Trail of Bits bouwt isolatietool voor AI-codeassistenten Claude Code en Codex

AI-codeassistenten zoals Claude Code van Anthropic en Codex van OpenAI kunnen tegenwoordig veel meer dan alleen code voorstellen. Ze mogen zelfstandig bestanden aanpassen, terminalcommando's uitvoeren, software installeren en zelfs Docker-containers starten. Die vrijheid maakt ze krachtig, maar ook risicovol: een fout in het model, een bug, of een kwaadwillige instructie die verstopt zit in bijvoorbeeld een webpagina of code-repository kan er in het slechtste geval toe leiden dat de assistent ongewenste acties uitvoert op de computer van de gebruiker.

Het Amerikaanse beveiligingsbedrijf Trail of Bits, bekend van onderzoek naar softwarekwetsbaarheden, heeft daarom een opensourcetool gebouwd die dit risico moet beperken. De tool heet Coop, uitgesproken als het Engelse woord voor kippenhok, en is beschikbaar op GitHub onder de Apache 2.0-licentie.

Een wegwerp-computer voor elke sessie

Coop is een commandoregelprogramma, geschreven in de programmeertaal Rust, dat bij elk project een volledig geïsoleerde virtuele machine opzet. Binnen die virtuele machine krijgt de AI-programmeertool volledige toegang tot ontwikkelaarsgereedschap: Docker, git, compilers en pakketbeheerders werken zoals gebruikelijk. Het verschil is dat dit allemaal gebeurt in een afgeschermde omgeving die na gebruik simpelweg wordt weggegooid. Raakt de virtuele machine beschadigd of gecompromitteerd, dan heeft dat geen gevolgen voor de eigenlijke laptop of server van de ontwikkelaar.

Voor de isolatie zelf leunt Coop op bestaande, beproefde techniek. Op Linux gebruikt het Firecracker, dezelfde lichtgewicht virtualisatietechnologie die Amazon gebruikt om zijn clouddienst AWS Lambda te draaien. Op macOS wordt de virtualisatietool Lima ingezet. Gebruikers installeren Coop met een script, laten het eenmalig een basisimage opbouwen met het commando coop setup, en starten daarna met coop up gevolgd door coop claude of coop codex een sessie in hun projectmap.

Onderdeel van een breder beveiligingsvraagstuk

Coop is een concreet antwoord op een probleem dat steeds vaker opduikt nu agentic AI hun opmars maken: systemen die niet alleen tekst genereren, maar ook zelfstandig acties ondernemen. Onderzoekers waarschuwen al langer voor risico's zoals indirecte prompt-injectie, waarbij verborgen instructies in bijvoorbeeld een ingelezen bestand een AI-assistent ertoe aanzetten om iets anders te doen dan de gebruiker bedoelde. Door de assistent in een aparte virtuele machine te laten werken, blijft de schade in het slechtste geval beperkt tot die wegwerpomgeving.

Dit soort beveiligde uitvoeromgevingen, ook wel een AI-sandbox genoemd, wint terrein onder ontwikkelaars die AI-assistenten meer vrijheid geven. Coop is nog een relatief klein project: het telt op het moment van schrijven ruim dertig sterren op GitHub. Wel is het getest op de meest gangbare ontwikkelaarsopstellingen, namelijk Apple-computers met M-chips en Linux-machines met Intel- of AMD-processoren. Een Linux-versie voor ARM-chips is beschikbaar, maar nog niet uitgebreid getest.