clawpatrol

एजेंटों के लिए सुरक्षा फ़ायरवॉल।

क्ला पैट्रोल आपके एजेंटों और प्रोड के बीच बैठता है, वायर पर उनके ट्रैफ़िक को पार्स करता है, और प्रत्येक कार्रवाई को HCL में आपके द्वारा लिखे गए नियमों के खिलाफ गेट करता है। उदाहरण के लिए, आप विनाशकारी SQL को ब्लॉक कर सकते हैं, या kubectl delete pod को तब तक रोक सकते हैं जब तक कोई मानव इसे अनुमोदित न करे, इससे पहले कि अनुरोध कुबरनेटीज़ तक पहुंचे। पूर्ण अवलोकन के लिए देखें clawpatrol.dev।

इंस्टॉल करें

curl -fsSL https://clawpatrol.dev/install.sh | sh

स्रोत से: make (Go और Node.js आवश्यक है)।

एक नियम

हमारे अपने प्रोडक्शन कॉन्फिग का एक वास्तविक नियम:

rule "k8s-no-secrets" {
  endpoint  = k8s-prod
  condition = "k8s.resource == 'secrets'"
  verdict   = "deny"
  reason    = "Secret values must not leave the cluster via the agent"
}

शर्तें CEL एक्सप्रेशन हैं जो वायर-लेवल तथ्यों पर आधारित हैं जो गेटवे प्रति प्रोटोकॉल निकालता है: Postgres / ClickHouse के लिए SQL क्रियाएँ और तालिका नाम, Kubernetes के लिए resource / verb / namespace, HTTP के लिए method / path / headers / body। तथ्यों का पूरा सेट कॉन्फिग संदर्भ में है।

चलाएँ

तीन डिप्लॉयमेंट आकार; जो भी उपयुक्त हो चुनें।

clawpatrol gateway config.hcl   # run the proxy itself
clawpatrol join <gateway-url>   # join a gateway
clawpatrol run claude           # wrap one agent's process tree

clawpatrol run Linux (नेटNS के माध्यम से) या macOS (NetworkExtension के माध्यम से) पर प्रति-प्रक्रिया सुरंग खोलता है; केवल लपेटे गए कमांड का ट्रैफ़िक गेटवे से होकर जाता है। clawpatrol join एक WireGuard सुरंग लाता है जो पूरे होस्ट को रूट करता है। clawpatrol gateway प्रॉक्सी है: एक एकल बाइनरी जो आपकी HCL कॉन्फिग लोड करता है और WireGuard या Tailscale के माध्यम से टनलिंग करने वाले क्लाइंट्स को स्वीकार करता है।

कॉन्फ़िगर करें

clawpatrol.dev/docs/getting-started एक पहले कॉन्फ़िग को एंड-टू-एंड समझाता है। clawpatrol.dev/docs/config-reference ऑटो-जनरेटेड फ़ील्ड संदर्भ है। एनोटेटेड शुरुआती टेम्पलेट के लिए gateway.example.hcl देखें।

लाइसेंस

MIT. देखें LICENSE.md।