cplt

Sandbox imposto pelo kernel para agentes de codificação com IA. O cplt envolve o GitHub Copilot CLI, OpenCode, Gemini CLI, Antigravity CLI, Pi, Claude Code, goose, DeepSeek Harness, ou qualquer shell, para que o agente possa escrever código mas não possa roubar credenciais, fazer push para a main, fazer merge de PRs ou exfiltrar segredos.

• macOS: Apple Seatbelt/SBPL via sandbox-exec
• Linux: Landlock LSM + seccomp-BPF + isolamento opcional de namespaces com Bubblewrap (kernel 5.13+, filtragem de rede completa no 6.7+)
• Windows: sem suporte nativo. Não existe backend de sandbox para Windows. Execute o cplt dentro do WSL2, onde é uma instalação Linux comum e o kernel da Microsoft inclui o Landlock. Consulte Configuração do Windows (WSL2).

Por que o cplt?

Agentes de IA executam código arbitrário. Um agente comprometido, seja por injeção de prompt, ataque à cadeia de suprimentos ou um servidor MCP malicioso, pode ler ~/.ssh, fazer push para a main, fazer merge de PRs ou exfiltrar seu código, a menos que o próprio sistema operacional diga não.

O cplt oferece imposição em nível de kernel com política configurável pela equipe:

• Política por repositório em .cplt.toml, versionada no controle de versão, portanto à prova de adulteração e auditável
• Negar por padrão para credenciais, segredos e arquivos sensíveis
• Interceptação de git e gh em nível de comando: pushes para o branch padrão, force pushes, merges e releases são bloqueados, branches de feature permanecem abertos
• Filtragem de rede de saída com log de auditoria
• Sem Docker, sem VMs. Um único binário que roda em um laptop com restrições rígidas
• Início sem configuração para desenvolvedores, com válvulas de escape quando um build realmente precisa de uma

Índice

• Início rápido
• O que ele bloqueia
• Como o cplt se compara
• Instalação
• Uso
• Configuração
• Arquitetura
• Segurança
• Rede e proxy
• Guardas de comando
• Impactos conhecidos
• Limitações
• Contribuindo
• Referências

Documentação detalhada: Configuração · Proxy e filtragem de domínio · Guarda do comando gh · Guarda do comando git · Impactos conhecidos · Detalhes de segurança · Modelo de segurança

Início rápido

brew install navikt/tap/cplt   # macOS. On Debian or Ubuntu, see apt below
cplt --shell-install        # make 'copilot' run sandboxed (persistent)
                            # --agent opencode for any other agent
cplt doctor                 # check your environment
cplt -- -p "fix the tests"  # run Copilot in sandbox

Outros agentes e comandos de sandbox:

cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

Implantação em equipe

# 1. Generate per-repo policy
cplt init --write

# 2. Developers approve on first run
cplt trust accept --all

# 3. Tune the command guards (both block by default)
cplt config set git_guard.protect_default_branch_only false # block every push, not just main
cplt config set git_guard.mode warn                         # observe instead of blocking

O que ele bloqueia

O sandbox bloqueia o acesso a credenciais e segredos no kernel. Os guardas de comando bloqueiam operações destrutivas. Todas as restrições aplicam-se ao agente e a todos os processos que ele gera.