nono v0.75.0

[!NOTE] في الفترة التي تسبق إصدار 1.0، تشهد واجهات API استقرارًا تدريجيًا. قد تحدث تغييرات في API عند الضرورة، لكنها ستُبقى عند الحد الأدنى.

[!IMPORTANT] ترحيل المؤسسة: انتقلت مساحة الأسماء الرسمية لسجل nono من always-further إلى nolabs-ai. حدّث أي إشارات في نصوصك البرمجية وملفاتك التعريفية وCI. إذا كانت لديك حزمة مثبّتة بالفعل تحت مساحة الأسماء القديمة، فأزلْها أولًا قبل السحب من المساحة الجديدة:

nono remove always-further/claude
nono pull nolabs-ai/claude

ستُسحب مساحة الأسماء القديمة — رحّل الآن.

شغّل وكلاء الذكاء الاصطناعي في صندوق رملي بزمن استجابة صفري خلال ثوانٍ وبدون أي إعداد — Claude Code وCodex وPi وCoPilot وHermes وOpenCode وOpenClaw وغيرها — يضعك nono في حالة تشغيل خلال ثوانٍ، بدون daemon، وبدون حاوية، وبدون آلة افتراضية، وبدون استهلاك مساحة قرص. بشكل جاهز، يفرض nono صندوقًا رمليًا بأقل الصلاحيات ويدعم macOS وLinux وWindows (WSL2).

من هنا انسخ الإعداد (fork the config)، وعدّله، وأضف إليه السمة، واجعله خاصًا بك، وشاركه مع فريقك أو المجتمع عبر سجل nono.

هل تريد تشغيله وتوسيع نطاقه أو استخدامه داخل فريقك؟ يستخدم مهندسون في بعض أكبر شركات التقنية في العالم nono كجزء من سير عملهم أو لتشغيل وكلاء الذكاء الاصطناعي في بيئات الإنتاج.

"يريد مهندسو Datadog أن يتحرك وكلاؤهم بسرعة، ونريد الحفاظ على أمان بيانات اعتمادنا وأنظمة الإنتاج لدينا أثناء ذلك. nono هو الصندوق الرملي الوحيد الذي يمنحنا كليهما: سياسات دقيقة لكل أمر وإدارة متقدمة لبيانات الاعتماد تتلاءم مع سلاسل الأدوات المعقدة والواقعية القائمة." James Carnegie -- مهندس أمن أول، Datadog

"الأمن متجذّر في كل ما نبنيه في Okta. يمنحنا nono الثقة للابتكار مع وكلاء الذكاء الاصطناعي عبر عزل تنفيذهم في صندوق رملي آمن للغاية ومحكوم بالسياسات. يضمن بقاء بيانات اعتمادنا مقفلة ومحمية، دون التضحية بسرعة المطورين." Leonardo Zanivan، مهندس رئيسي، Okta

قلّده الكثيرون — كان nono رائدًا في الصندوق الرملي للوكلاء بزمن استجابة صفري وبدون إعداد، ولا يزال يبتكر ويقود الطريق في عزل الوكلاء.

---

البدء السريع

curl

curl -fsSL https://nono.sh/install.sh | sh

macOS / Linux (Homebrew)

brew install nono

Nix

يوفر المشروع Nix flake بمخرجين:

• #default (من المصدر) — يُبنى من المصدر باستخدام buildRustPackage (تُجمّع أول عملية تشغيل الحزمة وتبعياتها)
• #prebuilt — يجلب ملف التنفيذ الرسمي للإصدار من GitHub Releases (سريع، بدون تجميع)

# Run without installing (from source)
nix run github:nolabs-ai/nono

# Run the prebuilt binary (no compilation)
nix run github:nolabs-ai/nono#prebuilt

# Install into your profile
nix profile add github:nolabs-ai/nono

# Pin to the latest release
nix run "github:nolabs-ai/nono?ref=$(curl -fsSL https://api.github.com/repos/nolabs-ai/nono/releases/latest | jq -r .tag_name)"

منصات أخرى — Debian/Ubuntu وFedora وArch وRHEL وopenSUSE وWSL2: راجع تعليمات التثبيت.

