cplt

Sandbox applicato a livello di kernel per agenti di coding AI. cplt avvolge GitHub Copilot CLI, OpenCode, Gemini CLI, Antigravity CLI, Pi, Claude Code, goose, DeepSeek Harness o qualsiasi shell, così che l'agente possa scrivere codice ma non possa rubare credenziali, fare push su main, effettuare merge di PR o esfiltrare segreti.

• macOS: Apple Seatbelt/SBPL tramite sandbox-exec
• Linux: Landlock LSM + seccomp-BPF + isolamento opzionale dello spazio dei nomi con Bubblewrap (kernel 5.13+, filtro di rete completo su 6.7+)
• Windows: nessun supporto nativo. Non esiste un backend sandbox per Windows. Esegui cplt all'interno di WSL2, dove è una normale installazione Linux e il kernel Microsoft include Landlock. Vedi Configurazione Windows (WSL2).

Perché cplt?

Gli agenti AI eseguono codice arbitrario. Un agente compromesso, sia tramite prompt injection, un attacco alla supply chain o un server MCP malevolo, può leggere ~/.ssh, fare push su main, effettuare merge di PR o esfiltrare il tuo codice, a meno che il sistema operativo stesso non lo impedisca.

cplt ti offre applicazione a livello di kernel con policy configurabili dal team:

• Policy per repository in .cplt.toml, versionata nel controllo del codice sorgente, così è a prova di manomissione e verificabile
• Negazione predefinita per credenziali, segreti e file sensibili
• Intercettazione di git e gh a livello di comando: i push sul branch predefinito, i force push, i merge e le release sono bloccati, i branch di funzionalità restano aperti
• Filtro del traffico di rete in uscita con log di audit
• Niente Docker, niente VM. Un singolo binario che gira su un laptop blindato
• Avvio senza configurazione per gli sviluppatori, con vie di fuga quando una build ne ha davvero bisogno

Indice

• Avvio rapido
• Cosa blocca
• Confronto di cplt
• Installazione
• Utilizzo
• Configurazione
• Architettura
• Sicurezza
• Rete e proxy
• Guardie dei comandi
• Impatti noti
• Limitazioni
• Contribuire
• Riferimenti

Documentazione dettagliata: Configurazione · Proxy e filtro dei domini · Guardia del comando gh · Guardia del comando git · Impatti noti · Dettagli sulla sicurezza · Modello di sicurezza

Avvio rapido

brew install navikt/tap/cplt   # macOS. On Debian or Ubuntu, see apt below
cplt --shell-install        # make 'copilot' run sandboxed (persistent)
                            # --agent opencode for any other agent
cplt doctor                 # check your environment
cplt -- -p "fix the tests"  # run Copilot in sandbox

Altri agenti e comandi sandbox:

cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

Implementazione del team

# 1. Generate per-repo policy
cplt init --write

# 2. Developers approve on first run
cplt trust accept --all

# 3. Tune the command guards (both block by default)
cplt config set git_guard.protect_default_branch_only false # block every push, not just main
cplt config set git_guard.mode warn                         # observe instead of blocking

Cosa blocca

La sandbox blocca l'accesso a credenziali e segreti nel kernel. Le protezioni dei comandi bloccano le operazioni distruttive. Ogni restrizione si applica all'agente e a ogni processo che genera.