cplt

AIコーディングエージェント向けのカーネル強制サンドボックス。 cpltはGitHub Copilot CLI、OpenCode、Gemini CLI、Antigravity CLI、Pi、Claude Code、goose、DeepSeek Harness、または任意のシェルをラップし、エージェントがコードを書けるようにしつつ、認証情報の窃取、mainへのプッシュ、PRのマージ、シークレットの持ち出しを防ぎます。

• macOS: sandbox-exec 経由のApple Seatbelt/SBPL
• Linux: Landlock LSM + seccomp-BPF + オプションのBubblewrap名前空間分離（カーネル5.13以降、6.7以降で完全なネットワークフィルタリング）
• Windows: ネイティブサポートなし。Windowsサンドボックスバックエンドは存在しません。WSL2内でcpltを実行してください。そこでは通常のLinuxインストールとなり、MicrosoftカーネルがLandlockを提供します。Windows (WSL2) セットアップを参照してください。

なぜcpltなのか？

AIエージェントは任意のコードを実行します。プロンプトインジェクション、サプライチェーン攻撃、悪意のあるMCPサーバーなどによって侵害されたエージェントは、OS自体が拒否しない限り、~/.sshの読み取り、mainへのプッシュ、PRのマージ、コードの持ち出しが可能です。

cpltはチームで設定可能なポリシーによるカーネルレベルの強制を提供します：

• .cplt.toml内のリポジトリごとのポリシーをバージョン管理にコミットするため、改ざん防止と監査が可能
• 認証情報、シークレット、機密ファイルはデフォルトで拒否
• コマンドレベルのgitおよびgh傍受：デフォルトブランチへのプッシュ、強制プッシュ、マージ、リリースはブロックされ、フィーチャーブランチは開いたまま
• 監査ログ付きのアウトバウンドネットワークフィルタリング
• DockerもVMも不要。ロックダウンされたラップトップで動作する単一バイナリ
• 開発者向けのゼロコンフィグ起動、ビルドが本当に必要とする場合のエスケープハッチ付き

目次

• クイックスタート
• ブロックするもの
• cpltの比較
• インストール
• 使用方法
• 設定
• アーキテクチャ
• セキュリティ
• ネットワークとプロキシ
• コマンドガード
• 既知の影響
• 制限事項
• コントリビューション
• 参考文献

詳細ドキュメント: 設定 · プロキシとドメインフィルタリング · ghコマンドガード · gitコマンドガード · 既知の影響 · セキュリティ詳細 · セキュリティモデル

クイックスタート

brew install navikt/tap/cplt   # macOS. On Debian or Ubuntu, see apt below
cplt --shell-install        # make 'copilot' run sandboxed (persistent)
                            # --agent opencode for any other agent
cplt doctor                 # check your environment
cplt -- -p "fix the tests"  # run Copilot in sandbox

その他のエージェントとサンドボックスコマンド:

cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

チームへの展開

# 1. Generate per-repo policy
cplt init --write

# 2. Developers approve on first run
cplt trust accept --all

# 3. Tune the command guards (both block by default)
cplt config set git_guard.protect_default_branch_only false # block every push, not just main
cplt config set git_guard.mode warn                         # observe instead of blocking

ブロックするもの

サンドボックスはカーネル内の認証情報とシークレットへのアクセスをブロックします。コマンドガードは破壊的な操作をブロックします。すべての制限はエージェントと、それが生成するすべてのプロセスに適用されます。