# Vorher (gefährlich – Agent hat vollen Systemzugriff)
python my_agent.py

# Nachher (gesandboxt)
agentguard run -- python my_agent.py

┌─────────────────────────────────────────────────────────────┐
│ Schicht 0: Dateisystem-Jail (sandbox-exec auf macOS)         │
│   Kernel-Level-Erzwingung. Schränkt Dateischreibvorgänge und │
│   Netzwerk auf Syscall-Ebene ein. Der Agent kann es nicht    │
│   aus dem Userspace umgehen. Blockiert Pythons open(),       │
│   requests.post() usw.                                       │
├─────────────────────────────────────────────────────────────┤
│ Schicht 1: Netzwerk-Proxy                                    │
│   Transparenter HTTP/HTTPS-Proxy. Jeder Netzwerkaufruf des   │
│   Agents wird gegen die Richtlinie geprüft. Pro-Ziel-        │
│   Erlauben/Verweigern mit vollständiger Sichtbarkeit im TUI. │
├─────────────────────────────────────────────────────────────┤
│ Schicht 2: PATH-Shims                                        │
│   Shell-Skript-Shims, die Befehle wie git, pip, curl, rm     │
│   abfangen. Jeder Shim fragt den Daemon um Erlaubnis, bevor  │
│   die echte Binärdatei ausgeführt wird.                      │
├─────────────────────────────────────────────────────────────┤
│ Schicht 3: Policy Engine + Genehmigungs-Daemon               │
│   YAML-basierte Regeln bewerten jede abgefangene Aktion.     │
│   Sichere Befehle automatisch erlauben, gefährliche auto-    │
│   matisch blockieren, für alles andere den Menschen fragen.  │
└─────────────────────────────────────────────────────────────┘

go build -o agentguard ./cmd/agentguard/
go build -o agentguard-check ./cmd/agentguard-check/

agentguard init

agentguard run -- python my_agent.py

agentguard run --headless -- claude

tail -f ~/.agentguard/logs/headless.log

agentguard run [flags] -- <command> [args...]
    --policy <path>     Eine bestimmte Richtliniendatei verwenden
    --headless          Kein TUI – der Agent bekommt das Terminal
    --default-allow     PROMPT-Entscheidungen im Headless-Modus automatisch erlauben (Standard: auto-deny)
    --no-sandbox        Sandbox-exec deaktivieren (Shims und Proxy bleiben aktiv)

agentguard init         Eine Standard-Richtliniendatei erstellen
agentguard version      Version anzeigen

version: 1

deny:
  # Gefährliche Befehle blockieren
  - command: "rm"
    args: "-rf *"
    reason: "Rekursives erzwungenes Löschen ist zu gefährlich"
  - command: "sudo"
    args: "*"
    reason: "Privilegieneskalation ist nicht erlaubt"
  - command: "chmod"
    args: "777 *"
    reason: "Weltweit beschreibbare Berechtigungen sind gefährlich"

  # Lesen sensibler Dateien blockieren (durchgesetzt von sandbox-exec)
  - file:
      path: "*.env"
      action: "read"
      reason: "Agent darf .env-Dateien nicht lesen lassen"
  - file:
      path: "*.pem"
      action: "read"
      reason: "Agent darf private Schlüssel nicht lesen lassen"

allow:
  # Sichere, schreibgeschützte Befehle
  - command: "ls"
  - command: "cat"
  - command: "pwd"
  - command: "echo"
  - command: "grep"
  - command: "head"
  - command: "tail"
  - command: "wc"

  # Schreibgeschütztes Git
  - command: "git"
    args: "status"
  - command: "git"
    args: "log *"
  - command: "git"
    args: "diff *"

  # Schreibvorgänge in Arbeitsbereich erlauben
  - file:
      path: "/tmp/workspace/**"
      action: "write"

  # Bestimmte API-Endpunkte erlauben
  - network:
      destination: "api.anthropic.com:443"
  - network:
      destination: "api.github.com:443"

- command: "git"
  args: "push *"
  reason: "Pushen erfordert Genehmigung"

- file:
    path: "*.env"
    action: "read"     # "read" oder "write"
    reason: "Geheimnisse schützen"

- network:
    destination: "api.anthropic.com:443"

agentguard/
├── cmd/
│   ├── agentguard/              # Haupt-CLI-Binärdatei
│   └── agentguard-check/        # Shim-Hilfsbinärdatei
├── internal/
│   ├── policy/                  # Policy Engine (YAML-Parsing, Regelauswertung)
│   ├── events/                  # Ereignissystem (JSONL-Audit-Log, Pub/Sub)
│   ├── daemon/                  # Zentraler Daemon (Unix-Socket, Genehmigungswarteschlange)
│   │   └── client/              # Client-Bibliothek für Shims
│   ├── shim/                    # Shim-Generator (PATH-basierte Abfangung)
│   ├── proxy/                   # Transparenter Netzwerk-Proxy
│   ├── spawner/                 # Orchestrierung + macOS-Sandbox-Integration
│   └── ui/tui/                  # Terminal-Benutzeroberfläche (Bubble Tea)
├── configs/
│   └── default_policy.yaml      # Referenz-Richtliniendatei
├── .gitignore
├── go.mod
├── LICENSE
└── README.md

{"id":"a1b2c3","timestamp":"2026-03-22T14:30:00Z","session_id":"abc123","source":"shim","command":"git","args":["push","origin","main"],"decision":"deny","decided_by":"human","response_time_ms":3200}
{"id":"d4e5f6","timestamp":"2026-03-22T14:30:01Z","session_id":"abc123","source":"proxy","network_dst":"api.anthropic.com:443","decision":"allow","decided_by":"policy"}

# Alle verweigerten Aktionen heute
cat ~/.agentguard/logs/2026-03-22.jsonl | jq 'select(.decision == "deny")'

# Alle Netzwerkanfragen
cat ~/.agentguard/logs/2026-03-22.jsonl | jq 'select(.source == "proxy")'

# Befehle, die menschliche Genehmigung erforderten
cat ~/.agentguard/logs/2026-03-22.jsonl | jq 'select(.decided_by == "human")'

go test ./... -race