Aegis

O sandbox do Claude Code permite que um agente leia suas chaves SSH e credenciais da AWS por padrão. O Aegis não.

Duas camadas, ambas verificadas em hardware real.

Sandbox de kernel — o próprio shell do agente não consegue acessar um caminho negado:

$ ! cat ~/.ssh/id_rsa
cat: /Users/you/.ssh/id_rsa: Operation not permitted

$ ! cat ~/.aws/credentials
cat: /Users/you/.aws/credentials: Operation not permitted

$ tail ~/Library/Application\ Support/Aegis/denials.log
kernel denied file-read-data /Users/you/.ssh/id_rsa to cat(pid 41560)
kernel denied file-read-data /Users/you/.aws/credentials to cat(pid 42180)

Proxy MCP — mesma ferramenta, mesmo arquivo, com e sem o Aegis na frente:

direct to the server:   allowed: TOKEN=proof-env-secret
through aegis proxy:    AEGIS DENIED: read_text_file
                        Reason: path matches deny rule '.env'
                        Rule: deny_paths

Novidades na 0.9.0

Cada linha é respaldada por um teste executado nesta versão; onde algo ainda não foi testado, isso é indicado.

• aegis workspace add / remove / list — altera em quais pastas o agente pode trabalhar sem editar o policy.json. Adicionar sempre exige --confirm-grant; remover nunca exige. add recusa seu diretório home, qualquer coisa que contenha os próprios arquivos do Aegis, um caminho com .., uma pasta que não existe, um symlink dentro de um workspace e um workspace dentro ou ao redor de outro. Toda alteração é registrada no log de auditoria e regenera o perfil do sandbox. Uma sessão já em execução mantém os workspaces com os quais começou — incluindo um que você acabou de remover — medido em relação a uma sessão em sandbox ativa.
• Duas formas de ampliar o acesso, fechadas. Na 0.8.1, um symlink plantado dentro de um workspace podia ser transformado em um novo workspace com aegis policy set-folder, concedendo acesso onde quer que o link apontasse; e um workspace criado dentro de outro podia depois ser trocado por um symlink e seguido na próxima inicialização. Ambos foram reproduzidos na 0.8.1 e agora são testes de regressão permanentes comprovadamente falhos ali.
• Caminhos relativos em policy.json são recusados. Um caminho relativo era resolvido em relação à pasta a partir da qual o Aegis foi iniciado, então aegis run e o wrapper de inicialização podiam impor sandboxes diferentes a partir de uma mesma policy (medido: digests de perfil diferentes). Os caminhos devem ser absolutos ou começar com ~/.
• Toda alteração de policy regenera o perfil do sandbox, então aegis doctor não reporta mais uma divergência entre uma edição e a próxima inicialização.
• Uma saída para quando o Claude Code não consegue fazer login dentro do sandbox. aegis run e aegis doctor imprimem o caminho real do Claude Code — lido do wrapper que o Aegis escreveu — e /login, para executar fora do sandbox. Não corrigido: um token revogado ou expirado ainda aparece como logado até a primeira mensagem falhar (o status do Claude Code não reporta expiração), e o login ainda não pode acontecer dentro do sandbox; isso exige um broker de credenciais que ainda não existe.
• aegis init protege um novo usuário que ainda não fez login. Descoberto ao seguir o walkthrough em um ambiente limpo: na 0.8.1, um Claude Code que nunca havia feito login ficava sem wrapper por padrão, atrás de uma pergunta que a documentação nunca mencionava, então claude permanecia fora do sandbox. Agora, depois que você responde sim ao sandboxing, ele recebe o wrapper, com um aviso destacado para fazer login uma vez fora do sandbox (o caminho real do Claude Code, depois /login); os passos finais do aegis init colocam isso em primeiro lugar, e aegis doctor falha até que você o faça. A mesma execução também corrigiu o texto de abertura e encerramento do init, unificou a instrução de login de aegis init, aegis run e aegis doctor, e impediu que uma alteração sem efeito imprimisse nothing to change (nothing to change).
• As permissões de pasta dizem o que realmente alcançam. Ask se aplica apenas a chamadas de ferramentas MCP; as ferramentas de arquivo e o shell do próprio Claude Code são decididos pelo sandbox, que trata leitura e escrita separadamente — medido, na tabela em docs/getting-started.md. Deny agora bloqueia leitura além de escrita, inclusive para uma pasta em nenhum workspace, e recusa uma pasta que contenha os próprios arquivos do Aegis.
• Harness de testes: a proteção que mantém as execuções de teste longe da sua instalação real não falha mais aleatoriamente enquanto uma sessão em sandbox está em execução. Ela atribui as linhas de checkpoint dessa sessão e ainda reporta qualquer outra coisa. (Código de teste, não faz parte do pacote.)

Ainda não testado na 0.9.0: Linux; clientes diferentes do Claude Code; o fluxo de /login de ponta a ponta; um app desktop reconstruído.

O que ele faz

Fica entre o seu agente de programação com IA e a sua máquina:

• Negar por padrão em toda chamada de ferramenta
• Sandbox de kernel em subprocessos — cat .env não consegue contorná-lo
• Log de auditoria à prova de adulteração — encadeado por hash, com integridade verificada por aegis doctor, e com checkpoint feito de fora do sandbox sob uma chave que o sandbox não consegue ler nem escrever
• Requisições de saída verificadas antes de serem feitas
• Segredos nunca chegam ao servidor MCP

Instalação (macOS Apple Silicon)

Novo por aqui? docs/getting-started.md é o caminho passo a passo, incluindo as duas perguntas cujo padrão é Não.

Seguiu instruções anteriores que mencionavam aegis-mcp? Esse pacote não é o Aegis — é um projeto não relacionado instalado sob o mesmo nome de importação, aegis. Remova-o primeiro:

python3 -m pip uninstall aegis-mcp

Se o aegis-sandbox já estiver instalado, essa desinstalação também apaga dois dos seus arquivos, então reinstale-o em seguida: python3 -m pip install --force-reinstall aegis-sandbox.

python3 -m pip install aegis-sandbox
aegis init      # detects Claude Code / Cursor, asks a few questions
aegis doctor    # proves the boundary is actually in place

A atualizar? Execute novamente aegis init. O seu policy.json é seu e nunca é reescrito sem o seu conhecimento, por isso um novo domínio de sandbox não aparece por si só — e sem o endpoint de token OAuth, um cliente em sandbox deixa de funcionar quando o seu token expira. O aegis init oferece os novos hosts; aceitar é uma única tecla.

O que NÃO faz

• Não impede prompt injection
• Uma fuga do kernel derrota a sandbox
• A base de dados de auditoria continua gravável a partir do interior da sandbox. Os checkpoints tornam a adulteração do histórico já verificado por checkpoint detetável — não impossível, e as linhas mais recentes ainda não estão cobertas
• Um cliente em sandbox não consegue iniciar sessão de todo. Inicie sessão no Claude Code antes de aegis init; o aegis doctor falha se um cliente envolvido não tiver sessão iniciada
• Um cliente em sandbox não consegue renovar um token de sessão expirado — execute-o uma vez fora da sandbox para o renovar
• A sandbox ainda consegue ler o seu token OAuth a partir do Keychain
• Resultados de ferramentas maiores que 16 MiB são recusados
• Sem revisão de segurança externa, sem certificações
• Não auditado por mais ninguém além de mim — o código-fonte completo é distribuído como o sdist no PyPI; leia-o, é por isso que é MIT

Modelo de ameaças completo: THREAT-MODEL.md

Licença

MIT