Una società di sicurezza ha costruito una macchina usa e getta da distruggere per il tuo agente di codifica
Trail of Bits ha rilasciato Coop, uno strumento da riga di comando che avvia macchine virtuali usa e getta in cui Claude Code e Codex ottengono l'accesso completo allo strumento senza toccare il proprio computer. Utilizza Firecracker su Linux e Lima su macOS.
La società di consulenza sulla sicurezza Trail of Bits ha rilasciato Coop, rispondendo a una domanda che molte persone hanno tranquillamente evitato: cosa succede se l’agente di codifica a cui hai dato piena autorizzazione fa qualcosa che non volevi? Coop è un piccolo strumento da riga di comando che crea macchine virtuali usa e getta in cui agenti come Claude Code e Codex di OpenAI ottengono l’accesso completo a Docker, git, compilatori e gestori di pacchetti, senza che nessuno di essi tocchi il tuo computer reale. Ogni macchina è isolata, riproducibile e abbastanza economica da poterla buttare via e ricostruire.
La meccanica non è affascinante e questo è il punto. Su Linux, il setup installa Firecracker, la tecnologia leggera della macchina virtuale creata da Amazon per la sua piattaforma serverless, e recupera un kernel guest. Su macOS è necessario che Lima sia installato prima, tramite Homebrew, altrimenti la configurazione fallisce. Trail of Bits ha creato questa categoria per un po’: mantiene anche un devcontainer per eseguire Claude Code con le richieste di autorizzazione disattivate all’interno di un contenitore che può raggiungere solo la directory del progetto e uno strumento per avviare server cloud usa e getta per lo stesso scopo. Tutti e tre esistono perché l’azienda esamina codice non affidabile per vivere e non voleva che l’agente si avvicinasse al laptop del revisore.
Perché il pulsante “sì a tutto” è l’intero problema. Gli agenti di codifica chiedono il permesso prima di eseguire i comandi, e dopo il ventesimo suggerimento tutti lo spengono, perché lo strumento è veloce solo se smetti di supervisionarlo. Il problema è che la stessa impostazione che interrompe le interruzioni rimuove anche l’ultimo controllo su un sistema che eseguirà volentieri un comando letto erroneamente o uno arrivato nascosto all’interno di un file che gli è stato chiesto di leggere. Questo secondo caso ha un nome, iniezione di prompt, ed è il motivo per cui l’isolamento batte la cautela: non puoi leggere in modo affidabile ogni istruzione incontrata dal tuo agente, ma puoi assicurarti che la macchina su cui si trova non abbia importanza. Il sandboxing non è una dichiarazione su quanto ti fidi del modello. È ciò che fai affinché la fiducia smetta di essere portante.
Cosa significa per te. Se utilizzi un agente di codifica in modalità permissiva sul tuo computer principale, questa è la settimana giusta per cambiare la situazione e Coop è uno dei tanti modi ragionevoli per farlo. Anthropic fornisce opzioni sandbox nella documentazione di Claude Code, i devcontainer funzionano in VS Code e funziona anche un’istanza cloud economica che distruggi in seguito. Scegli quello che si adatta alla tua configurazione piuttosto che quello con il miglior file Leggimi. Se non si scrive codice, vale ancora l’idea trasferibile: quando si dà a uno strumento di intelligenza artificiale la capacità di agire anziché limitarsi a rispondere, la domanda che vale la pena porsi non è “si comporterà” ma “cosa può raggiungere se non lo fa”.
Fonti
Anthropic's Fable 5.1 costa lo stesso, ad eccezione della parte che gli agenti utilizzano maggiormente
Claude Fable 5.1 è stato lanciato il 1° settembre con prezzi invariati a 10 e 50 dollari per milione di token, ma le letture della cache sono scese del 75% a 0,25 dollari. Anthropic afferma che sul lavoro tipico si risparmia circa il 25%.
