Apprenez à réduire les risques lorsque vous utilisez Bob pour lire des fichiers, modifier du code, exécuter des commandes et vous connecter à des outils externes.

Utilisez ces directives pour réduire les risques lorsque vous travaillez avec Bob dans votre environnement de développement.

Liste de contrôle de sécurité

Examinez cette liste de contrôle avant d'utiliser Bob dans un nouvel espace de travail :

Configurez .bobignore pour restreindre l'accès aux fichiers.
Examinez et limitez les paramètres d'approbation automatique.
Gardez les secrets hors des prompts, des extraits de code et des fichiers accessibles.
Utilisez les serveurs Model Context Protocol (MCP) avec authentification, chiffrement et contrôles d'accès.
Examinez la sortie de Bob avant d'appliquer des modifications ou d'exécuter des commandes générées.

Restreindre l'accès aux fichiers avec `.bobignore`

Vous pouvez limiter les fichiers que Bob lit ou modifie en configurant .bobignore. Le fichier .bobignore utilise la même syntaxe que .gitignore et est l'un des premiers contrôles à configurer dans un espace de travail.

Configurer `.bobignore`

Créez un fichier .bobignore à la racine de votre espace de travail.

Ajoutez des motifs pour les fichiers sensibles, les magasins d'informations d'identification, les ressources générées et toutes les données auxquelles Bob ne doit pas accéder.

# Exemples de motifs .bobignore
.env
secrets/
*.key
config/credentials.json

Bob surveille le fichier .bobignore et applique automatiquement les modifications. Pour plus d'informations, consultez Utiliser .bobignore.

Comprendre les limitations de `.bobignore`

.bobignore aide à contrôler l'accès via les outils de Bob, mais il n'isole pas Bob de votre système. Gardez ces limitations à l'esprit :

Il s'applique uniquement aux fichiers de l'espace de travail actuel.
Il ne crée pas de bac à sable au niveau du système.
Vous devez toujours examiner attentivement les permissions des outils et les paramètres d'approbation.

Limiter les paramètres d'approbation automatique

Vous pouvez configurer Bob pour ignorer les invites de confirmation pour certaines actions. L'approbation automatique peut accélérer le travail de routine, mais elle augmente également les risques.

Avertissement

Les paramètres d'approbation automatique réduisent votre possibilité d'examiner les actions avant que Bob ne lise des fichiers, ne modifie du contenu, n'exécute des commandes ou n'utilise des outils externes. Utilisez l'approbation automatique uniquement après avoir compris le risque pour votre espace de travail.

Examiner les paramètres à haut risque

Paramètre	Risque	Recommandation
Modifier les fichiers	Élevé	Activer uniquement dans des environnements contrôlés.
Exécuter des commandes	Élevé	Restreindre l'utilisation et éviter les motifs de commandes larges.
Utiliser les serveurs MCP	Moyen à élevé	Utiliser uniquement des serveurs de confiance avec des contrôles d'accès clairs.
Lire les fichiers	Moyen	Considérer si les fichiers accessibles contiennent des données sensibles.

Examinez toujours la sortie de Bob pour vérifier son exactitude avant d'appliquer des modifications ou d'exécuter des commandes générées. Ne supposez pas que la sortie générée par l'IA est correcte ou sûre.

Pour plus d'informations, consultez Approuver automatiquement les actions.

Gérer les secrets en toute sécurité

Ne fournissez pas de secrets directement à Bob ou à tout autre système d'IA. Même une exposition de courte durée dans les prompts, le code collé ou les fichiers accessibles peut créer un risque.

Suivre les pratiques de gestion des secrets

Stockez les secrets dans des fichiers d'environnement ou des systèmes de gestion des secrets approuvés.
Ajoutez les fichiers de secrets à la fois à .gitignore et à .bobignore.
Utilisez des outils de gestion des secrets lorsque cela est possible.
Appliquez le principe du moindre privilège lors de l'attribution d'informations d'identification.

Utiliser l'accès délégué si nécessaire

N'utilisez pas d'informations d'identification qui permettent aux systèmes d'IA d'agir largement en votre nom sans examen. Lorsque Bob a besoin d'accéder à des systèmes externes :

Utilisez des méthodes d'accès délégué telles qu'OAuth lorsqu'elles sont disponibles.
Utilisez des jetons à durée limitée.
Surveillez et auditez toutes les actions.

Utiliser MCP en toute sécurité

Le Model Context Protocol (MCP) étend Bob en le connectant à des outils et services externes. Ces connexions peuvent augmenter les capacités, mais elles élargissent également votre périmètre de sécurité.

Comprendre le modèle de sécurité MCP

Dans une intégration MCP :

Bob agit comme l'hôte avec un client MCP.
Le client se connecte à des serveurs MCP locaux ou distants.
Les serveurs MCP exposent des outils et des actions supplémentaires.

Sécuriser les serveurs MCP

Lorsque vous utilisez des serveurs MCP, vérifiez ces contrôles :

Authentification : Vérifiez l'identité des utilisateurs et des services qui accèdent au serveur.
Chiffrement : Protégez les données en transit entre Bob et le serveur.
Contrôles d'accès : Limitez les actions que le serveur peut effectuer.
Audit : Enregistrez les actions afin de pouvoir enquêter sur l'activité ultérieurement.

Traitez les serveurs MCP distants comme toute autre infrastructure de production ou partagée. Appliquez la protection des points de terminaison, les restrictions réseau et les contrôles d'accès qui correspondent à la sensibilité des systèmes qu'ils atteignent.

Pour les serveurs MCP partagés, assurez-vous que les actions sont attribuables à des utilisateurs ou des sessions spécifiques.

Pratiques de sécurité supplémentaires

Examinez le contenu généré avant de l'implémenter.
Maintenez Bob et les dépendances associées à jour.
Formez les membres de l'équipe sur les risques de sécurité de l'IA et les attentes en matière d'examen.
Préparez un processus de réponse aux incidents pour les flux de travail assistés par l'IA.
Utilisez des espaces de travail dédiés pour les projets sensibles le cas échéant.
Limitez les permissions à l'accès minimum requis pour chaque tâche.

Ces pratiques vous aident à utiliser Bob de manière plus sûre dans les flux de travail de développement quotidiens.

Directives de sécurité