Risques de sécurité et limites du sandbox
Pourquoi les paramètres d'un agent sont importants pour la sécurité, et ce que le sandbox de Managed Agents peut et ne peut pas faire.
Cette page explique pourquoi les paramètres décrits dans Sécuriser votre déploiement Managed Agents sont importants, et ce que le sandbox peut et ne peut pas faire.
Pourquoi c'est important
Des instructions cachées dans le contenu qu'un agent lit peuvent orienter l'agent. C'est ce qu'on appelle la « prompt injection » (injection de prompt). Claude y est intrinsèquement résistant, mais le comportement du modèle n'est pas un contrôle de sécurité. Les paramètres décrits dans Sécuriser votre déploiement Managed Agents limitent l'effet si une tentative réussit.
Claude peut également effectuer une action à laquelle vous ne vous attendiez pas tout en continuant à travailler pour accomplir la tâche que vous lui avez confiée. Par exemple, il pourrait utiliser un outil ou un identifiant auquel il a accès pour contourner un obstacle. Les mêmes paramètres limitent ce qu'une telle action peut atteindre, et un examinateur hors ligne peut la signaler après coup.
| Ce qui peut mal tourner | Exemple | Contrôles |
|---|---|---|
| Une entrée non fiable oriente l'agent | Un ticket demande à l'agent d'annuler toutes les commandes en cours | Ensemble d'outils minimal, entrées non fiables tenues à l'écart des outils puissants, approbations pour les actions risquées |
| Du code dans le sandbox peut utiliser un identifiant | Un script que l'agent a été amené par la ruse à exécuter envoie la clé de l'agent à un hôte externe, ou l'utilise pour lire les commandes de tous les clients | Identifiants dans des coffres, réseau limité, approbations pour les actions risquées |
| Un réseau ouvert laisse sortir des données | Une commande bash envoie un fichier à un hôte externe | Réseau limité, la liste de domaines de web_fetch |
| Claude effectue une action à laquelle vous ne vous attendiez pas | Pour contourner un obstacle, il utilise un outil ou un identifiant auquel il a accès | Les paramètres décrits dans Sécuriser votre déploiement Managed Agents. Un examinateur hors ligne peut signaler l'action après coup |
Ces paramètres réduisent le risque mais ne l'éliminent pas, donc ne placez pas dans le sandbox des données qui ne doivent jamais en sortir. Un agent peut toujours inclure des données qu'il est autorisé à lire dans sa propre réponse ou dans la sortie d'un outil. Limitez les autorisations d'une clé auprès du service qui l'a émise, car ces paramètres ne les limitent pas. Ces paramètres ne sécurisent pas vos outils personnalisés, vos serveurs MCP ni votre infrastructure auto-hébergée.
Ce que le sandbox peut et ne peut pas faire
Par conception, Managed Agents conserve la boucle de l'agent, l'historique de session et les secrets des coffres en dehors du sandbox. Pour comprendre les choix de conception, consultez Scaling Managed Agents.
| Composant | Où il s'exécute | Ce qui le limite |
|---|---|---|
| Boucle de l'agent | Les serveurs d'Anthropic | L'ensemble d'outils, les politiques d'autorisation et le budget que vous définissez |
bash et outils de fichiers | Le sandbox. Dans un environnement cloud, chaque session dispose de son propre conteneur Linux isolé | Le réseau de l'environnement, l'ensemble d'outils et les politiques d'autorisation |
web_search et web_fetch | Les serveurs d'Anthropic | La liste de domaines propre à l'outil et, dans un environnement cloud limited, les hôtes autorisés de l'environnement. web_fetch n'ouvre également que les URL déjà apparues dans la session |
| Secret de coffre | En dehors du sandbox. Les identifiants MCP n'y entrent jamais. Pour un identifiant de variable d'environnement, le code voit un espace réservé | Pour un identifiant MCP, l'URL du serveur MCP auquel il est destiné. Pour un identifiant de variable d'environnement, les hôtes que l'identifiant autorise, son emplacement d'injection et les hôtes autorisés de l'environnement |
| Historique de session | Les serveurs d'Anthropic, jusqu'à ce que vous supprimiez la session | Les clés API de l'espace de travail, les rôles Developer et Admin dans la Claude Console, et la suppression de session |
| Outils personnalisés | Votre application | Votre code |
Dans un environnement cloud, les sessions ne partagent pas l'état du système de fichiers. Un magasin de mémoire attaché à plusieurs sessions est partagé entre elles.
Ces limites ne se remplacent pas les unes les autres. Par exemple, limiter les hôtes de l'environnement n'empêche pas l'agent d'utiliser un identifiant sur un hôte que vous avez autorisé.
Was this page helpful?