rderaison/bromureSandboxing adequado para codificação por agentes e navegação na web
<p align="center"> <img src="https://assets.kitploit.com/production/public/readmes/12434/34941ab5b4f1bafbb04da6cb0f3c974b96fb7d4e24eed8262c7c52d88db550dc.png" width="128" height="128" alt="Ícone do Bromure"> <img src="https://assets.kitploit.com/production/public/readmes/12434/bc6a2ba75157aec6eac22ffc30fe246e2731fb36148f1553060ad9cb39086139.png" width="128" height="128" alt="Ícone do Bromure Agentic Coding"> </p> <h1 align="center">Bromure</h1> <p align="center"> Computação segura e efêmera em VMs Linux descartáveis no macOS. </p> <h2 align="center"> → Detalhes completos, capturas de tela e downloads em <a href="https://bromure.io">bromure.io</a> </h2> --- Este repositório disponibiliza dois aplicativos irmãos, ambos construídos sobre o [Virtualization.framework](https://developer.apple.com/documentation/virtualization) da Apple: - **Bromure** — cada sessão de navegador é executada em uma VM Linux descartável. Feche a janela e a VM é destruída. - **Bromure Agentic Coding** — um ambiente em sandbox para agentes de codificação com IA (Claude Code, Codex, Grok, Kimi Code, Oh My Pi). Um proxy MITM no lado do host substitui credenciais falsas pelas reais durante a transmissão, para que os segredos nunca entrem na VM, e depois adiciona verificação da cadeia de suprimentos, detecção de injeção de prompt, proteção de PII, um painel multimodelo, inferência local e acesso remoto — tudo aplicado nessa única fronteira. <details> <summary><strong>Como o Bromure Agentic Coding se compara</strong></summary> Isolamento, manter segredos fora do agente, delimitar o seu uso, verificar a cadeia de suprimentos, detectar injeção de prompt: a maioria das ferramentas escolhe uma. O Bromure faz as cinco numa única fronteira e depois acrescenta o que um corretor de segredos nunca conseguiria: um painel de modelos, inferência local e uma forma de acesso a partir de qualquer lugar. Aqui está o mesmo modelo de ameaças aplicado às ferramentas que as pessoas costumam usar, e onde cada uma para. Uma matriz de funcionalidades mais detalhada está disponível em [bromure.io/en/feature-matrix](https://bromure.io/en/feature-matrix). | Proteção | Dev Container<br><sub>VS Code</sub> | nono<br><sub>sandbox de kernel</sub> | agent-vault<br><sub>octokraft</sub> | Agent Vault<br><sub>Infisical</sub> | Docker Sandboxes<br><sub>microVM</sub> | Capsem<br><sub>VM isolada da rede</sub> | **Bromure**<br><sub>Agentic Coding</sub> | | --- | --- | --- | --- | --- | --- | --- | --- | | **Segurança** | | | | | | | | | **Fronteira de isolamento**<br><sub>Onde o raio de impacto termina</sub> | 🟡 Mesmo contêiner, kernel compartilhado | 🟡 Listas de permissão do kernel, sem kernel próprio | ❌ O agente é executado no local | ❌ Apenas proxy; agente sem sandbox | ✅ microVM, kernel próprio | ✅ VM de hardware, kernel próprio | ✅ VM de hardware, kernel próprio | | **Manter segredos fora do agente**<br><sub>Ele consegue ler a credencial real?</sub> | ❌ Encaminha o agente SSH + credenciais git | 🟡 Bloqueia arquivos de chave; faz proxy de alguns | ✅ Injetado por pipe; sem caminho de leitura | ✅ O proxy anexa durante a transmissão | ✅ O proxy do host injeta cabeçalhos | ❌ Chaves de API reais residem na VM | ✅ Stub substituído durante a transmissão | | **Âmbito e aprovação de credenciais**<br><sub>Limites por uso, somente leitura, expiração, consentimento</sub> | ❌ Sem delimitação por uso | 🟡 Fluxo de aprovação + filtro de saída | 🟡 TTL por segredo; bloqueia shells | 🟡 Filtro de saída por endpoint | 🟡 Lista de permissão de domínios; o código na VM ainda pode usá-lo | 🟡 Regras de saída por domínio + método/caminho | ✅ Consentimento por destino + TTL | | **Verificação da cadeia de suprimentos**<br><sub>Detetar pacotes maliciosos / vulneráveis</sub> | ❌ Sem verificação de registo | ❌ Apenas assinatura, sem verificação de pacotes | ❌ Fora do âmbito | ❌ Fora do âmbito | ❌ Sem verificação de pacotes | ❌ Sem verificação de pacotes | ✅ Age-gate, OSV, socket.dev, Depi | | **Deteção de injeção de prompt**<br><sub>Verificação de conteúdo não confiável e ficheiros de regras</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ PromptGuard + ModernBERT | | **Proteção de PII**<br><sub>Manter dados pessoais fora do fornecedor do modelo</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Substituído no dispositivo, restaurado nas respostas | | **Registo de auditoria**<br><sub>Registar o que o agente fez</sub> | ❌ Apenas registos do contêiner | 🟡 Auditoria local imutável | ❌ | 🟡 Registo de pedidos | 🟡 Registo de pedidos | 🟡 Corpos HTTP completos em SQLite | ✅ Rastreio completo da sessão, encriptado | | **Inventário da cadeia de suprimentos** <sub>(Enterprise)</sub><br><sub>Um registo de cada pacote obtido</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Cada dependência + veredicto, pesquisável | | **Produtividade** | | | | | | | | | **Equipas de agentes**<br><sub>Vários agentes numa tarefa, a comunicar entre si</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Salas, Switchboard, delegação com @ | | **Uso de tokens** <sub>(Enterprise)</sub><br><sub>Que ficheiros consomem mais tokens</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Por ficheiro, repositório e modelo | | **Fusão multimodelo**<br><sub>Um painel de modelos, avaliado e sintetizado</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Painel + juiz, durante a transmissão | | **Automações**<br><sub>Execuções do agente por agendamento ou em eventos do GitHub / Linear</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Agendamento, GitHub, Linear, encadeado | | **Modelos locais**<br><sub>Qualquer fornecedor, ou inferência no seu próprio hardware</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ MLX no dispositivo + qualquer fornecedor | | **Kubernetes local**<br><sub>Clusters e registos junto ao sandbox</sub> | 🟡 DIY via Docker-in-Docker | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Clusters k3s + registo privado | | **Navegador agêntico**<br><sub>Um navegador que o agente controla para testar o seu trabalho</sub> | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ✅ Chromium isolado, controlado pelo agente | | **Acesso a partir de qualquer lugar**<br><sub>Ligar-se ao sandbox remotamente</sub> | 🟡 VS Code remoto | ❌ | ❌ | ❌ | 🟡 docker exec, local | ❌ | ✅ Mac, iPhone, iPad, CLI ou SSH | ✅ Completo — integrado, aplicado · 🟡 Parcial — limitado ou opcional · ❌ Nenhum — não abordado > Esconder um token não é o mesmo que governar o seu uso. O Docker Sandboxes mantém o valor bruto fora da VM — mas o seu proxy ainda anexa essa credencial a qualquer pedido de saída que o sandbox faça, pelo que um pacote comprometido instalado ao lado pode gastá-la contra um domínio na lista de permissões sem nunca a ver. Apenas o Bromure verifica o pacote antes de ser executado e controla cada uso — consentimento, somente leitura, um TTL — aplicando os cinco controlos numa única fronteira que o agente não consegue contornar. É nessa mesma fronteira que a Fusão, a inferência local e o acesso remoto se ligam. <sub>Compilado a partir da documentação pública de cada projeto, junho de 2026. Aqui, agent-vault refere-se a [octokraft/agent-vault](https://octokraft.github.io/agent-vault/) (injeção de segredos baseada em pipe), distinto do Agent Vault da Infisical (proxy de credenciais HTTP). O Docker Sandboxes é uma pré-visualização experimental cujas credenciais intermediadas permanecem utilizáveis por qualquer coisa dentro da VM. O inventário de pacotes de toda a frota e os resumos de uso de tokens do Bromure são apresentados no Bromure Enterprise Manager. Estas ferramentas evoluem rapidamente — vê algo desatualizado? Abre uma issue.