cplt

Vom Kernel erzwungene Sandbox für KI-Coding-Agenten. cplt umhüllt GitHub Copilot CLI, OpenCode, Gemini CLI, Antigravity CLI, Pi, Claude Code, goose, DeepSeek Harness oder jede beliebige Shell, sodass der Agent Code schreiben kann, aber keine Anmeldedaten stehlen, auf main pushen, PRs mergen oder Secrets exfiltrieren kann.

• macOS: Apple Seatbelt/SBPL über sandbox-exec
• Linux: Landlock LSM + seccomp-BPF + optionale Bubblewrap-Namespace-Isolation (Kernel 5.13+, vollständige Netzwerkfilterung ab 6.7+)
• Windows: keine native Unterstützung. Es gibt kein Windows-Sandbox-Backend. Führe cplt in WSL2 aus, wo es eine gewöhnliche Linux-Installation ist und der Microsoft-Kernel Landlock mitbringt. Siehe Windows (WSL2)-Einrichtung.

Warum cplt?

KI-Agenten führen beliebigen Code aus. Ein kompromittierter Agent, sei es durch Prompt-Injection, einen Supply-Chain-Angriff oder einen bösartigen MCP-Server, kann ~/.ssh lesen, auf main pushen, PRs mergen oder deinen Code exfiltrieren – es sei denn, das Betriebssystem selbst sagt Nein.

cplt bietet dir Durchsetzung auf Kernel-Ebene mit teamkonfigurierbarer Richtlinie:

• Richtlinie pro Repository in .cplt.toml, in die Versionskontrolle eingecheckt, sodass sie manipulationssicher und auditierbar ist
• Standardmäßiges Verweigern für Anmeldedaten, Secrets und sensible Dateien
• Git- und gh-Interception auf Befehlsebene: Pushes auf den Standard-Branch, Force-Pushes, Merges und Releases werden blockiert, Feature-Branches bleiben offen
• Ausgehende Netzwerkfilterung mit einem Audit-Log
• Kein Docker, keine VMs. Eine einzige Binärdatei, die auf einem abgesicherten Laptop läuft
• Zero-Config-Start für Entwickler, mit Notausgängen, wenn ein Build wirklich einen braucht

Inhaltsverzeichnis

• Schnellstart
• Was es blockiert
• Wie cplt abschneidet
• Installation
• Verwendung
• Konfiguration
• Architektur
• Sicherheit
• Netzwerk und Proxy
• Befehls-Guards
• Bekannte Auswirkungen
• Einschränkungen
• Mitwirken
• Referenzen

Detaillierte Dokumentation: Konfiguration · Proxy & Domain-Filterung · gh-Befehls-Guard · git-Befehls-Guard · Bekannte Auswirkungen · Sicherheitsdetails · Sicherheitsmodell

Schnellstart

brew install navikt/tap/cplt   # macOS. On Debian or Ubuntu, see apt below
cplt --shell-install        # make 'copilot' run sandboxed (persistent)
                            # --agent opencode for any other agent
cplt doctor                 # check your environment
cplt -- -p "fix the tests"  # run Copilot in sandbox

Andere Agenten und Sandbox-Befehle:

cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

Team-Einführung

# 1. Generate per-repo policy
cplt init --write

# 2. Developers approve on first run
cplt trust accept --all

# 3. Tune the command guards (both block by default)
cplt config set git_guard.protect_default_branch_only false # block every push, not just main
cplt config set git_guard.mode warn                         # observe instead of blocking

Was es blockiert

Die Sandbox blockiert den Zugriff auf Anmeldedaten und Geheimnisse im Kernel. Befehls-Guards blockieren destruktive Operationen. Jede Einschränkung gilt für den Agenten und für jeden Prozess, den er startet.