- Outil léger permettant d’isoler l’exécution d’agents IA sous Linux, en fournissant une frontière d’exécution sûre via une simple commande, sans configuration complexe de conteneur
- Les cas où des outils IA accèdent au système de fichiers réel et suppriment ou endommagent des données se multiplient, mettant en évidence le besoin d’un environnement d’exécution sûr
- Protège le répertoire personnel avec un overlay copy-on-write et isole
/tmp et /var/tmp pour empêcher toute modification des fichiers d’origine
- Propose trois modes d’isolation — Casual, Strict et Bare — afin de choisir le niveau de sécurité et la portée des accès
- Projet open source développé par une équipe de recherche de Stanford, offrant un moyen de protection pratique pour utiliser les outils IA de façon plus sûre
jai, un outil léger pour l’isolation des agents IA
- jai est un outil conçu pour isoler (containment) facilement des agents IA dans un environnement Linux
- Il fournit une frontière d’exécution sûre en une seule commande, sans configuration complexe de conteneur ou de VM
- Il peut être intégré immédiatement aux workflows existants, comme l’assistance au code ou l’exécution de scripts
-
Exemples de problèmes réels
- Plusieurs utilisateurs ont signalé des pertes de fichiers et suppressions de répertoires lors de l’utilisation d’outils IA
- Nick Davidov a rapporté que 15 ans de photos de famille avaient été supprimés par une commande terminal
- Claude Code d’Anthropic a supprimé son répertoire personnel, entraînant la perte de projets de développement
- Cursor a vidé l’arborescence de travail, avec un signalement indiquant que « tout avait disparu »
- Un utilisateur de Reddit a mentionné qu’Antigravity avait supprimé l’intégralité du disque D
- Un autre utilisateur de Cursor a signalé la suppression de 100 Go de fichiers
- Ces cas montrent la faille de sécurité qui apparaît lorsque l’on autorise des outils IA à accéder à un compte réel
-
Fonctionnalités clés de jai
- Établit automatiquement une frontière entre le compte d’exécution et le répertoire personnel
- Le répertoire de travail conserve des droits complets en lecture/écriture
- Le répertoire personnel est protégé par un overlay copy-on-write, de sorte que les fichiers d’origine ne sont pas modifiés
/tmp et /var/tmp sont séparés dans des espaces indépendants, tandis que les autres fichiers sont limités à la lecture seule
- Il suffit de préfixer une commande avec
jai pour l’exécuter en isolation
- Exemples :
jai codex, jai claude, ou simplement jai pour lancer un shell
- Utilisable immédiatement sans Dockerfile ni processus de build d’image
- Il n’est pas nécessaire de configurer des flags
bwrap complexes ni d’écrire des scripts
-
Choix du mode d’isolation
- Trois modes sont proposés : Casual / Strict / Bare
- Casual : protège le répertoire personnel en copy-on-write, avec lecture possible de la plupart des fichiers
- Strict : exécute via un utilisateur
jai distinct, avec un répertoire personnel vide pour une isolation renforcée
- Bare : répertoire personnel vide, mais conservation de l’UID utilisateur
- Chaque mode diffère en matière de confidentialité (confidentiality), intégrité (integrity) et prise en charge de NFS
- Le mode Strict offre l’isolation la plus forte, mais ne prend pas en charge les répertoires personnels sur NFS
-
Comparaison avec les outils alternatifs
- Docker
- Adapté à la reproductibilité d’environnements basés sur des images, mais trop lourd pour un sandboxing temporaire d’outils hôtes
- Ne propose pas d’overlay du répertoire personnel
- bubblewrap
- Sandbox par espaces de noms puissant, mais qui impose de spécifier soi-même la configuration du système de fichiers
- jai supprime cette complexité
- chroot
- N’est pas un mécanisme d’isolation sécurisé et, faute de fonctionnalités comme les montages, les espaces de noms PID ou la séparation des privilèges, n’est pas recommandé pour le sandboxing sous Linux
-
Limites de sécurité
- jai ne garantit pas une sécurité totale
- En tant que « casual sandbox », il réduit l’étendue des dégâts sans bloquer toutes les attaques
- Le mode Casual protège peu la confidentialité, et même le mode Strict reste différent d’une isolation au niveau conteneur ou VM
- Dans un environnement multi-tenant ou à haut risque, il est recommandé d’utiliser un conteneur ou une machine virtuelle
-
Contexte du projet
- Développé conjointement par le groupe de recherche Stanford Secure Computer Systems (SCS) et la Future of Digital Currency Initiative (FDCI)
- Fourni comme logiciel open source gratuit, afin d’aider les utilisateurs à employer l’IA de manière plus sûre
Aucun commentaire pour le moment.