Aegis

O sandbox do Claude Code permite que um agente leia suas chaves SSH e credenciais da AWS por padrão. O Aegis não.

Duas camadas, ambas verificadas em hardware real.

Sandbox de kernel — o próprio shell do agente não consegue acessar um caminho negado:

$ ! cat ~/.ssh/id_rsa
cat: /Users/you/.ssh/id_rsa: Operation not permitted

$ ! cat ~/.aws/credentials
cat: /Users/you/.aws/credentials: Operation not permitted

$ tail ~/Library/Application\ Support/Aegis/denials.log
kernel denied file-read-data /Users/you/.ssh/id_rsa to cat(pid 41560)
kernel denied file-read-data /Users/you/.aws/credentials to cat(pid 42180)

Proxy MCP — mesma ferramenta, mesmo arquivo, com e sem o Aegis na frente:

direct to the server:   allowed: TOKEN=proof-env-secret
through aegis proxy:    AEGIS DENIED: read_text_file
                        Reason: path matches deny rule '.env'
                        Rule: deny_paths

O que ele faz

Fica entre o seu agente de codificação com IA e a sua máquina:

• Negar por padrão em toda chamada de ferramenta
• Sandbox de kernel em subprocessos — cat .env não consegue contorná-lo
• Log de auditoria à prova de adulteração — encadeado por hash, com integridade verificada pelo aegis doctor, e com checkpoints feitos de fora do sandbox sob uma chave que o sandbox não consegue ler nem escrever
• Requisições de saída verificadas antes de serem feitas
• Segredos nunca chegam ao servidor MCP

Instalação (macOS Apple Silicon)

Novo por aqui? docs/getting-started.md é o caminho passo a passo, incluindo as duas perguntas que têm "No" como padrão.

Seguiu instruções anteriores que diziam aegis-mcp? Esse pacote não é o Aegis — é um projeto não relacionado instalado sob o mesmo nome de importação, aegis. Remova-o primeiro:

python3 -m pip uninstall aegis-mcp

Se o aegis-sandbox já estiver instalado, essa desinstalação também apaga dois dos seus arquivos, então reinstale-o depois: python3 -m pip install --force-reinstall aegis-sandbox.

python3 -m pip install aegis-sandbox
aegis init      # detects Claude Code / Cursor, asks a few questions
aegis doctor    # proves the boundary is actually in place

Atualizando? Execute aegis init novamente. Seu policy.json é seu e nunca é reescrito pelas suas costas, então um novo domínio de sandbox não aparece sozinho — e sem o endpoint de token OAuth um cliente em sandbox para de funcionar quando seu token expira. O aegis init oferece os novos hosts; aceitar é uma tecla.

O que ele NÃO faz

• Não impede prompt injection
• Uma fuga do kernel derrota o sandbox
• O banco de dados de auditoria ainda é gravável de dentro do sandbox. Os checkpoints tornam a adulteração do histórico já com checkpoint detectável — não impossível, e as linhas mais recentes ainda não estão cobertas
• Um cliente em sandbox não consegue fazer login de forma alguma. Faça login no Claude Code antes do aegis init; o aegis doctor falha se um cliente encapsulado não estiver logado
• Um cliente em sandbox não consegue renovar um token de login expirado — execute-o uma vez fora do sandbox para atualizar
• O sandbox ainda consegue ler seu token OAuth do Keychain
• Resultados de ferramentas maiores que 16 MiB são recusados
• Sem revisão de segurança externa, sem certificações
• Não auditado por ninguém além de mim — o código-fonte completo é distribuído como o sdist no PyPI; leia-o, é por isso que é MIT

Modelo de ameaças completo: THREAT-MODEL.md

Licença

MIT