cplt

Sandbox aplicado por el kernel para agentes de codificación con IA. cplt envuelve GitHub Copilot CLI, OpenCode, Gemini CLI, Antigravity CLI, Pi, Claude Code, goose, DeepSeek Harness, o cualquier shell, para que el agente pueda escribir código pero no pueda robar credenciales, hacer push a main, fusionar PRs ni exfiltrar secretos.

• macOS: Apple Seatbelt/SBPL mediante sandbox-exec
• Linux: Landlock LSM + seccomp-BPF + aislamiento opcional de namespaces con Bubblewrap (kernel 5.13+, filtrado de red completo en 6.7+)
• Windows: sin soporte nativo. No existe un backend de sandbox para Windows. Ejecuta cplt dentro de WSL2, donde es una instalación Linux ordinaria y el kernel de Microsoft incluye Landlock. Consulta Configuración de Windows (WSL2).

¿Por qué cplt?

Los agentes de IA ejecutan código arbitrario. Un agente comprometido, ya sea mediante inyección de prompts, un ataque a la cadena de suministro o un servidor MCP malicioso, puede leer ~/.ssh, hacer push a main, fusionar PRs o exfiltrar tu código, a menos que el propio sistema operativo lo impida.

cplt te ofrece aplicación a nivel de kernel con políticas configurables por equipo:

• Política por repositorio en .cplt.toml, versionada en el control de código fuente, por lo que es a prueba de manipulaciones y auditable
• Denegación por defecto para credenciales, secretos y archivos sensibles
• Interceptación de git y gh a nivel de comando: los push a la rama por defecto, los push forzados, las fusiones y los releases se bloquean, las ramas de características permanecen abiertas
• Filtrado de red saliente con registro de auditoría
• Sin Docker, sin VMs. Un único binario que se ejecuta en un portátil bloqueado
• Inicio sin configuración para desarrolladores, con vías de escape cuando una compilación realmente las necesita

Tabla de contenidos

• Inicio rápido
• Qué bloquea
• Cómo se compara cplt
• Instalación
• Uso
• Configuración
• Arquitectura
• Seguridad
• Red y proxy
• Guardas de comandos
• Impactos conocidos
• Limitaciones
• Contribuir
• Referencias

Documentación detallada: Configuración · Proxy y filtrado de dominios · Guarda del comando gh · Guarda del comando git · Impactos conocidos · Detalles de seguridad · Modelo de seguridad

Inicio rápido

brew install navikt/tap/cplt   # macOS. On Debian or Ubuntu, see apt below
cplt --shell-install        # make 'copilot' run sandboxed (persistent)
                            # --agent opencode for any other agent
cplt doctor                 # check your environment
cplt -- -p "fix the tests"  # run Copilot in sandbox

Otros agentes y comandos de sandbox:

cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

Despliegue en equipo

# 1. Generate per-repo policy
cplt init --write

# 2. Developers approve on first run
cplt trust accept --all

# 3. Tune the command guards (both block by default)
cplt config set git_guard.protect_default_branch_only false # block every push, not just main
cplt config set git_guard.mode warn                         # observe instead of blocking

Qué bloquea

El sandbox bloquea el acceso a credenciales y secretos en el kernel. Los guardas de comandos bloquean operaciones destructivas. Cada restricción se aplica al agente y a cada proceso que este genera.