sandboxec

Лёгкая песочница для команд в Linux, построенная на Landlock.

Без демона. Без root. Без сборки образов.

Используйте её для выполнения рискованных команд с меньшим радиусом поражения: сторонние CLI, непроверенные скрипты, сгенерированный код и одноразовые утилиты.

Цель

Запуск непроверенного кода — это часто выбор «всё или ничего».

Контейнеры и виртуальные машины — отличные инструменты, но для быстрой изоляции на уровне одной команды они могут быть избыточны. Контейнеры добавляют накладные расходы на образы и среду выполнения. Виртуальные машины обеспечивают более сильную изоляцию, но с более высокими затратами на настройку и ресурсы.

sandboxec фокусируется на более узкой задаче: изолировать одну команду на текущем хосте с низкими накладными расходами и явными правилами разрешения.

См. также:

• D. Siswanto, «The most practical, fast, tiny command sandboxing for AI agents», Dwi Siswanto, 17 февр. 2026. https://dw1.io/blog/2026/02/17/sandboxec/

Зачем нужен sandboxec?

• Изолируйте существующие бинарные файлы без изменения кода приложений.
• Ограничивайте доступ к файловой системе и TCP с помощью правил на основе разрешений.
• Применяйте политику непосредственно перед выполнением команды, чтобы дочерние процессы наследовали ограничения.
• Сохраняйте простые локальные рабочие процессы для CI-заданий, локальных скриптов и инструментов разработчика.

Когда его использовать?

Хорошо подходит:

• Запуск стороннего CLI в локальном репозитории.
• Выполнение сгенерированного кода в CI.
• Тестирование скриптов установки перед тем, как доверить им полный доступ к хосту.
• Обёртка для инструментов сборки, которым нужна лишь малая часть файловой системы.

Когда нет?

• Требуется более сильная изоляция, чем предоставляет песочница процессов Landlock.
• Требуется многопользовательская изоляция между недоверенными пользователями/нагрузками.
• Требуется изоляция/квоты ресурсов (CPU, память, диск, I/O).
• Требуются собственные корневые файловые системы, полноценные образы среды выполнения или виртуализация на уровне ОС.

В таких случаях используйте контейнеры или виртуальные машины.

Требования

• Ядро Linux >= 5.13+ (с поддержкой Landlock)

Совместимость с ядром

Возможность	Landlock ABI	Минимальное ядро
Ограничения файловой системы	v1+	5.13+
Ограничения TCP bind/connect	v4+	6.7+
Ограничения области видимости (--restrict-scoped)	v6+	только новые ядра

Модель безопасности

sandboxec ограничивает, что процесс может:

• Читать / Записывать / Выполнять в файловой системе.
• Привязывать / Подключаться в сети (TCP).

Ограничения применяются непосредственно перед запуском целевой команды. После этого они действуют на данный процесс и его дочерние процессы.

[!IMPORTANT] Инструмент предназначен для уменьшения ущерба от ошибочных, рискованных или вредоносных пользовательских программ, сужая круг того, к чему они могут обращаться. Следовательно, он НЕ защищает от:

• Ошибок ядра или привилегированных локальных атакующих.
• Истощения ресурсов (CPU, память, диск).
• Всех возможных взаимодействий с хостом, выходящих за рамки настроенных элементов управления Landlock.

Воспринимайте его как практический слой изоляции.

Установка

• С помощью скрипта:

  curl -sSL https://get.sandbox.ec | sh
  

• С помощью компилятора Go:

  go install go.sandbox.ec/[email protected]
  

[!NOTE] Требуется Go версии 1.24.0 или новее.

• Или скачайте готовый бинарник со страницы релизов.

• Или соберите из исходников:

[!WARNING] Ветка master содержит последние изменения кода, которые могут не пройти тщательное тестирование и контроль качества — поэтому возможна нестабильность или неожиданное поведение.

git clone https://github.com/sandboxec/sandboxec.git
cd sandboxec/
# git checkout v0.3.0
make build
# ./bin/sandboxec --help

Использование

sandboxec [ОПЦИИ] [КОМАНДА [АРГУМЕНТ...]]

Примеры:

sandboxec --fs rx:/usr /usr/bin/echo hello
sandboxec --fs rx:/usr -- /usr/bin/ls /usr
sandboxec --fs rx:/usr --net c:<PORT> -- /usr/bin/curl http://127.0.0.1:<PORT>
sandboxec --mode mcp --fs rx:/usr --fs rw:$PWD --net c:443

Опции

Опция	Описание
-c, --config	Путь к YAML-файлу конфигурации.
-C, --named-config	Именованный профиль конфигурации (соответствует репозиторию sandboxec/profiles).
-f, --fs RIGHTS:PATH	Добавить правило файловой системы (повторяемо).
-n, --net RIGHTS:PORT	Добавить сетевое правило (повторяемо).
--abi int	Принудительно указать версию Landlock ABI (0 по умолчанию).
--best-effort	Продолжить, даже если ядру не хватает поддержки некоторых возможностей.
--ignore-if-missing	Не завершать ошибкой, если путь правила не существует.
--restrict-scoped	Включить ограничения IPC в области видимости (требуется ABI v6+).
--unsafe-host-runtime	Разрешить права read_exec для путей среды выполнения хоста.
-m, --mode string	Режим исполнения (run или mcp). По умолчанию: run.
-V, --version	Показать версию приложения.
-h, --help	Показать справку.

Доступные инструменты MCP:

• exec: Выполнить команду и вернуть stdout, stderr и exit_code.
  • Входные данные: command (обязательно), args (необязательный массив).
  • Путь выполнения использует среду выполнения sandboxec с действующей политикой, полученной из флагов CLI или YAML-конфигурации.

[!NOTE]

• --restrict-scoped требует Landlock ABI v6+.
• --unsafe-host-runtime расширяет разрешённый доступ к среде выполнения и библиотекам, ослабляя гарантии минимальных привилегий.
• В режиме --mode mcp аргументы обёрнутой команды не принимаются.

Формат правил

Правила файловой системы

Формат: RIGHTS:PATH

Допустимые права:

• read или r
• read_exec или rx
• write или w
• read_write или rw
• read_write_exec или rwx

[!NOTE] Ограничения файловой системы требуют поддержки Landlock (Linux 5.13+).

Сетевые правила

Формат: RIGHTS:PORT

Допустимые права:

• bind или b
• connect или c
• bind_connect или bc

[!NOTE] Сетевые ограничения (bind / connect) требуют новую поддержку Landlock (ABI v4+, обычно Linux 6.7+).

[!IMPORTANT] Если работающее ядро не поддерживает запрошенные возможности, используйте --best-effort для корректного понижения функциональности.

Поведение правил

• Правила работают по принципу разрешительного списка: если не разрешено, то запрещено. Это так.
• Несколько записей --fs и --net накапливаются.
• Правила должны включать все зависимости времени выполнения, необходимые вашей команде.

Конфигурация

Конфигурация — только YAML.

Ключи