Présentation de Stroq

Stroq est une plateforme de sécurité locale destinée aux agents de codage alimentés par l’IA tels que Claude Code, Cursor ou Codex CLI. Distribuée sous licence Apache‑2.0, elle s’installe via le paquet npm npx @stroq/cli et requiert Node.js 22 ou une version supérieure. Dès l’installation, Stroq crée un cache discret dans ~/.stroq, ne conserve jamais les valeurs de clés privées et n’émet aucun trafic réseau ni aucune donnée de télémétrie.

Architecture et mécanismes de contrôle

Le cœur de Stroq repose sur des hooks injectés dans la configuration de chaque agent. Avant chaque appel d’outil, le hook compare la commande avec une politique locale : il bloque les chaînes curl | sh, refuse les appels sortants contenant un secret connu et sollicite l’utilisateur lorsqu’une commande reproduit textuellement du contenu lu par l’agent. Les décisions sont affichées avec la raison correspondante, par exemple via 

npx @stroq/cli why
. Les sessions des 30 derniers jours sont analysées en lisant les journaux de Claude Code, Codex CLI ou Cursor, puis en extrayant les noms de clés présentes dans les fichiers de configuration, sans jamais exposer les valeurs.

Analyse des capacités de sécurité

Stroq fournit plusieurs commandes : init active les hooks, attack simule 36 attaques connues dans un bac à sable, replay --all re‑exécute les sessions historiques pour appliquer la politique actuelle, et sent recense les clés qui auraient pu être transmises à des services externes. Le tableau de bord local, accessible uniquement sur 127.0.0.1, permet de visualiser les décisions et d’ajuster les règles après un aperçu en mode prévisualisation. Aucun compte utilisateur n’est requis, ce qui élimine les vecteurs de fuite liés à l’authentification centrale.

Limites et perspectives d’évolution

Le modèle de confiance repose sur la capacité du hook à intercepter tous les appels de l’agent ; les agents qui n’exposent pas d’interface de configuration ou qui utilisent des exécutables externes non couverts restent hors de portée. De plus, la dépendance à Node.js 22 limite l’adoption sur des environnements plus anciens. Stroq ne conserve aucune trace des valeurs de secrets, ce qui empêche une analyse post‑mort détaillée en cas de compromission. Enfin, la politique est appliquée en temps réel mais les verdicts des sessions historiques reflètent la politique actuelle, pas nécessairement celle en vigueur au moment de la session.