AgentBox導入前                    AgentBox導入後
─────────────────                  ──────────────
エージェント → フルディスク ❌     エージェント → 許可されたパスのみ ✅
エージェント → 全ネットワーク ❌   エージェント → 許可されたホストのみ ✅
エージェント → 生のシークレット ❌ エージェント → スコープ付きトークン ✅
監査証跡なし ❌                    すべてのアクションを記録 ✅
キルスイッチなし ❌                100ms未満でキル ✅
スキルはrootで実行 ❌             カーネル分離サンドボックス ✅

# インストール
go install github.com/siyad01/agentbox/cmd/agentbox@latest

# 実行前にマニフェストを検証
agentbox validate manifests/email-sorter.yaml

# サンドボックスでエージェントを実行
agentbox run --manifest manifests/email-sorter.yaml python agent.py

# エージェントが行ったことを確認
agentbox audit --log logs/email-sorter-audit.log

# ログが改ざんされていないことを検証
agentbox verify logs/email-sorter-audit.log

# シークレットを管理
agentbox vault add ANTHROPIC_API_KEY
agentbox vault list

name: "email-sorter"
version: "1.0.0"
description: "受信トレイを読み取り、メールを分類し、仕分けフォルダに書き込む"
runtime: docker        # または: gvisor (カーネルレベル), firecracker (MicroVM)

permissions:
  filesystem:
    read:
      - "~/Documents/inbox"
    write:
      - "~/Documents/sorted"
    deny:                      # 読み取りリストにあっても常にブロック
      - "~/.ssh"
      - "~/.aws"
      - "~/.config"
      - "/etc"

  network:
    allow:
      - "api.anthropic.com"
      - "gmail.googleapis.com"
    deny:
      - "*"                    # それ以外はすべてブロック

  tools:
    allow:
      - "read_file"
      - "write_file"
      - "list_*"
    deny:
      - "execute_shell"        # シェルアクセスは一切不可
      - "*_delete"             # 削除ツールは不可

  credentials:
    - ANTHROPIC_API_KEY        # 実行時にボールトから注入
    - GMAIL_TOKEN              # エージェントは生の値を決して見ない

limits:
  max_tokens:    50000         # LLMトークン予算
  max_duration:  "30m"         # 30分後にキル
  max_memory_mb: 256           # RAM上限
  max_requests:  500           # 最大ツール呼び出し回数

audit:
  log_level: full
  alert_on:
    - filesystem_deny
    - network_deny
    - token_budget_80pct
  log_path: "logs/email-sorter-audit.log"

agentbox run --manifest agent.yaml python agent.py
         │
         ▼
┌─────────────────────────────────────────────────────┐
│                 ポリシーエンジン                      │
│  マニフェスト解析 → 許可/拒否リストを構築            │
│  署名を検証 → 未署名スキルを拒否                     │
│  ボールトから認証情報を注入                          │
└──────────────────────┬──────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────┐
│              分離レイヤー                             │
│                                                     │
│  Docker  → コンテナ + seccomp + cap-drop            │
│  gVisor  → ユーザースペースカーネル、システムコール傍受│
│  Firecracker → エージェントごとに専用MicroVMカーネル  │
│                                                     │
│  ファイルシステム: 宣言されたパスのみマウント        │
│  ネットワーク:    宣言されたホストのみ到達可能       │
│  ケーパビリティ: すべて破棄、追加なし                │
└──────────────────────┬──────────────────────────────┘
                       │
          ┌────────────┼────────────┐
          ▼            ▼            ▼
   監査ロガー     認証情報      リソース
   (ハッシュチェーン) ボールト      モニター
   すべてのアクション  AES-256-GCM  自動キル
   を記録            スコープ付きトークン 制限時

エージェントの試み: write("/home/user/.ssh/id_rsa")
                    │
                    ▼
         gVisorユーザースペースカーネル
                    │
         拒否リストにパスがある? → YES
                    │
                    ▼
         EPERMが即座に返される
         ホストカーネルはこのシステムコールを決して見ない
         プロンプトインジェクションはこの層を越えられない

agentbox <command> [options]

コマンド:
  run       サンドボックスでエージェントを実行
  validate  マニフェストファイルを検証
  kill      実行中のエージェントを終了
  audit     エージェントの監査ログを表示
  verify    監査ログの整合性を検証
  vault     暗号化された認証情報を管理
  serve     REST APIサーバーを起動
  version   バージョンを表示

