Un seul point d’accès aux agents IA de ma machine.

1. 01 Lancer une session, pour un outil ou à la main

   Une session se demande par l’API, ou depuis la console : l’abonnement, le modèle, le dossier de travail, l’effort, la permission et la durée de vie. L’outil qui l’a demandée se déclare par son nom, et le tableau de bord le montre.

2. 02 Lire et piloter une conversation

   La conversation en plein écran : chaque étape horodatée à la seconde, chaque outil réuni avec son résultat, les demandes de permission et les questions de l’agent à traiter. Un panneau de pilotage ramène au contexte, aux outils ou au tour voulu ; jusqu’à dix instructions attendent leur tour dans une file, et la palette de commandes s’ouvre au clavier.

3. 03 Rejoindre la session depuis un terminal

   Un terminal se connecte à la même conversation, dans la console ou depuis un shell de la machine. Ce n’est ni une seconde conversation, ni un shell du système : il envoie des messages, interrompt un tour, se déconnecte sans arrêter la session.

4. 04 Des abonnements isolés, reconnus seuls

   Chaque abonnement a son propre dossier de configuration. Relais en reconnaît l’identité et les modèles en interrogeant l’agent, sans génération, et signale deux abonnements liés au même compte.

5. 05 Les quotas lus chez le fournisseur, la consommation comptée

   Les fenêtres de cinq heures et de sept jours, avec leur réinitialisation et leur fraîcheur, telles que le fournisseur les donne. À côté, les tokens comptés par Relais et un coût estimé, qui n’est pas une facture. Une donnée absente ou périmée n’est jamais lue comme un zéro.

6. 06 Analyser chaque appel

   Des filtres croisés par agent, modèle, outil, abonnement, application et période : l’évolution de la consommation, la comparaison des coûts, la médiane et le P95 des tours, le cache, les erreurs. Le périmètre filtré s’exporte en CSV ou en JSON.

7. 07 Des serveurs MCP confiés session par session aperçu

   Un outil peut donner à sa session jusqu’à huit serveurs MCP, chacun avec la liste exacte de ses outils permis, d’un à cent. Relais refuse tout outil non listé, et le retire de ce que voit l’agent, qui sinon l’appelait pour rien.

   {
     "mcp_servers": {
       "catalogue": {
         "url": "http://127.0.0.1:9500/mcp",
         "allowed_tools": ["lookup"]
       }
     }
   }

8. 08 Une bibliothèque et des instructions par abonnement

   Des skills et des commandes, importés, écrits ou désactivés par abonnement, s’appellent d’une barre oblique dans la conversation. Des instructions permanentes, communes ou propres à un abonnement, s’ajoutent au prompt système des nouvelles conversations.

9. 09 Un stockage qui se recycle seul

   Le poids des données par catégorie, par conversation et par abonnement. Les conversations terminées sont compressées après 7 jours, puis supprimées après 90 ; les métriques restent. Une conversation compressée se relit à l’identique.

10. 10 Diagnostiquer, sans jamais rien installer

    Le moteur, le port, la durée de fonctionnement et les agents actifs d’un regard, puis les journaux filtrés. Une carte compare la version de Claude Code fixée par Relais à la dernière publiée : Relais ne l’installe jamais lui-même, et une version nouvelle reste « pas encore validée ».

Architecture

1. 01 Rust possède les processus, Angular n’est qu’un client aperçu

   Le serveur, en Rust (Axum, Tokio, SQLite embarqué), possède les processus des agents, les règles de permission, l’état des sessions et la persistance. L’interface Angular passe par la même API que les autres outils de la machine, avec la même clé ; les identifiants des abonnements ne quittent jamais le serveur.

   interface Angular
   outils de la machine
   │ clé + JSON
   ▼
   API Rust (Axum)
   ├▶ SQLite
   └▶ sessions et collecteur
     └▶ adaptateur Claude Code · Codex
       └▶ agent fixé par Relais
         ├ configuration, abonnement A
         └ configuration, abonnement B

2. 02 Deux protocoles d’agent, un seul modèle de session aperçu

   Avec Claude Code, Relais échange des messages JSON en flux sur l’entrée et la sortie standard ; avec Codex, il parle JSON-RPC à son serveur d’application. Les événements d’origine sont gardés tels quels, outils et demandes de permission compris, et la console relit le journal par morceaux.

   Claude Code
     ⇄ stream-json, stdin et stdout
   Codex
     ⇄ JSON-RPC, codex app-server
   ↓ événements d’origine,
     gardés tels quels
   SQLite
   ├ sessions · événements
   └ permissions · audit

3. 03 Une durée de vie dure, un arrêt progressif

   Chaque session a une échéance tenue par le serveur, même entre deux messages ; un signe de vie la prolonge, dans une borne maximale. À l’arrêt, Relais prévient l’agent, puis le coupe après 3 s : sous Unix, tout son groupe de processus ; sous Windows, un objet de tâche qui regroupe l’agent et ses descendants.

Décisions

1. 04 Une version fixée de chaque agent, un dossier par abonnement aperçu

   Contrainte

   Plusieurs abonnements sur une même machine, alors que Claude Code et Codex lisent par défaut la connexion et les variables d’environnement de l’utilisateur.

