Sécurité de Mini Agentic

1. Vue d’ensemble

Mini Agentic est un agent CLI qui peut lire et modifier des fichiers, et lancer des commandes. Lui confier un dossier lui donne plus de capacité qu’un chatbot textuel.

2. Isolation du dossier de travail (workspace)

Le dossier de travail est défini par -w, la variable MINIAGENTIC_WORKSPACE, ou le répertoire courant. Les outils de fichiers résolvent les chemins (y compris liens symboliques) et refusent tout chemin hors de cette racine.

Ce n’est pas à lui seul un sandbox système pour le shell. Sous Linux, l’outil run peut être confiné via bubblewrap (voir section shell).

3. Outils fichiers

Outils concernés : tree, ls, find, grep, read, edit, write, mkdir.

• Chemin hors dossier → erreur « hors du workspace ».
• Lien symbolique pointant hors du dossier → refusé après résolution.
• Chemin absolu à l’intérieur du dossier → accepté, renvoyé en relatif.

4. Commandes shell (run)

• Démarrage : répertoire courant = dossier de travail.
• Exécution : shell=True, pipes et && possibles.
• Permissions : celles du processus utilisateur qui lance Mini Agentic.
• Sandbox Linux (bubblewrap) : actif par défaut si bwrap est installé. Workspace en écriture, reste du FS utile en lecture seule, HOME isolé. Désactiver : --no-sandbox. Couper le réseau : --sandbox-no-net. Ce n’est pas un conteneur Docker.
• Sans bubblewrap (ou hors Linux) : mêmes permissions que le processus Mini Agentic — pas de sandbox OS.
• Confirmation interactive avant run en CLI (désactivable avec --yes).
• Mode lecture seule : mini-agentic --read-only (ou MINIAGENTIC_READ_ONLY=1) — outils tree, ls, find, grep, read uniquement.
• Pas de blocklist de commandes dangereuses.
• Timeout plafonné (120 s max).
• Le shell interactif utilisateur et les commandes / ne passent pas par le filtre path des outils fichiers ; cd peut changer le dossier de travail. En --read-only, le shell utilisateur est limité à cd, pwd, clear, help, history.

Exemple d’accès hors dossier via shell : une commande du type lecture d’un fichier système n’est pas bloquée par la cage des outils fichiers.

5. Réseau

• Mode local : inférence vers Ollama local ; appels réseau possibles pour catalogue, login, update, ou si une commande / un modèle le fait.
• Mode en ligne : requêtes authentifiées vers l’API Mini Agentic, qui relaie vers le fournisseur de modèles.
• Pas de télémétrie produit automatique identifiée dans le CLI.

6. Mode local

Avec un modèle Ollama local et sans bascule cloud : les prompts d’inférence ne sont pas envoyés à Mini Agentic. La confidentialité « locale » concerne ces appels au service Mini Agentic — pas nécessairement tout le comportement d’Ollama, du shell ou d’autres outils.

Détail : Politique de confidentialité — mode local.

7. Mode en ligne

Messages (y compris résultats d’outils) transmis au serveur puis au fournisseur pour traitement. Dans le schéma actuel, le texte des conversations n’est pas stocké en table dédiée ; les métriques d’usage le sont. Les fichiers ne sont pas stockés comme blobs séparés.

Détail : Politique de confidentialité — mode en ligne.

8. Stockage des données

• Conversation locale : mémoire processus.
• Session cloud locale : ~/.miniagentic/ + coffre OS.
• Serveur : compte, sessions hashées, facturation, ledger d’usage.

9. Identifiants

• Jeton cloud client : coffre OS ou fichier restreint ; variable MINIAGENTIC_CLOUD_TOKEN possible.
• Clé fournisseur cloud : serveur uniquement.
• Mot de passe compte : hash PBKDF2.

10. Bonnes pratiques

• Pour les premiers essais : dossier de test, ou projet versionné avec Git.
• Évitez de lancer Mini Agentic avec des privilèges administrateur.
• Une IA peut faire des erreurs : vérifiez les modifications importantes.
• Surveillez les commandes proposées : confirmation avant run en CLI.
• Sous Linux, installez bubblewrap pour confiner run (actif automatiquement si bwrap est présent).
• Pour auditer sans risque d’écriture : mini-agentic --read-only.

11. FAQ sécurité

12. Signalement d’une vulnérabilité

Contact : security@mini-agentic.com. Nous accusons réception des signalements de sécurité dans un délai cible de 5 jours ouvrés (aucun délai de correction promis). Voir aussi SECURITY.md à la racine du projet.

Ne publiez pas d’exploit détaillé avant coordination.