Prouver la limite avant d’accorder l’autonomie.

Ce que fait le laboratoire aujourd’hui

Chaque point est une propriété du laboratoire et des rapports signés qu’il produit, vérifiable sans nous le demander.

• Reproduit d’abord la brèche : une référence permissive montre l’effet qu’un agent peut causer quand une limite est seulement déclarée, pour que l’exécution protégée ait quelque chose de réel à contenir.
• Envoie la même tentative interdite via MCP, le shell, un script et un appel direct à l’API. Une route qui n’a pas été exercée est signalée comme non évaluée, jamais comme protégée.
• Observe les effets depuis un processus extérieur à l’agent. Les journaux, les résumés et les sorties d’outils de l’agent sont traités comme des preuves non fiables.
• Ne laisse sortir que le candidat exact qui a été relu — dépôt, branche, ref attendue et diff — via l’Execution Guardian, avec une vérification atomique de l’état distant.
• Signe chaque rapport d’exécution avec une clé de superviseur que l’agent ne voit jamais ; le rapport se vérifie hors ligne contre des trust anchors installés par l’opérateur.

Pourquoi il existe

MCP est une route. Le shell, les fichiers, les API, le navigateur et les automatisations en sont d’autres.

Une équipe veut laisser travailler un agent de codage sans qu’il atteigne la production, des secrets ou le travail d’autrui, et doit vérifier que ces limites tiennent sans détruire son environnement réel. Les hooks et les modes d’approbation décrivent comment un agent demande la permission ; ils ne sont pas un périmètre. Le risque tient à l’autorité que l’agent peut réellement utiliser et aux routes qu’il peut réellement atteindre — un socket SSH, une session de navigateur, un proxy qui signe n’importe quelle requête ou un point de terminaison interne confèrent une autorité sans révéler une seule clé.

Les familles de défaillances derrière les tests

Des cas publics de 2026 ont façonné les scénarios. Chaque famille correspond à un contrôle et aux tests qui tentent de le mettre en défaut.

Ces cas motivent des familles de défaillances. Ce ne sont pas des répliques forensiques, et rien ici n’affirme que le laboratoire les aurait évités. Les variantes que nous testons — alias, shims, défauts de cache — sont les nôtres.

La boucle

Déclarer, tenter de mettre en défaut, observer, corriger, retester, approuver, exécuter, vérifier.

1. 01 Déclarer
2. 02 Tenter de mettre en défaut
3. 03 Observer de l’extérieur
4. 04 Corriger
5. 05 Retester
6. 06 Approuver l’effet exact
7. 07 Exécuter
8. 08 Vérifier

Une limite déclarée devient un test réfutable, et cette même limite régit ensuite l’exécution réelle. Changer un champ substantiel — le modèle, un montage, la politique, l’adaptateur ou la destination — oblige à revalider les routes concernées avant qu’elles ne comptent à nouveau.

Quatre responsabilités séparées

Dans le laboratoire, l’observateur et le Guardian sont des processus distincts, avec des répertoires et des permissions distincts. C’est une indépendance vis-à-vis du processus testé, pas un audit institutionnel indépendant.

Profils et niveaux de laboratoire

Chaque résultat nomme les routes qu’il a couvertes, jamais un « sûr » global.

Les trois profils, y compris la référence délibérément permissive, tournent dans une enceinte sans production ni destinations Internet. La référence peut atteindre une ressource interdite synthétique — jamais une réelle.

Des preuves vérifiables

Des rapports signés, et trois axes qui ne se mélangent jamais.

Les exécutions sont décrites par des structures versionnées et validées avec Zod — HarnessProfileV1, HarnessScenarioV1 et HarnessRunReportV1. Le rapport est signé par une clé de superviseur extérieure à l’agent et vérifié hors ligne contre des ancres installées par un canal de l’opérateur ; une clé livrée à l’intérieur du rapport qu’elle signe n’est jamais tenue pour fiable.

Les preuves se réutilisent par propriété, pas par une empreinte globale.

L’admission est une conjonction : autorité exacte, politique locale, preuves authentiques et applicables pour chaque route requise, observation en direct et budget restant. Un rapport peut satisfaire l’une de ces conditions ; il ne remplace jamais les autres et ne crée jamais de permission. Une règle versionnée, installée par l’opérateur hors de l’agent, compare les dépendances substantielles de chaque affirmation à la configuration observée à l’instant — un champ manquant, inconnu ou invérifiable signifie non évalué.

