Aegis

صندوق الحماية الخاص بـ Claude Code يسمح للوكيل بقراءة مفاتيح SSH وبيانات اعتماد AWS افتراضيًا. Aegis لا يفعل ذلك.

طبقتان، كلتاهما مُتحقق منهما على عتاد حقيقي.

صندوق حماية النواة — صدفة الوكيل نفسها لا تستطيع الوصول إلى مسار مرفوض:

$ ! cat ~/.ssh/id_rsa
cat: /Users/you/.ssh/id_rsa: Operation not permitted

$ ! cat ~/.aws/credentials
cat: /Users/you/.aws/credentials: Operation not permitted

$ tail ~/Library/Application\ Support/Aegis/denials.log
kernel denied file-read-data /Users/you/.ssh/id_rsa to cat(pid 41560)
kernel denied file-read-data /Users/you/.aws/credentials to cat(pid 42180)

وكيل MCP — نفس الأداة، نفس الملف، مع وبدون Aegis في المقدمة:

direct to the server:   allowed: TOKEN=proof-env-secret
through aegis proxy:    AEGIS DENIED: read_text_file
                        Reason: path matches deny rule '.env'
                        Rule: deny_paths

ما الذي يفعله

يقف بين وكيل البرمجة بالذكاء الاصطناعي وجهازك:

• الرفض افتراضيًا على كل استدعاء أداة
• صندوق حماية النواة على العمليات الفرعية — cat .env لا يمكنه تجاوزه
• سجل تدقيق مقاوم للتلاعب — مُسلسل بالتجزئة، يتم التحقق من سلامته بواسطة aegis doctor، ويُخزَّن نقطة تفتيش من خارج صندوق الحماية تحت مفتاح لا يستطيع صندوق الحماية قراءته أو الكتابة فيه
• الطلبات الصادرة يتم فحصها قبل إجرائها
• الأسرار لا تصل أبدًا إلى خادم MCP

التثبيت (macOS Apple Silicon)

جديد هنا؟ docs/getting-started.md هو المسار خطوة بخطوة، بما في ذلك السؤالان اللذان يكون جوابهما الافتراضي "لا".

هل اتبعت تعليمات سابقة ذكرت aegis-mcp؟ تلك الحزمة ليست Aegis — إنها مشروع غير مرتبط مثبَّت تحت نفس اسم الاستيراد، aegis. أزلها أولاً:

python3 -m pip uninstall aegis-mcp

إذا كان aegis-sandbox مثبتًا بالفعل، فإن إلغاء التثبيت هذا يحذف أيضًا ملفين من ملفاته، لذا أعد تثبيته بعد ذلك: python3 -m pip install --force-reinstall aegis-sandbox.

python3 -m pip install aegis-sandbox
aegis init      # detects Claude Code / Cursor, asks a few questions
aegis doctor    # proves the boundary is actually in place

هل تقوم بالترقية؟ أعد تشغيل aegis init. ملف policy.json ملكك ولا يُعاد كتابته من خلف ظهرك أبدًا، لذا فإن نطاق صندوق حماية جديد لا يظهر من تلقاء نفسه — وبدون نقطة نهاية رمز OAuth يتوقف العميل المُقيَّد عن العمل عند انتهاء صلاحية رمزه. يعرض aegis init المضيفين الجدد؛ القبول بضغطة مفتاح واحدة.

ما الذي لا يفعله

• لا يوقف حقن الأوامر (prompt injection)
• الهروب من النواة يتغلب على صندوق الحماية
• قاعدة بيانات التدقيق لا تزال قابلة للكتابة من داخل صندوق الحماية. نقاط التفتيش تجعل التلاعب بالسجل المُخزَّن كنقطة تفتيش بالفعل قابلًا للكشف — وليس مستحيلًا، والصفوف الأحدث غير مغطاة بعد
• العميل المُقيَّد لا يستطيع تسجيل الدخول إطلاقًا. سجّل الدخول إلى Claude Code قبل aegis init؛ يفشل aegis doctor إذا لم يكن عميل مُغلَّف مسجّل الدخول
• العميل المُقيَّد لا يستطيع تجديد رمز تسجيل دخول منتهي الصلاحية — شغّله مرة واحدة خارج صندوق الحماية للتحديث
• لا يزال صندوق الحماية قادرًا على قراءة رمز OAuth الخاص بك من Keychain
• نتائج الأدوات الأكبر من 16 MiB يتم رفضها
• لا مراجعة أمنية خارجية، ولا شهادات
• لم يدققه أحد غيري — الكود المصدري الكامل يُشحن كـ sdist على PyPI؛ اقرأه، لهذا السبب هو MIT

نموذج التهديد الكامل: THREAT-MODEL.md

الترخيص

MIT