   Choix

   Relais lance sa propre version de chaque agent, fixée dans son dossier, jamais celle installée sur la machine, avec un dossier de configuration par abonnement et un environnement vidé, puis rempli depuis une liste blanche.

   Effet

   Aucune clé ni variable d’un abonnement ne passe à un autre, et deux abonnements liés au même compte sont signalés.

   exécutable            runtime/ de Relais, version fixée (jamais celui du PATH)
   environnement         vidé, puis rempli depuis une liste blanche
   CLAUDE_CONFIG_DIR     le dossier de l’abonnement
   ANTHROPIC_CONFIG_DIR  le dossier de l’abonnement

2. 05 Le chemin réel du fichier, pas celui que l’agent écrit aperçu

   Contrainte

   Les permissions de l’agent ne suffisent pas à le garder dans les dossiers confiés : un chemin peut remonter hors du dossier, passer par un lien ou désigner un fichier qui porte un second nom ailleurs.

   Choix

   Relais vérifie le chemin réel du fichier, pas celui que l’agent écrit : les chemins qui remontent hors du dossier, les liens qui en sortent et les fichiers à plusieurs liens physiques sont refusés.

   Effet

   L’audit de 52 cas a trouvé un défaut sur les fichiers à plusieurs liens physiques, corrigé après signalement ; les 52 cas passent. Recoupés avec les paramètres des appels, les 69 refus de lecture et de recherche des trois premiers jours de service ont montré des recherches refusées à tort : j’ai assoupli les règles des recherches, sans rouvrir les chemins hors du périmètre.

   chemin demandé → chemin réel (canonique)
     remonte hors du dossier confié         → refusé
     lien qui sort du dossier               → refusé
     fichier à plusieurs liens physiques    → refusé
     dans un dossier confié                 → admis, en lecture ou en écriture
   le refus revient à l’agent avec son motif

3. 06 Admettre une session selon la charge réelle aperçu

   Contrainte

   Un seuil fixe laisse entrer de nouvelles sessions alors que celles qui tournent consomment encore : huit agents lancés en parallèle peuvent faire passer un petit abonnement de 90 % à plus de 100 % de son quota avant que le premier ait fini.

   Choix

   Avant d’admettre une session, Relais réserve ce que consommeront celles qui tournent et la nouvelle, au rythme qu’il apprend des 40 dernières sessions.

   Effet

   La réserve suit l’usage réel de chaque abonnement, et l’abonnement refuse avant d’atteindre son seuil, au lieu de le laisser dépasser par les sessions déjà lancées.

   admettre la session si
       quota lu chez le fournisseur
     + réserve des sessions en cours
     + réserve de la nouvelle session      ≤ seuil (95 % par défaut)
   réserve : au rythme appris des 40 dernières sessions
   une session déjà ouverte n’est jamais coupée

4. 07 Un frein sur les lancements, né d’un incident aperçu

   Contrainte

   Le 27/09/2026, un outil a recréé une session par minute pendant sept heures, sur un abonnement où chacune mourait en deux secondes ; Relais n’enregistrait qu’un code d’erreur, sans message.

   Choix

   Un frein par application et par abonnement : vingt lancements d’affilée, puis un toutes les trois secondes. Trois échecs d’affilée au démarrage suspendent l’abonnement, et l’erreur cite la dernière ligne d’erreur de l’agent.

   Effet

   Tant que l’abonnement est suspendu, un lancement qui le nomme est refusé avec une attente conseillée d’une minute, doublée à chaque refus jusqu’à une heure ; l’abonnement rouvre dès qu’une de ses sessions répond, ou d’un clic sur « Réessayer ».

   POST /api/sessions          (21e lancement d’affilée)
   → 429 Too Many Requests
     Retry-After: 3
     { "error_code": "rate_limited", "retry_after_seconds": 3 }

Garde-fous, tests et limites

1. 08 La boucle locale, une clé, et des modes de permission

   Relais n’écoute que la machine, derrière une clé aléatoire, sans CORS ouvert. En lecture seule, l’agent n’a que Read, Glob, Grep et ses questions ; commandes, sous-agents, MCP et hooks du projet sont coupés. En écriture, chaque demande de permission se traite dans la console.

2. 09 Des faux agents pour tout tester sans abonnement

   373 tests du serveur en Rust et 54 scripts de vérification, dont des parcours Playwright avec contrôle d’accessibilité. Des faux Claude Code, Codex, navigateur, GitHub et registre npm, déterministes, remplacent les vrais : aucun abonnement consommé. L’intégration continue tourne sous Windows et sous macOS, sur processeurs Apple et Intel.

3. 10 Ses limites, écrites

   Le contrôle des permissions n’est pas une isolation du système : l’agent tourne sous mon compte. Les conversations survivent à un redémarrage, pas les processus. Sous Unix, le nettoyage après un arrêt brutal de Relais n’est pas garanti. Un seul utilisateur, sur la machine : l’accès distant demanderait une authentification par appelant, un vrai bac à sable et TLS.