</sub> </details> <details> <summary><strong>Como o Bromure Web se compara</strong></summary> Todos os navegadores seguros policiam a web. O Bromure isola-a. O Talon e o Island reforçam o Chromium na sua máquina. O Menlo isola a web — na sua nuvem. O Bromure executa cada sessão numa VM descartável no seu próprio Mac: isolamento real, localmente. Uma matriz de funcionalidades mais detalhada está disponível em [bromure.io/en/feature-matrix](https://bromure.io/en/feature-matrix). | Capacidade | Talon<br><sub>Prisma Access Browser</sub> | Island<br><sub>Enterprise Browser</sub> | Menlo<br><sub>Isolamento remoto</sub> | **Bromure**<br><sub>Web</sub> | | --- | --- | --- | --- | --- | | **Isolamento e contenção** | | | | | | Isola código web não confiável do seu SO real | ❌ | ❌ | ✅ | ✅ | | O host permanece seguro se o navegador for explorado | 🟡 | ❌ | ✅ | ✅ | | Sessões descartáveis que não deixam rasto | 🟡 | ❌ | ✅ | ✅ | | Isolamento que é executado localmente, não na nuvem de um fornecedor | ❌ | ❌ | ❌ | ✅ | | **Controlos de dispositivo e dados** | | | | | | Webcam e microfone reais dentro de uma sessão segura | ✅ | 🟡 | 🟡 | ✅ | | Controlos de download e upload | ✅ | ✅ | ✅ | ✅ | | Verificação de malware nos downloads | ✅ | 🟡 | ✅ | ✅ | | Controlos de copiar-colar e captura de ecrã | 🟡 | ✅ | 🟡 | ✅ | | Bloqueia a saída de dados para impressoras locais, NAS e USB | 🟡 | 🟡 | 🟡 | ✅ | | **Proteção web** | | | | | | Deteção de phishing | ✅ | ✅ | ✅ | 🟡 | | Filtragem web por URL e categoria | ✅ | ✅ | ✅ | 🟡 | | VPN por sessão e mascaramento de IP integrados | 🟡 | ❌ | 🟡 | ✅ | | Governação de extensões do navegador | ✅ | ✅ | 🟡 | 🟡 | | **Gestão empresarial** | | | | | | Consola central e perfis geridos | ✅ | ✅ | ✅ | ✅ | | Registo de sessões e rastreio de auditoria completo | ✅ | ✅ | ✅ | ✅ | | Exportação para SIEM e OpenTelemetry | ✅ | ✅ | ✅ | ✅ | | Impor o uso via Okta, Workspace ou Entra | ✅ | ✅ | ✅ | ✅ | | Acesso automaticamente revogado quando um utilizador é desligado | 🟡 | ✅ | 🟡 | ✅ | | DLP sensível ao conteúdo e sanitização de ficheiros | ✅ | ✅ | ✅ | 🟡 | | BYOD e dispositivos não geridos | ✅ | ✅ | ✅ | ✅ | | **Plataforma e modelo** | | | | | | É executado em todas as principais plataformas | ✅ | ✅ | ✅ | 🟡 | | Código aberto e de uso gratuito | ❌ | ❌ | ❌ | ✅ | | É executado no dispositivo sem nuvem por posto | 🟡 | 🟡 | ❌ | ✅ | ✅ Integrado · 🟡 Parcial ou limitado · ❌ Não oferecido > O Talon e o Island tornam o navegador uma porta de entrada melhor policiada — mas continua a ser executado no seu SO real. O Menlo acrescenta isolamento verdadeiro e depois encaminha cada página através da sua nuvem. O Bromure é o único que sela cada sessão numa VM descartável na sua própria máquina: nada chega ao seu Mac, nada sai do seu dispositivo, e fechar a janela apaga tudo. <sub>Compilado a partir da documentação pública dos produtos (Palo Alto Networks, Island, Menlo Security) em junho de 2026. Parcial assinala capacidades que são limitadas, opcionais, condicionadas por licenciamento ou — no caso da deteção de phishing do Bromure — ainda em beta.</sub> </details> ## Compilação ```bash ./build.sh # browser app ./build.sh bromure-ac # agentic-coding app swift test # tests ``` Os resultados ficam em `.build/arm64-apple-macosx/release/`. ## Arquitetura Três alvos SPM: | Alvo | Caminho | Notas | | --------------- | ------------------------- | --------------------------------------------------------------- | | `bromure` | `Sources/Browser/` | Aplicação de navegador + SwiftUI + gestão de janelas AppKit | | `bromure-ac` | `Sources/AgentCoding/` | Aplicação de codificação agêntica + proxy MITM + ligação a credenciais na nuvem | | `SandboxEngine` | `Sources/SandboxEngine/` | Ciclo de vida de VM partilhado, gestão de imagens, pontes virtio | Ambas as aplicações pré-aquecem um conjunto de VMs em segundo plano para que novas sessões abram em menos de um segundo. A comunicação convidado ↔ host é feita via vsock (área de transferência, transferência de ficheiros, proxy MITM). ## Requisitos - macOS 14 (Sonoma) ou posterior - Apple Silicon (M1 ou mais recente) — o `Virtualization.framework` só suporta VMs convidadas ARM64 em hosts Apple Silicon. ## Autor - [Renaud Deraison](https://www.linkedin.com/in/rderaison/) (prompting) - [Claude + Opus 4.7](https://www.anthropic.com) (implementação)
