# JetBrains Air isole les agents IA dans des environnements cloud

_Publié le 3 novembre 2026 — https://ip73.fr/2026/11/03/jetbrains-air-isole-les-agents-ia-dans-des-environnements-cloud/_

JetBrains Air permet désormais de déléguer des tâches de codage à des agents IA, en les exécutant dans des environnements cloud rigoureusement isolés. Cette fonctionnalité répond à une préoccupation majeure : comment laisser des agents autonomes lire des fichiers ou exécuter du code sans compromettre la machine de l'utilisateur.

Le concept de *sandboxing*, ou bac à sable, consiste à circonscrire l'agent dans un cadre ultra-contrôlé. Au lieu d'accorder un accès illimité au système hôte, le *sandbox* impose des limites définies sur les ressources accessibles, les API utilisables et les services externes. C'est une démarche de sécurité qui devient indispensable à mesure que les agents deviennent plus performants et plus autonomes.

On distingue cinq modes d'exécution des agents, classés entre locaux et distants. Les configurations locales partagent la machine de l'utilisateur, ce qui expose potentiellement l'agent à des fuites de données ou des modifications inattendues, même si des outils comme `landrun` sur Linux, `sandbox-exec` sur macOS ou Sandboxie sur Windows existent pour limiter les accès au niveau de l'OS. En revanche, l'exécution distante offre des garanties d'isolation par défaut, car l'agent opère hors de l'environnement du développeur.

## Le mécanisme de confinement dans le cloud

Pour les tâches dans le cloud via Air, le fonctionnement s'inspire de ce que l'on trouve dans les *Docker Sandboxes*. Chaque mission lance une machine virtuelle (VM) dédiée dans le cloud, et l'agent s'y exécute au sein d'un conteneur Docker. Cette VM est traitée comme non fiable et n'est jamais réutilisée entre deux tâches. De plus, tout le trafic émanant du conteneur passe par un proxy configuré dans cette VM.

Ce proxy est la clé de la restriction. Par défaut, il n'autorise que les connexions vers une liste prédéfinie de domaines de sources de code et de registres de paquets reconnus, tel que npm. Les équipes peuvent ajuster cette politique pour autoriser tous les domaines ou couper complètement l'accès à Internet, selon les besoins de leur chaîne d'outils.

Cette isolation ne concerne pas uniquement le réseau. Les secrets sont stockés de manière chiffrée et sont transmis à la tâche uniquement sous forme de variables d'environnement. Chaque tâche s'exécute en respectant les permissions du dépôt du développeur, ce qui empêche l'agent d'accéder à des dépôts auxquels l'utilisateur n'a pas déjà les droits.

## L'intégration de GitHub Copilot dans Air

Cette capacité d'exécution sécurisée est désormais accessible via l'intégration de GitHub Copilot dans JetBrains Air. Les développeurs peuvent confier des tâches, guider l'exécution et réviser les résultats en utilisant Copilot, que ce soit directement dans leur IDE JetBrains ou via Air Teams dans le navigateur.

Lorsqu'une tâche est lancée en mode cloud avec Copilot, elle s'exécute bien dans un conteneur Docker sur une VM fraîche. Cela signifie que Copilot peut construire, tester et installer des paquets sans jamais altérer l'environnement local du développeur. Pour les utilisateurs d'entreprise, pour lancer ces tâches cloud, un compte JetBrains dans une organisation habilitée à Air Teams est nécessaire, en plus d'une souscription active à GitHub Copilot.

Il faut toutefois être clair sur les limites administratives. Bien qu'Air permette de lancer ces tâches en utilisant la souscription Copilot existante — et non les crédits IA de JetBrains — les administrateurs d'Air peuvent désactiver Copilot via une politique de gouvernance, mais ils ne peuvent pas imposer de plafonds de dépenses spécifiques pour Copilot dans l'interface d'Air.

| Caractéristique | Exécution Locale | Exécution Cloud (via Air) |
| :--- | :--- | :--- |
| Isolation par défaut | Faible (dépend du client) | Forte (VM dédiée) |
| Configuration manuelle | Élevée (SSH, Docker) | Automatique (Air) |
| Risque d'impact | Potentiellement élevé | Limité au conteneur |

## Ce que les sources laissent dans l'ombre

L'endroit où un agent opère est devenu un facteur de risque aussi important que sa capacité d'action. Le passage à l'exécution cloud, comme le prouve l'intégration de Copilot, offre une isolation plus robuste par défaut et simplifie grandement la configuration initiale pour les équipes. Les développeurs peuvent suivre plusieurs sessions d'agents en parallèle et réviser les changements directement à côté de leur code, un avantage substantiel pour le flux de travail.

Les utilisateurs individuels peuvent commencer à tester ces agents cloud dans les IDE JetBrains via Air. Cependant, les mécanismes d'analyse et de gouvernance d'Air ne remontent pas l'information sur l'utilisation de GitHub Copilot, ce qui signifie que les métriques de consommation de l'agent restent opaques au niveau de la plateforme Air.

## Sources

- [How Cloud-Based Agent Sandboxing Works in Air - The JetBrains Blog](https://blog.jetbrains.com/air/2026/10/cloud-agent-sandboxing/), blog.jetbrains.com
- [Issues · microsoft/copilot-intellij-feedback](https://github.com/microsoft/copilot-intellij-feedback/issues), github.com
- [GitHub Copilot is now available in JetBrains Air](https://github.blog/changelog/2026-11-03-github-copilot-is-now-available-in-jetbrains-air), GitHub, 3 novembre 2026
- [Use Your GitHub Copilot Plan in JetBrains Air – in Your IDE and in the Cloud](https://blog.jetbrains.com/air/2026/11/github-copilot-in-air/), JetBrains, 3 novembre 2026