rderaison/bromureSandboxing approprié pour le codage agentique et la navigation web
<p align="center"> <img src="https://assets.kitploit.com/production/public/readmes/12434/34941ab5b4f1bafbb04da6cb0f3c974b96fb7d4e24eed8262c7c52d88db550dc.png" width="128" height="128" alt="Icône Bromure"> <img src="https://assets.kitploit.com/production/public/readmes/12434/bc6a2ba75157aec6eac22ffc30fe246e2731fb36148f1553060ad9cb39086139.png" width="128" height="128" alt="Icône Bromure Agentic Coding"> </p> <h1 align="center">Bromure</h1> <p align="center"> Calcul sécurisé et éphémère dans des VM Linux jetables sur macOS. </p> <h2 align="center"> → Détails complets, captures d'écran et téléchargements sur <a href="https://bromure.io">bromure.io</a> </h2> --- Ce dépôt contient deux applications sœurs, toutes deux construites sur [Virtualization.framework](https://developer.apple.com/documentation/virtualization) d'Apple : - **Bromure** — chaque session de navigation s'exécute dans une VM Linux jetable. Fermez la fenêtre, la VM est détruite. - **Bromure Agentic Coding** — un environnement sandboxé pour les agents de codage IA (Claude Code, Codex, Grok, Kimi Code, Oh My Pi). Un proxy MITM côté hôte échange de faux identifiants contre les vrais sur le réseau, afin que les secrets n'entrent jamais dans la VM, puis ajoute l'analyse de la chaîne d'approvisionnement, la détection d'injection de prompt, la protection des données personnelles, un panel multi-modèles, l'inférence locale et l'accès à distance — le tout appliqué à cette unique frontière. <details> <summary><strong>Comparaison de Bromure Agentic Coding</strong></summary> Isolation, garder les secrets hors de l'agent, encadrer leur usage, analyser la chaîne d'approvisionnement, détecter l'injection de prompt : la plupart des outils n'en choisissent qu'un. Bromure fait les cinq à une seule frontière, puis ajoute ce qu'un courtier de secrets ne pourrait jamais offrir : un panel de modèles, l'inférence locale et un accès depuis n'importe où. Voici le même modèle de menace appliqué aux outils vers lesquels les gens se tournent, et où chacun s'arrête. Une matrice de fonctionnalités plus détaillée est disponible sur [bromure.io/en/feature-matrix](https://bromure.io/en/feature-matrix). | Protection | Dev Container<br><sub>VS Code</sub> | nono<br><sub>sandbox noyau</sub> | agent-vault<br><sub>octokraft</sub> | Agent Vault<br><sub>Infisical</sub> | Docker Sandboxes<br><sub>microVM</sub> | Capsem<br><sub>VM air-gapped</sub> | **Bromure**<br><sub>Agentic Coding</sub> | | --- | --- | --- | --- | --- | --- | --- | --- | | **Sécurité** | | | | | | | | | **Frontière d'isolation**<br><sub>Où s'arrête le rayon d'impact</sub> | 🟡 Même conteneur, noyau partagé | 🟡 Listes d'autorisation du noyau, pas de noyau propre | ❌ L'agent s'exécute sur place | ❌ Proxy uniquement ; agent non isolé | ✅ microVM, noyau propre | ✅ VM matérielle, noyau propre | ✅ VM matérielle, noyau propre | | **Garder les secrets hors de l'agent**<br><sub>Peut-il un jour lire l'identifiant réel ?</sub> | ❌ Transmet l'agent SSH + les identifiants git | 🟡 Bloque les fichiers de clés ; proxy pour certains | ✅ Injecté par pipe ; aucun chemin de lecture | ✅ Le proxy attache sur le réseau | ✅ Le proxy hôte injecte les en-têtes | ❌ Les vraies clés API résident dans la VM | ✅ Stub échangé sur le réseau | | **Portée et approbation des identifiants**<br><sub>Limites par usage, lecture seule, expiration, consentement</sub> | ❌ Aucun cadrage par usage | 🟡 Flux d'approbation + filtre de sortie | 🟡 TTL par secret ; bloque les shells | 🟡 Filtre de sortie par endpoint | 🟡 Liste d'autorisation de domaines ; le code dans la VM peut quand même l'utiliser | 🟡 Règles de sortie domaine + méthode/chemin | ✅ Consentement par destination + TTL | | **Analyse de la chaîne d'approvisionnement**<br><sub>Détecter les paquets malveillants / vulnérables</sub> | ❌ Aucune analyse de registre | ❌ Signature uniquement, pas d'analyse de paquets | ❌ Hors périmètre | ❌ Hors périmètre | ❌ Aucune analyse de paquets | ❌ Aucune analyse de paquets | ✅ Age-gate, OSV, socket.dev, Depi | | **Détection d'injection de prompt**<br><sub>Analyse du contenu non fiable et des fichiers de règles</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ PromptGuard + ModernBERT | | **Protection des données personnelles**<br><sub>Empêcher les données personnelles d'atteindre le fournisseur de modèle</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Échangées sur l'appareil, restaurées dans les réponses | | **Piste d'audit**<br><sub>Enregistrer ce que l'agent a fait</sub> | ❌ Journaux de conteneur uniquement | 🟡 Audit local immuable | ❌ | 🟡 Journalisation des requêtes | 🟡 Journalisation des requêtes | 🟡 Corps HTTP complets dans SQLite | ✅ Trace de session complète, chiffrée | | **Inventaire de la chaîne d'approvisionnement** <sub>(Entreprise)</sub><br><sub>Un enregistrement de chaque paquet récupéré</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Chaque dépendance + verdict, consultable | | **Productivité** | | | | | | | | | **Équipes d'agents**<br><sub>Plusieurs agents sur une tâche, communiquant entre eux</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Rooms, Switchboard, délégation @ | | **Consommation de tokens** <sub>(Entreprise)</sub><br><sub>Quels fichiers consomment le plus de tokens</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Par fichier, dépôt et modèle | | **Fusion multi-modèles**<br><sub>Un panel de modèles, jugés et synthétisés</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Panel + juge, sur le réseau | | **Automatisations**<br><sub>Exécutions d'agent planifiées ou sur événements GitHub / Linear</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Planification, GitHub, Linear, en chaîne | | **Modèles locaux**<br><sub>N'importe quel fournisseur, ou inférence sur votre propre matériel</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ MLX sur l'appareil + n'importe quel fournisseur | | **Kubernetes local**<br><sub>Clusters et registres à côté du sandbox</sub> | 🟡 DIY via Docker-in-Docker | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Clusters k3s + registre privé | | **Navigateur agentique**<br><sub>Un navigateur que l'agent pilote pour tester son travail</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Chromium isolé, piloté par l'agent | | **Accessible depuis n'importe où**<br><sub>Se connecter au sandbox à distance</sub> | 🟡 VS Code distant | ❌ | ❌ | ❌ | 🟡 docker exec, local | ❌ | ✅ Mac, iPhone, iPad, CLI ou SSH | ✅ Complet — intégré, appliqué · 🟡 Partiel — limité ou optionnel · ❌ Aucun — non traité > Cacher un token n'est pas la même chose que gouverner son usage. Docker Sandboxes garde la valeur brute hors de la VM — mais son proxy attache quand même cet identifiant à toute requête sortante du sandbox, si bien qu'un paquet compromis installé à côté peut le dépenser contre un domaine autorisé sans jamais le voir. Seul Bromure analyse le paquet avant son exécution et encadre chaque usage — consentement, lecture seule, un TTL — en appliquant les cinq contrôles à une seule frontière que l'agent ne peut pas contourner. C'est à cette même frontière que se branchent Fusion, l'inférence locale et l'accès à distance. <sub>Compilé à partir de la documentation publique de chaque projet, juin 2026. Ici, agent-vault désigne [octokraft/agent-vault](https://octokraft.github.io/agent-vault/) (injection de secrets par pipe), distinct de l'Agent Vault d'Infisical (proxy d'identifiants HTTP). Docker Sandboxes est un aperçu expérimental dont les identifiants courtisés restent utilisables par tout ce qui se trouve dans la VM. L'inventaire de paquets à l'échelle de la flotte et les cumuls de consommation de tokens de Bromure sont exposés dans Bromure Enterprise Manager. Ces outils évoluent vite — vous voyez quelque chose d'obsolète ? Ouvrez une issue.