# 이전 (위험 — 에이전트가 전체 시스템에 접근 가능)
python my_agent.py

# 이후 (샌드박스 내)
agentguard run -- python my_agent.py

┌─────────────────────────────────────────────────────────────┐
│ Layer 0: 파일시스템 감옥 (macOS sandbox-exec)                │
│   커널 수준 강제. 시스템 콜 수준에서 파일 쓰기와 네트워크를    │
│   제한합니다. 에이전트가 사용자 공간에서 우회 불가.            │
│   Python의 open(), requests.post() 등을 차단합니다.          │
├─────────────────────────────────────────────────────────────┤
│ Layer 1: 네트워크 프록시                                    │
│   투명 HTTP/HTTPS 프록시. 에이전트가 만드는 모든 네트워크 호출  │
│   을 정책에 따라 검사합니다. 대상별 허용/거부를 TUI에서         │
│   완전히 확인 가능.                                          │
├─────────────────────────────────────────────────────────────┤
│ Layer 2: PATH 대체 명령                                      │
│   git, pip, curl, rm 등의 명령을 가로채는 셸 스크립트 대체물.  │
│   각 대체 명령은 실제 바이너리를 실행하기 전에 데몬에 허가를   │
│   요청합니다.                                                │
├─────────────────────────────────────────────────────────────┤
│ Layer 3: 정책 엔진 + 승인 데몬                               │
│   YAML 기반 규칙이 가로챈 모든 동작을 평가합니다.             │
│   안전한 명령은 자동 허용, 위험한 명령은 자동 차단,           │
│   나머지는 사람에게 묻습니다.                                │
└─────────────────────────────────────────────────────────────┘

go build -o agentguard ./cmd/agentguard/
go build -o agentguard-check ./cmd/agentguard-check/

agentguard init

agentguard run -- python my_agent.py

agentguard run --headless -- claude

tail -f ~/.agentguard/logs/headless.log

agentguard run [flags] -- <command> [args...]
    --policy <path>     특정 정책 파일 사용
    --headless          TUI 없음 — 에이전트가 터미널 사용
    --default-allow     Headless 모드에서 PROMPT 결정 자동 허용 (기본값: 자동 거부)
    --no-sandbox        sandbox-exec 비활성화 (대체 명령과 프록시는 여전히 활성)

agentguard init         기본 정책 파일 생성
agentguard version      버전 출력

version: 1

deny:
  # 위험한 명령 차단
  - command: "rm"
    args: "-rf *"
    reason: "재귀적 강제 삭제는 너무 위험합니다"
  - command: "sudo"
    args: "*"
    reason: "권한 상승은 허용되지 않습니다"
  - command: "chmod"
    args: "777 *"
    reason: "모든 사용자 쓰기 권한은 위험합니다"

  # 민감한 파일 읽기 차단 (sandbox-exec로 적용)
  - file:
      path: "*.env"
      action: "read"
      reason: "에이전트가 .env 파일을 읽지 못하게 합니다"
  - file:
      path: "*.pem"
      action: "read"
      reason: "에이전트가 개인 키를 읽지 못하게 합니다"

allow:
  # 안전한 읽기 전용 명령
  - command: "ls"
  - command: "cat"
  - command: "pwd"
  - command: "echo"
  - command: "grep"
  - command: "head"
  - command: "tail"
  - command: "wc"

  # 읽기 전용 git
  - command: "git"
    args: "status"
  - command: "git"
    args: "log *"
  - command: "git"
    args: "diff *"

  # 작업 공간에 쓰기 허용
  - file:
      path: "/tmp/workspace/**"
      action: "write"

  # 특정 API 엔드포인트 허용
  - network:
      destination: "api.anthropic.com:443"
  - network:
      destination: "api.github.com:443"

- command: "git"
  args: "push *"
  reason: "푸시는 승인이 필요합니다"

- file:
    path: "*.env"
    action: "read"     # "read" 또는 "write"
    reason: "비밀 보호"

- network:
    destination: "api.anthropic.com:443"

agentguard/
├── cmd/
│   ├── agentguard/              # 메인 CLI 바이너리
│   └── agentguard-check/        # 대체 명령 헬퍼 바이너리
├── internal/
│   ├── policy/                  # 정책 엔진 (YAML 파싱, 규칙 평가)
│   ├── events/                  # 이벤트 시스템 (JSONL 감사 로그, pub/sub)
│   ├── daemon/                  # 중앙 데몬 (Unix 소켓, 승인 큐)
│   │   └── client/              # 대체 명령용 클라이언트 라이브러리
│   ├── shim/                    # 대체 명령 생성기 (PATH 기반 가로채기)
│   ├── proxy/                   # 투명 네트워크 프록시
│   ├── spawner/                 # 오케스트레이션 + macOS 샌드박스 통합
│   └── ui/tui/                  # 터미널 UI (Bubble Tea)
├── configs/
│   └── default_policy.yaml      # 참조 정책 파일
├── .gitignore
├── go.mod
├── LICENSE
└── README.md

{"id":"a1b2c3","timestamp":"2026-03-22T14:30:00Z","session_id":"abc123","source":"shim","command":"git","args":["push","origin","main"],"decision":"deny","decided_by":"human","response_time_ms":3200}
{"id":"d4e5f6","timestamp":"2026-03-22T14:30:01Z","session_id":"abc123","source":"proxy","network_dst":"api.anthropic.com:443","decision":"allow","decided_by":"policy"}

# 오늘 거부된 모든 동작
cat ~/.agentguard/logs/2026-03-22.jsonl | jq 'select(.decision == "deny")'

# 모든 네트워크 요청
cat ~/.agentguard/logs/2026-03-22.jsonl | jq 'select(.source == "proxy")'

# 사람 승인이 필요했던 명령
cat ~/.agentguard/logs/2026-03-22.jsonl | jq 'select(.decided_by == "human")'

go test ./... -race