000 serveurs depuis avril, surtout aux États-Unis et en Europe occidentale. Les victimes exécutaient souvent des versions vulnérables et accessibles depuis internet de LiteLLM et Ollama, mais aussi, dans plusieurs cas, Gotenberg, Gitea et possiblement Ivanti Sentry. Le code malveillant détourne les machines compromises pour miner de la cryptomonnaie, scanner d’autres systèmes et élargir le botnet.

La particularité de cette campagne tient à son recours à une « adversarial poetry », une technique de jailbreak qui dissimule des instructions dans un poème hébergé sur GitHub. L’approche sert de cachette aux commandes malveillantes et permet au malware de retrouver son serveur de commande et contrôle à partir de mots extraits du texte. Lumen Black Lotus Labs, qui suit la campagne, estime que l’attaquant, probablement italophone, a aussi utilisé des commentaires en italien et un dépôt GitHub pour brouiller les pistes. Selon ses chercheurs, la menace a culminé à plus de 800 serveurs actifs infectés par jour. Là aussi, la leçon est claire : plus l’IA s’étend, plus la surface d’attaque s’agrandit.