</sub> </details> <details> <summary><strong>Comparaison de Bromure Web</strong></summary> Tous les navigateurs sécurisés surveillent le web. Bromure l'isole. Talon et Island durcissent Chromium sur votre machine. Menlo isole le web — dans son cloud. Bromure exécute chaque session dans une VM jetable sur votre propre Mac : une véritable isolation, en local. Une matrice de fonctionnalités plus détaillée est disponible sur [bromure.io/en/feature-matrix](https://bromure.io/en/feature-matrix). | Capacité | Talon<br><sub>Prisma Access Browser</sub> | Island<br><sub>Enterprise Browser</sub> | Menlo<br><sub>Isolation distante</sub> | **Bromure**<br><sub>Web</sub> | | --- | --- | --- | --- | --- | | **Isolation et confinement** | | | | | | Isole le code web non fiable de votre véritable OS | ❌ | ❌ | ✅ | ✅ | | L'hôte reste sûr si le navigateur est exploité | 🟡 | ❌ | ✅ | ✅ | | Sessions jetables ne laissant aucune trace | 🟡 | ❌ | ✅ | ✅ | | Isolation exécutée en local, pas dans un cloud tiers | ❌ | ❌ | ❌ | ✅ | | **Contrôles des appareils et des données** | | | | | | Webcam et micro réels dans une session sécurisée | ✅ | 🟡 | 🟡 | ✅ | | Contrôles de téléchargement et d'envoi | ✅ | ✅ | ✅ | ✅ | | Analyse antivirus des téléchargements | ✅ | 🟡 | ✅ | ✅ | | Contrôles de copier-coller et de capture d'écran | 🟡 | ✅ | 🟡 | ✅ | | Bloque la fuite de données vers imprimantes locales, NAS et USB | 🟡 | 🟡 | 🟡 | ✅ | | **Protection web** | | | | | | Détection d'hameçonnage | ✅ | ✅ | ✅ | 🟡 | | Filtrage web par URL et par catégorie | ✅ | ✅ | ✅ | 🟡 | | VPN par session et masquage d'IP intégrés | 🟡 | ❌ | 🟡 | ✅ | | Gouvernance des extensions de navigateur | ✅ | ✅ | 🟡 | 🟡 | | **Gestion d'entreprise** | | | | | | Console centrale et profils gérés | ✅ | ✅ | ✅ | ✅ | | Journalisation des sessions et piste d'audit complète | ✅ | ✅ | ✅ | ✅ | | Export SIEM et OpenTelemetry | ✅ | ✅ | ✅ | ✅ | | Application de l'usage via Okta, Workspace ou Entra | ✅ | ✅ | ✅ | ✅ | | Accès automatiquement révoqué lors du départ d'un utilisateur | 🟡 | ✅ | 🟡 | ✅ | | DLP sensible au contenu et assainissement de fichiers | ✅ | ✅ | ✅ | 🟡 | | BYOD et appareils non gérés | ✅ | ✅ | ✅ | ✅ | | **Plateforme et modèle** | | | | | | Fonctionne sur toutes les principales plateformes | ✅ | ✅ | ✅ | 🟡 | | Open source et gratuit | ❌ | ❌ | ❌ | ✅ | | Fonctionne sur l'appareil sans cloud par siège | 🟡 | 🟡 | ❌ | ✅ | ✅ Intégré · 🟡 Partiel ou limité · ❌ Non proposé > Talon et Island font du navigateur une porte d'entrée mieux surveillée — mais il s'exécute toujours sur votre véritable OS. Menlo ajoute une véritable isolation, puis achemine chaque page via son cloud. Bromure est le seul à sceller chaque session dans une VM jetable sur votre propre machine : rien n'atteint votre Mac, rien ne quitte votre appareil, et fermer la fenêtre efface tout. <sub>Compilé à partir de la documentation produit publique (Palo Alto Networks, Island, Menlo Security) en juin 2026. Partiel indique des capacités limitées, optionnelles, soumises à licence ou — pour la détection d'hameçonnage de Bromure — encore en bêta.</sub> </details> ## Compilation ```bash ./build.sh # browser app ./build.sh bromure-ac # agentic-coding app swift test # tests ``` Les sorties se trouvent dans `.build/arm64-apple-macosx/release/`. ## Architecture Trois cibles SPM : | Cible | Chemin | Remarques | | --------------- | ------------------------- | --------------------------------------------------------------- | | `bromure` | `Sources/Browser/` | Application navigateur + SwiftUI + gestion de fenêtres AppKit | | `bromure-ac` | `Sources/AgentCoding/` | Application agentic-coding + proxy MITM + plomberie des identifiants cloud | | `SandboxEngine` | `Sources/SandboxEngine/` | Cycle de vie VM partagé, gestion des images, ponts virtio | Les deux applications préchauffent un pool de VM en arrière-plan afin que les nouvelles sessions s'ouvrent en moins d'une seconde. La communication invité ↔ hôte passe par vsock (presse-papiers, transfert de fichiers, proxy MITM). ## Prérequis - macOS 14 (Sonoma) ou ultérieur - Apple Silicon (M1 ou plus récent) — `Virtualization.framework` ne prend en charge que les VM invitées ARM64 sur les hôtes Apple Silicon. ## Auteur - [Renaud Deraison](https://www.linkedin.com/in/rderaison/) (prompting) - [Claude + Opus 4.7](https://www.anthropic.com) (implémentation)
