En réunion de planification, l’équipe qui maintient l’assistant conversationnel interne propose de remplacer sa boucle d’agent maison par un coding harness (l’outil de code agentique des développeurs). Sur sa slide, le même modèle répond mieux dans le terminal que dans l’assistant. La personne qui arbitre demande : « Et qu’est-ce qu’on garde, nous ? »
C’est la première des quatre questions à trancher avant de confier le moteur agentique d’une application à un harness en sandbox : qui garde la conversation et le budget, qui opère la sandbox, quel risque reste ouvert et quelle dépendance vous acceptez.
Cet épisode 0 ouvre la série « Déléguer le moteur agentique ». Il s’adresse à qui arbitre sans avoir le harness en main. La série compte six épisodes :
- Les quatre questions à trancher (épisode 0). Vous êtes ici.
- La vue d’ensemble (épisode 1). Les sept blocs de la délégation, harness compris, et leurs contrôles.
- Tirer parti du harness (épisode 2). Ce qu’un harness délégué apporte, budget compris.
- Le contrat headless (épisode 3). Ce que chaque harness expose, jusqu’au verrouillage de son lancement.
- Isoler la sandbox et lui survivre (épisode 4). L’isolation, le réseau entrant et sortant, et l’état qui doit survivre.
- Les secrets de la tâche (épisode 5). Donner un secret à la tâche sans le confier à la sandbox.
Trois besoins imposent une sandbox
Pour certains besoins, la sandbox n’est pas une option :
- Travailler sur du code : cloner et explorer un ou plusieurs dépôts, lancer les tests. Les agents de code en ligne le font dans un environnement isolé, un conteneur pour Codex, une machine virtuelle pour Claude Code sur le web.
- Traiter un volume de données que le contexte de l’agent ne peut pas contenir. Un script lit le fichier, le modèle ne lit que sa sortie.
- Exécuter du code, jusqu’à la preview d’une application. Vercel Sandbox expose par exemple le port d’un serveur lancé dans la sandbox sur une URL publique.
Les grands assistants conversationnels en ont donc tous une. Claude écrit et exécute son code dans un conteneur isolé, et Le Chat de Mistral propose l’exécution de code en sandbox. Côté API, OpenAI et Google offrent au modèle un outil pour écrire et lancer du code.
Reste à savoir qui fait tourner la boucle. Trois voies s’ouvrent :
- l’outil d’exécution du fournisseur du modèle, appelé par votre propre boucle
- une sandbox hébergée ou louée, que votre boucle appelle comme un outil
- un coding harness dans la sandbox, à qui vous déléguez toute la boucle
Les quatre questions servent à trancher la troisième voie.
Déléguer le moteur agentique sort la boucle de l’application
Un agent tourne en boucle : le modèle choisit une action, appelle un outil, lit le résultat, puis recommence. Déléguer le moteur agentique, c’est confier cette boucle à un coding harness comme Claude Code ou Codex, qui tourne dans une sandbox (pour le NIST, un environnement restreint aux ressources autorisées).
Le schéma montre où se pose chacune des quatre questions.
Quatre questions, et ce que chaque réponse engage
La grille les résume. L’épisode 1 les couvre toutes en vue d’ensemble, les suivants creusent chacune.
| Question | Ce qu’on choisit | Épisodes |
|---|---|---|
| Qui garde la conversation et le budget ? | Le harness, l’application ou une offre managée | 1, puis 2 et 3 |
| Qui opère la sandbox, et avec quelle isolation ? | L’équipe ou un service loué, et la force de la barrière | 1, puis 4 |
| Quel risque reste ouvert ? | Où vivent les secrets, quelles destinations, quels droits | 1, puis 4 et 5 |
| Quelle dépendance accepter ? | Branchement direct, adaptateur ou framework | 1, puis 2 et 3 |
La grille de décision : quatre questions, le choix que chacune demande et les épisodes qui le détaillent
Qui garde la conversation et le budget ? Un harness comme Claude Code garde par défaut la conversation dans ses propres fichiers de session. L’application peut la reprendre. Le harness reste alors remplaçable, et le budget repose sur son propre registre plutôt que sur l’estimation que renvoie Claude Code. Une offre managée allège l’exploitation, mais l’état des sessions peut alors vivre chez le fournisseur. Pour savoir où vous en êtes, demandez à l’équipe où vit l’historique d’une conversation quand la session du harness s’arrête. Si c’est « dans le harness », l’application ne garde plus la conversation.
Qui opère la sandbox, et avec quelle isolation ? Le harness doit tourner quelque part. Héberger la sandbox, c’est choisir sa barrière (le niveau d’isolation) et payer son exploitation, en général d’autant plus cher qu’elle est forte. La louer, c’est adopter la barrière du fournisseur sur la foi de ses garanties. Sa force se règle toujours sur ce que l’agent touche.
Quel risque reste ouvert ? Un harness lit du texte qu’il n’a pas écrit. Ce texte peut porter des instructions. On parle alors de prompt injection. La frontière, ce relais que traverse chaque requête sortante de la sandbox, ne laisse passer que les destinations ouvertes et garde les clés. Ce filtrage peut encore être contourné selon la manière dont elle reconnaît la destination. Surtout, garder les clés hors de la sandbox empêche leur vol, pas leur usage. Chaque destination ouverte reste une sortie possible pour un texte injecté.
Quelle dépendance accepter ? Chaque harness a sa propre manière d’être lancé et son propre modèle de permissions. Trois réponses existent. Si on le branche directement, on réécrit l’intégration à chaque changement. Un adaptateur le garde remplaçable, au prix d’un composant de plus. Reste le framework d’agents, comme l’Agent Development Kit de Google, qui fournit sous forme de bibliothèque une partie de ce qu’apporte un harness et laisse le reste à assembler.
Par défaut, l’application garde la main sur son moteur agentique
Faute d’autre contrainte, vous pouvez remplir la grille ainsi :
La conversation et le budget restent dans l’application, parce que les harness deviennent obsolètes à mesure que les modèles progressent et que le coût que renvoie Claude Code n’est qu’une estimation.
- La sandbox est hébergée ou louée selon ce que l’équipe sait exploiter, avec une barrière à la mesure de ce que l’agent touche.
- Les secrets restent hors de la sandbox, et la liste des destinations ouvertes est écrite et tenue à jour.
- Le harness passe par un adaptateur dès le départ, même quand il n'y en a qu'un.
L’épisode 1 montre ensuite quels blocs assembler autour de la sandbox pour que ces réponses tiennent, et quel contrôle prouve qu’elles tiennent.
