# До (опасно — агент имеет полный доступ к системе)
python my_agent.py

# После (в песочнице)
agentguard run -- python my_agent.py

┌─────────────────────────────────────────────────────────────┐
│ Уровень 0: Файловая изоляция (sandbox-exec на macOS)        │
│   Принудительное выполнение на уровне ядра. Ограничивает    │
│   запись файлов и сеть на уровне системных вызовов. Агент   │
│   не может обойти из пользовательского пространства.        │
│   Блокирует Python open(), requests.post() и т.д.           │
├─────────────────────────────────────────────────────────────┤
│ Уровень 1: Сетевой прокси                                   │
│   Прозрачный HTTP/HTTPS-прокси. Каждый сетевой вызов агента │
│   проверяется на соответствие политике. Разрешение/запрет   │
│   для каждого назначения с полной видимостью в TUI.         │
├─────────────────────────────────────────────────────────────┤
│ Уровень 2: PATH-заглушки (Shims)                            │
│   Скрипты-заглушки, перехватывающие команды типа git,       │
│   pip, curl, rm. Каждая заглушка запрашивает разрешение     │
│   у демона перед запуском реального бинарника.              │
├─────────────────────────────────────────────────────────────┤
│ Уровень 3: Механизм политик + Демон одобрения               │
│   Правила на основе YAML оценивают каждое перехваченное     │
│   действие. Автоматически разрешают безопасные команды,     │
│   автоматически блокируют опасные, а всё остальное          │
│   запрашивает у человека.                                   │
└─────────────────────────────────────────────────────────────┘

go build -o agentguard ./cmd/agentguard/
go build -o agentguard-check ./cmd/agentguard-check/

agentguard init

agentguard run -- python my_agent.py

agentguard run --headless -- claude

tail -f ~/.agentguard/logs/headless.log

agentguard run [flags] -- <команда> [аргументы...]
    --policy <путь>       Использовать определённый файл политики
    --headless            Без TUI — агент получает терминал
    --default-allow       Автоматически разрешать решения PROMPT в безголовом режиме (по умолчанию: auto-deny)
    --no-sandbox          Отключить sandbox-exec (заглушки и прокси остаются активными)

agentguard init           Создать файл политики по умолчанию
agentguard version        Показать версию

version: 1

deny:
  # Блокировать опасные команды
  - command: "rm"
    args: "-rf *"
    reason: "Рекурсивное принудительное удаление слишком опасно"
  - command: "sudo"
    args: "*"
    reason: "Повышение привилегий не разрешено"
  - command: "chmod"
    args: "777 *"
    reason: "Права доступа для всех пользователей опасны"

  # Блокировать чтение конфиденциальных файлов (принудительно через sandbox-exec)
  - file:
      path: "*.env"
      action: "read"
      reason: "Не позволяйте агенту читать .env файлы"
  - file:
      path: "*.pem"
      action: "read"
      reason: "Не позволяйте агенту читать закрытые ключи"

allow:
  # Безопасные команды только для чтения
  - command: "ls"
  - command: "cat"
  - command: "pwd"
  - command: "echo"
  - command: "grep"
  - command: "head"
  - command: "tail"
  - command: "wc"

  # Git только для чтения
  - command: "git"
    args: "status"
  - command: "git"
    args: "log *"
  - command: "git"
    args: "diff *"

  # Разрешить запись в рабочую область
  - file:
      path: "/tmp/workspace/**"
      action: "write"

  # Разрешить определённые API-эндпоинты
  - network:
      destination: "api.anthropic.com:443"
  - network:
      destination: "api.github.com:443"

- command: "git"
  args: "push *"
  reason: "Отправка требует одобрения"

- file:
    path: "*.env"
    action: "read"     # "read" или "write"
    reason: "Защитить секреты"

- network:
    destination: "api.anthropic.com:443"

agentguard/
├── cmd/
│   ├── agentguard/              # Основной бинарник CLI
│   └── agentguard-check/        # Вспомогательный бинарник заглушек
├── internal/
│   ├── policy/                  # Механизм политик (YAML разбор, оценка правил)
│   ├── events/                  # Система событий (JSONL аудит-лог, pub/sub)
│   ├── daemon/                  # Центральный демон (Unix socket, очередь одобрения)
│   │   └── client/              # Клиентская библиотека для заглушек
│   ├── shim/                    # Генератор заглушек (перехват через PATH)
│   ├── proxy/                   # Прозрачный сетевой прокси
│   ├── spawner/                 # Оркестрация + интеграция с macOS sandbox
│   └── ui/tui/                  # Терминальный интерфейс (Bubble Tea)
├── configs/
│   └── default_policy.yaml      # Эталонный файл политики
├── .gitignore
├── go.mod
├── LICENSE
└── README.md

{"id":"a1b2c3","timestamp":"2026-03-22T14:30:00Z","session_id":"abc123","source":"shim","command":"git","args":["push","origin","main"],"decision":"deny","decided_by":"human","response_time_ms":3200}
{"id":"d4e5f6","timestamp":"2026-03-22T14:30:01Z","session_id":"abc123","source":"proxy","network_dst":"api.anthropic.com:443","decision":"allow","decided_by":"policy"}

# Все запрещённые действия сегодня
cat ~/.agentguard/logs/2026-03-22.jsonl | jq 'select(.decision == "deny")'

# Все сетевые запросы
cat ~/.agentguard/logs/2026-03-22.jsonl | jq 'select(.source == "proxy")'

# Команды, потребовавшие одобрения человека
cat ~/.agentguard/logs/2026-03-22.jsonl | jq 'select(.decided_by == "human")'

go test ./... -race