nono v0.71.0 — safe execution paths for agents - zero trust, zero setup, zero latency.

Creado por el equipo que te trajo Sigstore
_{El estándar para la atestación segura de software, utilizado por PyPI, npm, brew y Maven Central}

[!NOTE] De cara al lanzamiento de la versión 1.0, las APIs se están estabilizando. Aún pueden producirse cambios en las APIs cuando sea necesario, pero se mantendrán al mínimo.

[!IMPORTANT] Migración de organización: El espacio de nombres oficial del registro de nono se ha movido de always-further a nolabs-ai. Actualiza todas las referencias en tus scripts, perfiles y CI. Si ya tienes un paquete instalado con el espacio de nombres antiguo, elimínalo primero antes de descargar desde el nuevo:
nono remove always-further/claude
nono pull nolabs-ai/claude
El espacio de nombres antiguo se retirará — migra ahora.

Ejecuta agentes de IA en un sandbox de latencia cero en segundos y sin configuración alguna — Claude Code, Codex, Pi, CoPilot, Hermes, OpenCode, OpenClaw y más — nono te pone en marcha en cuestión de segundos, sin demonio, sin contenedor, sin VM y sin consumo de espacio en disco. De serie, nono aplica un sandbox de mínimo privilegio y es compatible con macOS, Linux y Windows (WSL2).

A partir de aquí, haz fork de la configuración, ajústala, personalízala, hazla tuya y compártela con tu equipo o con la comunidad a través del registro de nono.

¿Quieres operativizarlo y ejecutarlo a escala o dentro de tu equipo? Ingenieros de algunas de las mayores empresas tecnológicas del mundo utilizan nono como parte de sus flujos de trabajo o para ejecutar agentes de IA en producción.

Copiado por muchos — nono fue pionero en el sandbox de agentes de latencia cero y sin configuración, y sigue innovando y liderando el camino en el sandboxing de agentes.

Inicio rápido

curl

curl -fsSL https://nono.sh/install.sh | sh

macOS / Linux (Homebrew)

brew install nono

Otras plataformas — Debian/Ubuntu, Fedora, Arch, RHEL, openSUSE, WSL2 y Nix: consulta las instrucciones de instalación.

¡Ejecútalo!

Busca un agente en el registro y luego ejecútalo:

$ nono search opencode
nolabs-ai/opencode	-	Official Opencode Plugin

$ nono run --profile nolabs-ai/opencode -- opencode

Eso es todo. opencode ahora se ejecuta con acceso de lectura/escritura al directorio actual y a nada más — tus claves SSH, tus credenciales en la nube y el resto de tu disco le son invisibles.

Los perfiles de todos los agentes populares están en registry.nono.sh, protegidos y listos para descargar. Cada uno incluye el alcance de sistema de archivos adecuado, lista de permitidos de red, hooks, skills y más.

¡Hazlo tuyo!

¿Se te quedan pequeños los valores predeterminados? Crea un perfil desde una plantilla y ajústalo — el mismo comando que ya conoces:

nono profile init opencode --extends nolabs-ai/opencode
nono run --profile opencode -- opencode

nono profile init exporta un archivo de perfil ampliado y editable para tu agente, que hereda del perfil base especificado. Ese perfil es JSON componible, por lo que puedes revisar el sistema de archivos, la red, las credenciales y las reglas de herramientas exactos antes de compartirlo con un equipo o publicarlo para la comunidad.

¿Eres desarrollador de agentes y quieres publicar tu propio paquete de agente? ¡Nos encantaría contar contigo y promocionar tu trabajo! Consulta la documentación.

Pon en sandbox las herramientas que los agentes invocan

nono no se limita a «poner al agente en un sandbox». Los agentes delegan trabajo real en herramientas: git, gh, curl, kubectl, gestores de paquetes, scripts de compilación, clientes/servidores MCP y cualquier otra cosa que esté en PATH. Es en esas herramientas donde suelen aparecer los secretos, el acceso a la red y los efectos secundarios. La mayoría de los sandboxes se limitan a dar al agente una política general en la que un secreto está disponible universalmente para todo el agente y para cada herramienta, pero nono es diferente:

nono puede poner las herramientas delegadas en sus propios sandboxes hijos aislados, fuera del control del agente. El agente recibe su sandbox de sesión; cuando invoca una herramienta controlada, el broker de nono lanza esa herramienta con una política separada, permisos de sistema de archivos separados, reglas de red separadas y credenciales separadas. La herramienta no hereda los permisos amplios --allow del agente, el acceso al CWD, las rutas de credenciales en bruto ni el acceso a la red, salvo que su propia política lo indique.

Eso significa que un perfil puede expresar reglas como:

el agente puede invocar git, pero git solo recibe el repositorio, los archivos de configuración de Git de confianza y el almacén de objetos de Git
el agente puede invocar gh, pero gh solo recibe un token de GitHub a través del proxy de credenciales de nono
ese token solo puede utilizarse contra métodos y rutas seleccionados de la API de GitHub mediante filtrado L7
git puede invocar ssh bajo una política encadenada, mientras que el ssh directo desde el agente permanece denegado

La política vive en el perfil, no en el prompt. El agente puede solicitar una herramienta, pero no puede ampliar el sandbox de esa herramienta, generar nuevas claves ni omitir la política de endpoints desde dentro de la sesión.

{
  "command_policies": {
    "credentials": {
      "github-api": {
        "type": "proxy",
        "upstream": "https://api.github.com",
        "credential_key": "keyring://gh:github.com/example?decode=go-keyring",
        "env_var": "GH_TOKEN",
        "inject_header": "Authorization",
        "credential_format": "Bearer {}"
      }
    },
    "commands": {
      "gh": {
        "from": {
          "session": {
            "sandbox": {
              "fs_read": ["."],
              "credentials": [
                {
                  "name": "github-api",
                  "endpoint_policy": {
                    "default": "deny",
                    "allow": [
                      { "method": "GET", "path": "/repos/nolabs-ai/nono/issues/**" }
                    ]
                  }
                }
              ]
            },
            "invocation_policy": {
              "default": "deny",
              "allow": [
                { "argv": { "prefix": ["issue", "list"] } },
                { "argv": { "prefix": ["issue", "view"] } }
              ]
            }
          }
        }
      }
    }
  }
}

Lee más en Ejecución de herramientas en sandbox.

¿Listo para profundizar?

Visita la documentación y descubre el completo sistema de políticas componibles de nono, la inyección de credenciales, el filtrado L7, la seguridad de la cadena de suministro, el rollback, la multiplexación, la auditoría y más.

Soporte de librerías

nono proporciona enlaces FFI para Rust, Python, TypeScript y Go.

También disponibles como enlaces de Python, TypeScript y Go.

Contribuciones

Animamos a utilizar herramientas de IA para contribuir. Sin embargo, debes comprender y revisar cuidadosamente cualquier código generado por IA antes de enviarlo. La seguridad es primordial. Si no entiendes cómo funciona un cambio, pregunta primero en Discord.

Seguridad

Si descubres una vulnerabilidad de seguridad, no abras un issue público. Sigue el proceso descrito en nuestra Política de seguridad.

Licencia

Apache-2.0