Aegis

Песочница Claude Code по умолчанию позволяет агенту читать ваши SSH-ключи и учётные данные AWS. Aegis — нет.

Два уровня защиты, оба проверены на реальном оборудовании.

Песочница ядра — собственная оболочка агента не может получить доступ к запрещённому пути:

$ ! cat ~/.ssh/id_rsa
cat: /Users/you/.ssh/id_rsa: Operation not permitted

$ ! cat ~/.aws/credentials
cat: /Users/you/.aws/credentials: Operation not permitted

$ tail ~/Library/Application\ Support/Aegis/denials.log
kernel denied file-read-data /Users/you/.ssh/id_rsa to cat(pid 41560)
kernel denied file-read-data /Users/you/.aws/credentials to cat(pid 42180)

Прокси MCP — тот же инструмент, тот же файл, с Aegis и без него:

direct to the server:   allowed: TOKEN=proof-env-secret
through aegis proxy:    AEGIS DENIED: read_text_file
                        Reason: path matches deny rule '.env'
                        Rule: deny_paths

Что он делает

Встаёт между вашим ИИ-агентом для программирования и вашей машиной:

• Запрет по умолчанию для каждого вызова инструмента
• Песочница ядра для подпроцессов — cat .env не может её обойти
• Журнал аудита с защитой от подделки — с хеш-цепочкой, проверкой целостности через aegis doctor и контрольными точками, создаваемыми извне песочницы с помощью ключа, который песочница не может прочитать или записать
• Исходящие запросы проверяются перед отправкой
• Секреты никогда не достигают сервера MCP

Установка (macOS Apple Silicon)

Впервые здесь? docs/getting-started.md — пошаговое руководство, включая два вопроса, по умолчанию отвечающих «Нет».

Следовали более ранним инструкциям, где упоминался aegis-mcp? Этот пакет — не Aegis; это не связанный проект, устанавливаемый под тем же именем импорта, aegis. Сначала удалите его:

python3 -m pip uninstall aegis-mcp

Если aegis-sandbox уже установлен, это удаление также стирает два его файла, поэтому переустановите его после этого: python3 -m pip install --force-reinstall aegis-sandbox.

python3 -m pip install aegis-sandbox
aegis init      # detects Claude Code / Cursor, asks a few questions
aegis doctor    # proves the boundary is actually in place

Обновляетесь? Повторно запустите aegis init. Ваш policy.json принадлежит вам и никогда не перезаписывается за вашей спиной, поэтому новый домен песочницы не появляется сам по себе — а без эндпоинта OAuth-токена клиент в песочнице перестаёт работать, когда срок действия его токена истекает. aegis init предлагает новые хосты; принять — одно нажатие клавиши.

Чего он НЕ делает

• Не останавливает внедрение промптов
• Побег из ядра обходит песочницу
• База данных аудита по-прежнему доступна для записи изнутри песочницы. Контрольные точки делают подделку уже зафиксированной в контрольных точках истории обнаружимой — но не невозможной, и самые новые строки пока не покрыты
• Клиент в песочнице вообще не может войти в систему. Войдите в Claude Code до aegis init; aegis doctor завершается ошибкой, если обёрнутый клиент не вошёл в систему
• Клиент в песочнице не может обновить истёкший токен входа — запустите его один раз вне песочницы для обновления
• Песочница всё ещё может прочитать ваш OAuth-токен из Keychain
• Результаты инструментов размером более 16 MiB отклоняются
• Нет внешней проверки безопасности, нет сертификаций
• Проверено только мной — полный исходный код поставляется как sdist на PyPI; читайте его, вот почему это MIT

Полная модель угроз: THREAT-MODEL.md

Лицензия

MIT