yolo-cage: автономные агенты кодирования, которые не причиняют вреда

Вы ответственный инженер. Вы бы ни за что не позволили ИИ безнаказанно хозяйничать в ваших самых чувствительных системах и кодовых базах.

Именно поэтому вы никогда не отключаете защиту для такого инструмента, как Claude Code. Он запрашивает разрешение на каждое опасное действие! Безопасно!

И вот вы ждете. И отвечаете. Наступает усталость от принятия решений. И именно в этот момент это происходит.

Подсказки с запросом разрешения упускают из виду самую слабую часть модели угроз: уставшего пользователя. Что, если бы мы могли дать агенту больше свободы, одновременно ограничив радиус поражения, отложив ваши решения до момента проверки PR?

Это было бы здорово! И это и есть yolo-cage.

Попробуйте

curl -fsSL https://github.com/borenstein/yolo-cage/releases/latest/download/yolo-cage -o yolo-cage
chmod +x yolo-cage && sudo mv yolo-cage /usr/local/bin/
yolo-cage build --interactive --up

Затем создайте песочницу и начинайте кодить:

yolo-cage create feature-branch
yolo-cage attach feature-branch   # Подключение к агенту в tmux

Предварительные требования: Vagrant с libvirt (Linux) или QEMU (macOS, экспериментально), 8 ГБ ОЗУ, 4 ядра CPU, GitHub PAT (разрешение repo), учетная запись Claude. Смотрите документацию по настройке.

Что блокируется

Секреты в HTTP/HTTPS - исходящий прокси сканирует тела запросов, заголовки, URL:

• sk-ant-*, AKIA*, ghp_*, закрытые ключи SSH, общие шаблоны учетных данных

Git-операции - диспетчер обеспечивает изоляцию веток:

• Отправка в любую ветку, кроме назначенной ветки
• git remote, git clone, git config, git credential

GitHub CLI - диспетчер блокирует опасные команды:

• gh pr merge, gh repo delete, gh api

GitHub API - прокси блокирует на уровне HTTP:

• PUT /repos/*/pulls/*/merge, DELETE /repos/*, изменения вебхуков

Сайты для выгрузки данных: pastebin.com, file.io, transfer.sh и т.д.

Подробнее см. в Архитектуре.

Как это работает

┌──────────────────────────────────────────────────────────────────────────┐
│ Среда выполнения (Vagrant VM + MicroK8s)                                │
│                                                                          │
│  ┌────────────────────────────────────────────────────────────────────┐  │
│  │ Песочница                                                          │  │
│  │                                                                    │  │
│  │  Агент (Claude Code в режиме YOLO)                                 │  │
│  │       │                                                            │  │
│  │       ├── git/gh ──▶ Диспетчер ──▶ GitHub                          │  │
│  │       │              • Принудительная изоляция веток               │  │
│  │       │              • Предварительное сканирование TruffleHog     │  │
│  │       │                                                            │  │
│  │       └── HTTP/S ──▶ Исходящий прокси ──▶ Интернет                 │  │
│  │                      • Сканирование секретов (LLM-Guard)           │  │
│  │                      • Блок-лист доменов                           │  │
│  └────────────────────────────────────────────────────────────────────┘  │
│                                                                          │
└──────────────────────────────────────────────────────────────────────────┘

Одна песочница на ветку. Агенты могут отправлять только в свою назначенную ветку. Весь исходящий трафик фильтруется.

CLI

Перенаправление портов

Доступ к веб-приложениям, работающим внутри песочницы:

yolo-cage port-forward feature-x 8080           # localhost:8080 → песочница:8080
yolo-cage port-forward feature-x 9000:3000      # localhost:9000 → песочница:3000
yolo-cage port-forward feature-x 8080 --bind 0.0.0.0  # Доступно в локальной сети

См. Конфигурацию для информации об обходе прокси, хуках и ограничениях ресурсов.

Документация

• Глоссарий - Единый язык и терминология
• Архитектура - Модель угроз, обоснование дизайна
• Конфигурация - Политика исходящего трафика, обход прокси, хуки
• Настройка - Добавление инструментов, ограничения ресурсов
• Аудит безопасности - Руководство по тестированию на побег

Ограничения

Это снижает риск. Это не устраняет его полностью.

• Эксфильтрация через DNS - данные, закодированные в DNS-запросах
• Временные побочные каналы - утечка информации через время ответа
• Стеганография - секреты, скрытые в изображениях или бинарных данных
• Сложное кодирование - обход сопоставления с шаблонами

Используйте учетные данные с ограниченными правами. Не используйте производственные секреты там, где эксфильтрация может быть катастрофической. См. Аудит безопасности, чтобы протестировать это самостоятельно.

Лицензия

MIT. См. LICENSE.