Aegis

Le sandbox de Claude Code permet par défaut à un agent de lire vos clés SSH et vos identifiants AWS. Aegis, non.

Deux couches, toutes deux vérifiées sur du matériel réel.

Sandbox noyau — le shell de l'agent lui-même ne peut pas atteindre un chemin refusé :

$ ! cat ~/.ssh/id_rsa
cat: /Users/you/.ssh/id_rsa: Operation not permitted

$ ! cat ~/.aws/credentials
cat: /Users/you/.aws/credentials: Operation not permitted

$ tail ~/Library/Application\ Support/Aegis/denials.log
kernel denied file-read-data /Users/you/.ssh/id_rsa to cat(pid 41560)
kernel denied file-read-data /Users/you/.aws/credentials to cat(pid 42180)

Proxy MCP — même outil, même fichier, avec et sans Aegis devant :

direct to the server:   allowed: TOKEN=proof-env-secret
through aegis proxy:    AEGIS DENIED: read_text_file
                        Reason: path matches deny rule '.env'
                        Rule: deny_paths

Ce qu'il fait

Se place entre votre agent de codage IA et votre machine :

• Refus par défaut sur chaque appel d'outil
• Sandbox noyau sur les sous-processus — cat .env ne peut pas le contourner
• Journal d'audit inviolable — chaîné par hachage, intégrité vérifiée par aegis doctor, et checkpointé depuis l'extérieur du sandbox sous une clé que le sandbox ne peut ni lire ni écrire
• Requêtes sortantes vérifiées avant d'être émises
• Les secrets n'atteignent jamais le serveur MCP

Installation (macOS Apple Silicon)

Nouveau ici ? docs/getting-started.md est le parcours pas à pas, y compris les deux questions dont la réponse par défaut est Non.

Vous avez suivi des instructions antérieures qui mentionnaient aegis-mcp ? Ce paquet n'est pas Aegis — c'est un projet sans rapport installé sous le même nom d'import, aegis. Désinstallez-le d'abord :

python3 -m pip uninstall aegis-mcp

Si aegis-sandbox est déjà installé, cette désinstallation supprime aussi deux de ses fichiers, donc réinstallez-le ensuite : python3 -m pip install --force-reinstall aegis-sandbox.

python3 -m pip install aegis-sandbox
aegis init      # detects Claude Code / Cursor, asks a few questions
aegis doctor    # proves the boundary is actually in place

Mise à niveau ? Relancez aegis init. Votre policy.json vous appartient et n'est jamais réécrit dans votre dos, donc un nouveau domaine de sandbox n'apparaît pas tout seul — et sans le point de terminaison de jeton OAuth, un client sandboxé cesse de fonctionner lorsque son jeton expire. aegis init propose les nouveaux hôtes ; accepter se fait en une frappe.

Ce qu'il ne fait PAS

• N'arrête pas l'injection de prompt
• Une évasion du noyau met le sandbox en échec
• La base de données d'audit reste inscriptible depuis l'intérieur du sandbox. Les checkpoints rendent la falsification de l'historique déjà checkpointé détectable — pas impossible, et les lignes les plus récentes ne sont pas encore couvertes
• Un client sandboxé ne peut pas se connecter du tout. Connectez-vous à Claude Code avant aegis init ; aegis doctor échoue si un client encapsulé n'est pas connecté
• Un client sandboxé ne peut pas renouveler un jeton de connexion expiré — exécutez-le une fois hors du sandbox pour le rafraîchir
• Le sandbox peut toujours lire votre jeton OAuth depuis le Keychain
• Les résultats d'outils dépassant 16 MiB sont refusés
• Aucune revue de sécurité externe, aucune certification
• Audité par personne d'autre que moi — le code source complet est livré comme sdist sur PyPI ; lisez-le, c'est pour ça que c'est sous MIT

Modèle de menace complet : THREAT-MODEL.md

Licence

MIT