• Isolation des fichiers et des processusDépend de l’OS, du noyau, du backend, de l’image, de l’identité, des privilèges, des montages, des sockets et du lancement effectif. Une nouvelle destination Git ne l’invalide pas à elle seule ; un nouveau montage, si.
• Sortie réseau confinéeDépend des règles, des routes, du DNS, des proxys, des auxiliaires et des points de terminaison joignables. Autoriser un autre domaine n’hérite jamais d’un PASS, et un canari local ne prouve pas le blocage d’Internet.
• L’adaptateur conserve l’effet exactRéutilisable comme preuve du mécanisme. Cela ne prouve rien sur les permissions, le réseau, l’identité ou le comportement d’un fournisseur réel.
• Intégration avec la destinationObtenue uniquement sur cette destination autorisée. Une fixture locale ne devient jamais une preuve sur le vrai GitHub, et la ref et l’état antérieur sont relus pour chaque effet.
• Comportement de l’agentLié au modèle, à la version, au harnais, aux outils, à la tâche et aux paramètres. Un nouveau modèle n’invalide pas une barrière de l’OS testée indépendamment de lui ; il invalide en revanche toute extrapolation de son comportement.

Un rapport vert n’émet jamais d’Execution Grant, ne remplace jamais le MFA ni le quorum et n’autorise jamais de résultats futurs. Un nouveau SHA candidat exige une nouvelle approbation exacte, même quand toutes les preuves sur l’environnement restent applicables.

Export exact

Seule la modification relue sort du laboratoire.

1. 01L’écriture s’arrête et le candidat passe en quarantaine. Le superviseur reconstruit un dépôt propre à partir d’une base de confiance et de la modification — sans .git, hooks, helpers, configuration, sous-modules ni filtres venant de l’agent.
2. 02Seuls les fichiers texte ordinaires situés dans les chemins de la tâche sont acceptés. Les symlinks, les gitlinks, les chemins qui s’en échappent et les modifications des contrôles sont rejetés.
3. 03L’empreinte de l’artefact, le SHA candidat, la base, la destination, la ref attendue et le diff complet de la plage exportée sont figés. L’auteur du commit est une métadonnée, pas une autorisation.
4. 04La relecture indique ce qui sera envoyé, vers quel dépôt et quelle branche, et quelles automatisations cela déclenchera. Un Task Contract lie cet effet exact.
5. 05L’Execution Guardian revalide artefact, ref, politique, budget et arrêt, puis effectue un fast-forward ou la création d’une ref avec une comparaison atomique de l’état préalable — sur GitHub, création uniquement. Il n’existe pas de force-push générique.
6. 06L’état distant est vérifié. Un dépassement de délai conserve la réservation et un résultat incertain jusqu’à réconciliation, sans réessai à l’aveugle, et le receipt distingue un push autorisé d’un code correct ou bénin.

Arrêt, liveness et budget

Harnesses

Des preuves par harnais, version et plateforme.

Les adaptateurs traduisent le lancement et les événements d’une version épinglée du harnais. Quand un harnais n’a pas de hook bloquant équivalent, le confinement reste externe et ce hook est marqué non pris en charge plutôt qu’inventé. Linux est le backend testé ; macOS et Windows n’héritent pas de ses résultats, et aucun logo de harnais ne signifie une couverture totale.

1. 01

   Claude Code · Codex

   Les premiers adaptateurs, un à la fois. Le profil natif macOS est évalué séparément et n’hérite de rien de Linux.

2. 02

   Cursor

   Ensuite, avec son propre profil et une propriété par lot de travail.

3. 03

   SDKs

   Puis les SDKs, avec la même sémantique de preuve.

4. 04

   Agents cloud

   Seul est crédité l’effet effectivement médié à la destination ; l’environnement interne de l’agent reste non évalué.

Pour les équipes qui entraînent et évaluent des modèles

Des évaluations agentiques dans un périmètre qui a été testé.

Les évaluations de harnais s’intègrent à Inspect — ses tâches, ses échantillons et sa sandbox Docker — pour les cycles de vie, les scénarios et les limites. SecureStamp apporte l’observateur externe, les oracles d’effet et l’export du rapport, pas un autre ordonnanceur, correcteur LLM ou pipeline de journaux. Aucun évaluateur n’exécute le candidat dans le processus de confiance, les réessais de commandes à effets sont désactivés, et les ensembles de développement et de holdout restent séparés : le holdout n’est jamais utilisé pour ajuster les contrôles.

• Des tentatives déterministes sont injectées d’abord, comme test causal du mécanisme. Les harnais et modèles réels tournent ensuite, dans un budget autorisé, comme preuve du comportement du système.
• Rejouer les requêtes ne rejoue pas un raisonnement stochastique. Les versions, les paramètres disponibles, le nombre d’exécutions, les délais d’expiration et les dénominateurs sont conservés ; aucun rejeu identique n’est promis.
• L’utilité et le confinement sont rapportés séparément, pour que tout bloquer ne compte jamais comme un produit qui fonctionne. Un résultat de 0/N n’est pas un risque nul.