cplt

Bac à sable appliqué par le noyau pour les agents de codage IA. cplt encapsule GitHub Copilot CLI, OpenCode, Gemini CLI, Antigravity CLI, Pi, Claude Code, goose, DeepSeek Harness, ou n'importe quel shell, afin que l'agent puisse écrire du code mais ne puisse pas voler des identifiants, pousser vers main, fusionner des PR, ou exfiltrer des secrets.

• macOS : Apple Seatbelt/SBPL via sandbox-exec
• Linux : Landlock LSM + seccomp-BPF + isolation optionnelle par namespace Bubblewrap (noyau 5.13+, filtrage réseau complet sur 6.7+)
• Windows : aucun support natif. Il n'existe pas de backend de bac à sable Windows. Exécutez cplt dans WSL2, où il s'agit d'une installation Linux ordinaire et où le noyau Microsoft fournit Landlock. Voir Configuration Windows (WSL2).

Pourquoi cplt ?

Les agents IA exécutent du code arbitraire. Un agent compromis, que ce soit par injection de prompt, attaque de la chaîne d'approvisionnement, ou serveur MCP malveillant, peut lire ~/.ssh, pousser vers main, fusionner des PR, ou exfiltrer votre code, à moins que l'OS lui-même ne dise non.

cplt vous offre une application au niveau du noyau avec une politique configurable par équipe :

• Politique par dépôt dans .cplt.toml, versionnée dans le contrôle de version, donc infalsifiable et auditable
• Refus par défaut pour les identifiants, secrets, et fichiers sensibles
• Interception git et gh au niveau des commandes : les poussées vers la branche par défaut, les force pushes, les fusions, et les releases sont bloqués, les branches de fonctionnalité restent ouvertes
• Filtrage réseau sortant avec un journal d'audit
• Pas de Docker, pas de VM. Un seul binaire qui tourne sur un ordinateur portable verrouillé
• Démarrage sans configuration pour les développeurs, avec des échappatoires lorsqu'un build en a réellement besoin

Table des matières

• Démarrage rapide
• Ce qu'il bloque
• Comment cplt se compare
• Installation
• Utilisation
• Configuration
• Architecture
• Sécurité
• Réseau et proxy
• Gardes de commandes
• Impacts connus
• Limitations
• Contribution
• Références

Documentation détaillée : Configuration · Proxy & filtrage de domaines · Garde de commande gh · Garde de commande git · Impacts connus · Détails de sécurité · Modèle de sécurité

Démarrage rapide

brew install navikt/tap/cplt   # macOS. On Debian or Ubuntu, see apt below
cplt --shell-install        # make 'copilot' run sandboxed (persistent)
                            # --agent opencode for any other agent
cplt doctor                 # check your environment
cplt -- -p "fix the tests"  # run Copilot in sandbox

Autres agents et commandes sandbox :

cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

Déploiement en équipe

# 1. Generate per-repo policy
cplt init --write

# 2. Developers approve on first run
cplt trust accept --all

# 3. Tune the command guards (both block by default)
cplt config set git_guard.protect_default_branch_only false # block every push, not just main
cplt config set git_guard.mode warn                         # observe instead of blocking

Ce qu'il bloque

Le bac à sable bloque l'accès aux identifiants et aux secrets dans le noyau. Les gardes de commandes bloquent les opérations destructrices. Chaque restriction s'applique à l'agent et à chaque processus qu'il engendre.