Aegis

La sandbox di Claude Code consente a un agente di leggere le tue chiavi SSH e le credenziali AWS per impostazione predefinita. Aegis no.

Due livelli, entrambi verificati su hardware reale.

Sandbox del kernel — la shell dell'agente stesso non può raggiungere un percorso negato:

$ ! cat ~/.ssh/id_rsa
cat: /Users/you/.ssh/id_rsa: Operation not permitted

$ ! cat ~/.aws/credentials
cat: /Users/you/.aws/credentials: Operation not permitted

$ tail ~/Library/Application\ Support/Aegis/denials.log
kernel denied file-read-data /Users/you/.ssh/id_rsa to cat(pid 41560)
kernel denied file-read-data /Users/you/.aws/credentials to cat(pid 42180)

Proxy MCP — stesso strumento, stesso file, con e senza Aegis davanti:

direct to the server:   allowed: TOKEN=proof-env-secret
through aegis proxy:    AEGIS DENIED: read_text_file
                        Reason: path matches deny rule '.env'
                        Rule: deny_paths

Cosa fa

Si colloca tra il tuo agente di coding AI e la tua macchina:

• Nega per impostazione predefinita ogni chiamata a uno strumento
• Sandbox del kernel sui sottoprocessi — cat .env non può aggirarla
• Log di audit a prova di manomissione — con catena di hash, integrità verificata da aegis doctor, e checkpoint dall'esterno della sandbox con una chiave che la sandbox non può leggere né scrivere
• Richieste in uscita controllate prima di essere effettuate
• I segreti non raggiungono mai il server MCP

Installazione (macOS Apple Silicon)

Nuovo qui? docs/getting-started.md è il percorso passo passo, incluse le due domande che per impostazione predefinita hanno risposta No.

Hai seguito istruzioni precedenti che dicevano aegis-mcp? Quel pacchetto non è Aegis — è un progetto non correlato installato con lo stesso nome di import, aegis. Rimuovilo prima:

python3 -m pip uninstall aegis-mcp

Se aegis-sandbox è già installato, quella disinstallazione elimina anche due dei suoi file, quindi reinstallalo dopo: python3 -m pip install --force-reinstall aegis-sandbox.

python3 -m pip install aegis-sandbox
aegis init      # detects Claude Code / Cursor, asks a few questions
aegis doctor    # proves the boundary is actually in place

Stai aggiornando? Riesegui aegis init. Il tuo policy.json è tuo e non viene mai riscritto alle tue spalle, quindi un nuovo dominio sandbox non compare da solo — e senza l'endpoint del token OAuth un client in sandbox smette di funzionare quando il suo token scade. aegis init propone i nuovi host; accettare richiede un tasto.

Cosa NON fa

• Non ferma il prompt injection
• Una fuga dal kernel sconfigge la sandbox
• Il database di audit è ancora scrivibile dall'interno della sandbox. I checkpoint rendono rilevabile la manomissione della cronologia già sottoposta a checkpoint — non impossibile, e le righe più recenti non sono ancora coperte
• Un client in sandbox non può effettuare il login. Accedi a Claude Code prima di aegis init; aegis doctor fallisce se un client incapsulato non ha effettuato l'accesso
• Un client in sandbox non può rinnovare un token di login scaduto — eseguilo una volta fuori dalla sandbox per aggiornarlo
• La sandbox può comunque leggere il tuo token OAuth dal Keychain
• I risultati degli strumenti più grandi di 16 MiB vengono rifiutati
• Nessuna revisione di sicurezza esterna, nessuna certificazione
• Non verificato da nessuno tranne me — il codice sorgente completo è distribuito come sdist su PyPI; leggilo, è per questo che è MIT

Modello di minaccia completo: THREAT-MODEL.md

Licenza

MIT