例:
  agentbox validate manifests/email-sorter.yaml
  agentbox run --manifest manifests/email-sorter.yaml python agent.py
  agentbox kill agent-abc123
  agentbox audit --log logs/email-sorter.log --deny
  agentbox audit --log logs/email-sorter.log --last 1h
  agentbox verify logs/email-sorter.log
  agentbox vault add ANTHROPIC_API_KEY
  agentbox vault list
  agentbox vault delete OLD_KEY
  agentbox serve :8081

# 実行中のエージェントを一覧表示
curl http://localhost:8081/api/agents

# エージェントを起動
curl -X POST http://localhost:8081/api/agents \
  -H "Content-Type: application/json" \
  -d '{"manifest":"manifests/email-sorter.yaml","command":["python","agent.py"]}'

# エージェントをキル
curl -X DELETE http://localhost:8081/api/agents/abc123

# 監査ログを照会
curl "http://localhost:8081/api/audit?deny=true&agent=email-sorter"

{"id":1,"hash":"a3f2...","prev_hash":"genesis","timestamp":"2026-05-05T09:00:00Z","agent_id":"abc123","agent_name":"email-sorter","event_type":"agent_start","allowed":true,"resource":"manifests/email-sorter.yaml"}
{"id":2,"hash":"b7c1...","prev_hash":"a3f2...","timestamp":"2026-05-05T09:00:01Z","agent_id":"abc123","agent_name":"email-sorter","event_type":"filesystem_allow","allowed":true,"resource":"read:/home/user/Documents/inbox/mail.txt","rule":"filesystem.read: ~/Documents/inbox"}
{"id":3,"hash":"d9e4...","prev_hash":"b7c1...","timestamp":"2026-05-05T09:00:01Z","agent_id":"abc123","agent_name":"email-sorter","event_type":"filesystem_deny","allowed":false,"resource":"read:/home/user/.ssh/id_rsa","rule":"filesystem.deny: ~/.ssh","reason":"path is explicitly denied"}

agentbox verify logs/email-sorter-audit.log

✅ 監査ログは無傷です
   エントリ: 47 (ID 1–47)
   ハッシュチェーン: 途切れなし

# シークレットを保存（ログに記録されず、環境変数に平文で置かれない）
agentbox vault add ANTHROPIC_API_KEY

# 保存された認証情報名を一覧表示（値は決して表示されない）
agentbox vault list

# 認証情報が復号できることを検証
agentbox vault test ANTHROPIC_API_KEY

# 認証情報をローテーション
agentbox vault add ANTHROPIC_API_KEY   # addは既存を更新

# このエージェントは max_duration: 5s で設定されています
agentbox run --manifest manifests/timeout-test.yaml python long_running_agent.py

Agent started
tick 1
tick 2
tick 3
tick 4
tick 5
🛑 Killing agent timeout-test: duration limit exceeded: 5s
⚠️  Agent timeout-test exited code 137 in 5.2s

# クローン
git clone https://github.com/siyad01/agentbox
cd agentbox

# ビルド
go build -o agentbox ./cmd/agentbox/

# テストを実行（27テスト、すべて成功）
go test ./...

# グローバルにインストール
go install ./cmd/agentbox/

agentbox/
├── cmd/agentbox/main.go          ← CLIエントリポイント
├── internal/
│   ├── policy/
│   │   ├── manifest.go           ← YAMLマニフェストスキーマ
│   │   ├── parser.go             ← 検証 + デフォルト値
│   │   └── engine.go             ← 拒否優先の決定エンジン（20テスト）
│   ├── audit/
│   │   ├── logger.go             ← 追記専用SHA-256ハッシュチェーンログ
│   │   ├── verifier.go           ← 改ざん検知
│   │   └── reader.go             ← 照会 + フィルタ
│   ├── vault/
│   │   ├── store.go              ← AES-256-GCM暗号化認証情報ストア
│   │   └── injector.go           ← 実行時注入（7テスト）
│   ├── sandbox/
│   │   ├── sandbox.go            ← Sandboxインターフェース
│   │   ├── docker.go             ← Dockerバックエンド
│   │   ├── gvisor.go             ← gVisorバックエンド（カーネルレベル）
│   │   ├── manager.go            ← エージェントライフサイクル管理
│   │   └── util.go               ← WSL2検出、パスヘルパー
│   ├── monitor/
│   │   └── enforcer.go           ← リソース制限 + 自動キル
│   └── api/
│       └── server.go             ← :8081のREST API
└── manifests/
    ├── email-sorter.yaml         ← 本番用の例
    └── timeout-test.yaml         ← 制限強制の例