yolo-cage: 해를 끼치지 않는 자율 코딩 에이전트

당신은 책임감 있는 엔지니어입니다. AI가 가장 민감한 시스템과 코드베이스를 마구 휘젓도록 내버려두지 않을 것입니다.

그렇기에 Claude Code와 같은 도구의 안전 장치를 절대 해제하지 않을 것입니다. 위험한 작업마다 허가를 요청하니까요! 안전합니다!

그래서 당신은 기다립니다. 그리고 응답합니다. 결정 피로가 쌓입니다. 그리고 바로 그때 일이 발생합니다.

에이전트가 전체 저장소를 삭제

권한 프롬프트는 위협 모델의 가장 약한 부분인 피곤한 사용자를 무시합니다. 에이전트의 폭발 반경을 제한하면서 권한을 부여하여 결정을 PR 검토까지 미룰 수 있다면 어떨까요?

그것은 좋을 것입니다! 그리고 그것이 바로 yolo-cage입니다.

탈출 시도 차단됨

사용해보기

curl -fsSL https://github.com/borenstein/yolo-cage/releases/latest/download/yolo-cage -o yolo-cage
chmod +x yolo-cage && sudo mv yolo-cage /usr/local/bin/
yolo-cage build --interactive --up

그런 다음 샌드박스를 만들고 코딩을 시작하세요:

yolo-cage create feature-branch
yolo-cage attach feature-branch   # Attach to agent in tmux

전제 조건: libvirt를 사용하는 Vagrant (Linux) 또는 QEMU (macOS, 실험적), 8GB RAM, 4 CPUs, GitHub PAT (repo 범위), Claude 계정. 자세한 내용은 설정 문서를 참조하세요.

차단되는 것

HTTP/HTTPS 내 비밀 - 이그레스 프록시가 요청 본문, 헤더, URL을 스캔합니다:

sk-ant-*, AKIA*, ghp_*, SSH 개인 키, 일반 자격 증명 패턴

Git 작업 - 디스패처가 브랜치 격리를 시행합니다:

할당된 브랜치를 제외한 모든 브랜치에 푸시
git remote, git clone, git config, git credential

GitHub CLI - 디스패처가 위험한 명령을 차단합니다:

gh pr merge, gh repo delete, gh api

GitHub API - 프록시가 HTTP 계층에서 차단합니다:

PUT /repos/*/pulls/*/merge, DELETE /repos/*, 웹훅 수정

유출 사이트: pastebin.com, file.io, transfer.sh 등

전체 위협 모델은 아키텍처를 참조하세요.

작동 방식

┌──────────────────────────────────────────────────────────────────────────┐
│ Runtime (Vagrant VM + MicroK8s)                                          │
│                                                                          │
│  ┌────────────────────────────────────────────────────────────────────┐  │
│  │ Sandbox                                                            │  │
│  │                                                                    │  │
│  │  Agent (Claude Code in YOLO mode)                                  │  │
│  │       │                                                            │  │
│  │       ├── git/gh ──▶ Dispatcher ──▶ GitHub                         │  │
│  │       │              • Branch isolation enforcement                │  │
│  │       │              • TruffleHog pre-push scanning                │  │
│  │       │                                                            │  │
│  │       └── HTTP/S ──▶ Egress Proxy ──▶ Internet                     │  │
│  │                      • Secret scanning (LLM-Guard)                 │  │
│  │                      • Domain blocklist                            │  │
│  └────────────────────────────────────────────────────────────────────┘  │
│                                                                          │
└──────────────────────────────────────────────────────────────────────────┘

브랜치당 하나의 샌드박스. 에이전트는 할당된 브랜치에만 푸시할 수 있습니다. 모든 아웃바운드 트래픽이 필터링됩니다.

CLI

포트 포워딩

샌드박스 내에서 실행 중인 웹 앱에 접근:

yolo-cage port-forward feature-x 8080           # localhost:8080 → sandbox:8080
yolo-cage port-forward feature-x 9000:3000      # localhost:9000 → sandbox:3000
yolo-cage port-forward feature-x 8080 --bind 0.0.0.0  # LAN accessible

프록시 우회, 훅 및 리소스 제한에 대해서는 설정을 참조하세요.

문서

용어집 - 보편적인 언어 및 용어
아키텍처 - 위협 모델, 설계 근거
설정 - 이그레스 정책, 프록시 우회, 훅
사용자 정의 - 도구 추가, 리소스 제한
보안 감사 - 탈출 테스트 가이드

한계

이는 위험을 줄입니다. 완전히 제거하지는 않습니다.

DNS 유출 - DNS 쿼리에 인코딩된 데이터
타이밍 부채널 - 응답 타이밍을 통해 유출되는 정보
스테가노그래피 - 이미지나 바이너리 데이터에 숨겨진 비밀
정교한 인코딩 - 패턴 매칭 우회

범위가 지정된 자격 증명을 사용하세요. 유출이 치명적일 수 있는 프로덕션 비밀은 사용하지 마십시오. 직접 테스트하려면 보안 감사를 참조하세요.

라이선스

MIT. LICENSE 참조.

`create <branch>`	샌드박스 생성
`attach <branch>`	연결 (tmux에서 Claude)
`shell <branch>`	연결 (bash)
`list`	샌드박스 목록
`delete <branch>`	샌드박스 삭제
`port-forward <branch> <port>`	샌드박스에서 포트 포워딩
`up` / `down`	VM 시작/중지
`upgrade [--rebuild]`	최신 버전으로 업그레이드
`version`	버전 표시

인기

yolo-cage