شغّله!

ابحث عن وكيل في السجل، ثم شغّله:

$ nono search opencode
nolabs-ai/opencode	-	Official Opencode Plugin

$ nono run --profile nolabs-ai/opencode -- opencode

هذا كل شيء. الآن يعمل opencode بصلاحية قراءة/كتابة على الدليل الحالي ولا شيء آخر — مفاتيح SSH الخاصة بك، وبيانات اعتماد السحابة، وبقية قرصك غير مرئية له.

توجد ملفات تعريفية لجميع الوكلاء الشائعين على registry.nono.sh، مؤمّنة وجاهزة للسحب. كل واحد منها يجمع النطاق الصحيح لنظام الملفات، وقائمة الشبكة المسموح بها، والخطافات، والمهارات، والمزيد.

اجعله خاصًا بك!

هل تجاوزت الإعدادات الافتراضية؟ أنشئ هيكل ملف تعريفي وعدّله — بنفس الأمر الذي تعرفه بالفعل:

nono profile init opencode --extends nolabs-ai/opencode
nono run --profile opencode -- opencode

يصدّر nono profile init ملفًا تعريفيًا موسّعًا وقابلًا للتحرير لوكيلك، يرث من الملف التعريفي الأساسي المحدد. هذا الملف التعريفي هو JSON قابل للتركيب، لذا يمكنك مراجعة قواعد نظام الملفات والشبكة وبيانات الاعتماد والأدوات بدقة قبل مشاركته مع فريق أو نشره للمجتمع.

هل أنت مطوّر وكلاء وتريد نشر حزمة وكيلك الخاصة؟ يسعدنا أن نضمّك ونروّج لعملك! راجع الوثائق.

اعزل الأدوات التي يستدعيها الوكلاء

لا يتوقف nono عند حد "وضع الوكيل في صندوق رملي". يفوّض الوكلاء العمل الحقيقي إلى أدوات: git وgh وcurl وkubectl ومديري الحزم ونصوص البناء وعملاء/خوادم MCP، وكل ما هو موجود على PATH. غالبًا ما تكون هذه الأدوات هي المكان الذي تظهر فيه الأسرار والوصول إلى الشبكة والآثار الجانبية. معظم الصناديق الرملية تمنح الوكيل مجرد سياسة شاملة يكون فيها السر متاحًا عالميًا للوكيل بأكمله ولكل أداة، لكن nono مختلف:

يستطيع nono وضع الأدوات المفوّضة في صناديق أوامر معزولة خاصة بها، خارج سيطرة الوكيل. يحصل الوكيل على صندوق جلسته؛ وعندما يستدعي أداة محكومة، يشغّل وسيط nono تلك الأداة ضمن سياسة أمر لها سياسة نظام ملفاتها الخاصة، وسياسة شبكتها الخاصة، وبيانات اعتمادها الخاصة. لا يرث صندوق الأوامر منح --allow الواسعة لصندوق الجلسة، ولا الوصول إلى CWD، ولا مسارات بيانات الاعتماد الخام، ولا الوصول إلى الشبكة، إلا إذا نصّت سياسة صندوق الأوامر على ذلك.

وهذا يعني أن الملف التعريفي يمكنه التعبير عن قواعد مثل:

• يمكن للوكيل استدعاء git، لكن git يحصل فقط على المستودع، وملفات إعداد Git الموثوقة، ومخزن كائنات Git
• يمكن للوكيل استدعاء gh، لكن gh يتلقى فقط رمز GitHub عبر وسيط بيانات الاعتماد في nono
• لا يجوز استخدام ذلك الرمز إلا مع طرق ومسارات محددة من GitHub API عبر تصفية L7
• يمكن لـ git استدعاء ssh ضمن سياسة متسلسلة، بينما يبقى ssh المباشر من الوكيل مرفوضًا

تعيش السياسة في الملف التعريفي، لا في الطلب النصي. يمكن للوكيل طلب أداة، لكنه لا يستطيع توسيع صندوقها الرملي، ولا إنشاء مفاتيح جديدة، ولا تجاوز سياسة نقاط النهاية من داخل الجلسة.