cplt

Песочница с принудительным применением на уровне ядра для ИИ-агентов, пишущих код. cplt оборачивает GitHub Copilot CLI, OpenCode, Gemini CLI, Antigravity CLI, Pi, Claude Code, goose, DeepSeek Harness или любую оболочку, чтобы агент мог писать код, но не мог украсть учётные данные, запушить в main, слить PR или вынести секреты.

• macOS: Apple Seatbelt/SBPL через sandbox-exec
• Linux: Landlock LSM + seccomp-BPF + опциональная изоляция пространств имён Bubblewrap (ядро 5.13+, полная фильтрация сети на 6.7+)
• Windows: нативная поддержка отсутствует. Бэкенда песочницы для Windows нет. Запускайте cplt внутри WSL2, где это обычная установка Linux, а ядро Microsoft поставляет Landlock. См. Настройка Windows (WSL2).

Зачем нужен cplt?

ИИ-агенты выполняют произвольный код. Скомпрометированный агент — будь то через инъекцию промпта, атаку на цепочку поставок или вредоносный MCP-сервер — может прочитать ~/.ssh, запушить в main, слить PR или вынести ваш код, если только сама ОС не скажет «нет».

cplt даёт вам принудительное применение на уровне ядра с настраиваемой командой политикой:

• Политика для каждого репозитория в .cplt.toml, закоммиченная в систему контроля версий, что делает её защищённой от подмены и поддающейся аудиту
• Запрет по умолчанию для учётных данных, секретов и конфиденциальных файлов
• Перехват git и gh на уровне команд: пуши в ветку по умолчанию, force push, слияния и релизы блокируются, ветки функций остаются открытыми
• Фильтрация исходящего сетевого трафика с журналом аудита
• Без Docker, без виртуальных машин. Один бинарник, работающий на защищённом ноутбуке
• Старт без конфигурации для разработчиков, с лазейками, когда сборке это действительно необходимо

Содержание

• Быстрый старт
• Что блокируется
• Сравнение cplt
• Установка
• Использование
• Конфигурация
• Архитектура
• Безопасность
• Сеть и прокси
• Охрана команд
• Известные последствия
• Ограничения
• Участие в разработке
• Ссылки

Подробная документация: Конфигурация · Прокси и фильтрация доменов · Охрана команды gh · Охрана команды git · Известные последствия · Детали безопасности · Модель безопасности

Быстрый старт

brew install navikt/tap/cplt   # macOS. On Debian or Ubuntu, see apt below
cplt --shell-install        # make 'copilot' run sandboxed (persistent)
                            # --agent opencode for any other agent
cplt doctor                 # check your environment
cplt -- -p "fix the tests"  # run Copilot in sandbox

Другие агенты и команды песочницы:

cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

Внедрение в команде

# 1. Generate per-repo policy
cplt init --write

# 2. Developers approve on first run
cplt trust accept --all

# 3. Tune the command guards (both block by default)
cplt config set git_guard.protect_default_branch_only false # block every push, not just main
cplt config set git_guard.mode warn                         # observe instead of blocking

Что блокируется

Песочница блокирует доступ к учётным данным и секретам в ядре. Командные защиты блокируют деструктивные операции. Каждое ограничение применяется к агенту и к каждому процессу, который он порождает.