agents-sandbox CLI
agents-sandbox запускает кодового агента внутри отдельной микровиртуальной машины, скрывая от него остальную систему и секреты.
- 87 ★ репозитория
- Последний коммит
- GPL-3.0
Расширенный доступ
Почему такой уровень
- Рабочая папка монтируется с правом записи, агент меняет ее файлы.
- По умолчанию конфигурация агента с хоста копируется в виртуальную машину.
Установка
- Работает в
Ручная установка
Установи утилиту по руководству «Get started» на сайте проекта и выполни `agents-sandbox`. Выбери агента ключом `--agent <name>`. Секреты задай через `env.secret`, а не копируй с хоста.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Рабочая папка монтируется с правом записи, агент меняет ее файлы.
- По умолчанию конфигурация агента с хоста копируется в виртуальную машину.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
agents-sandbox — лаунчер для кодовых агентов. Он собирает или переиспользует выделенную виртуальную машину `microsandbox` для каждого проекта и агента и подключает выбранного агента внутри нее. Отдельная системная установка `microsandbox` не нужна: утилита готовит свою среду в каталоге данных. В виртуальной машине свое ядро и корневая файловая система. Рабочая папка проекта монтируется как `/workspace` с правом записи, прочие файлы хоста не видны, пока их не скопируют или не откроют явно. Сетевой доступ задают профили: `public` по умолчанию, `private`, `host` и `none` с разрешающим списком. Секреты из `env.secret` остаются на хосте, а агент получает только заглушку. Встроены профили для `opencode`, `opencode2`, pi, Claude Code, Codex, `Hermes` и `Oh My Pi`.
Для кого. Разработчикам, которые хотят запускать автономных агентов на рабочей машине, не открывая им всю домашнюю папку и сеть.
Подходит, если
- Агент должен работать с проектом, но не видеть остальные файлы и ключи на ноутбуке.
- Нужно ограничить исходящую сеть агента списком разрешенных адресов.
- Один и тот же проект запускают с Claude Code, Codex и `opencode`, каждый в своей изолированной среде.
- Ключи разработки не должны попасть в публичную вики или репозиторий по ошибке агента.
Не подходит, если
- Работа идет на системе без Linux с KVM или macOS на Apple Silicon.
- Нужна полная сетевая изоляция: профиль `none` режет исходящий трафик по умолчанию, но герметичной изоляцией не считается.
- Важна стабильная работа с экспериментальными агентами: проверены только `opencode` и `opencode2`.
Пример запроса к агенту
Запусти Claude Code для этого проекта через agents-sandbox с профилем сети `none` и секретами в `env.secret`.Ограничения
Платформы: Linux с KVM и macOS на Apple Silicon. Протестированы агенты `opencode` и `opencode2` (по умолчанию), остальные пять профилей экспериментальные. Режим с настройками по умолчанию копирует конфигурацию агента с хоста в виртуальную машину, для `opencode` это может быть `auth.json`. Если учетные данные не должны попасть в машину, задайте `provision-host-config: false` и используйте механизм секретов. Рабочая папка монтируется с записью, и агент меняет ее файлы. Лицензия GPL-3.0.
Как отключить. Остановите машину командой `agents-sandbox stop`, удалите тома по инструкции `volume prune` либо `prune --purge` для проекта целиком, затем удалите утилиту.
Частые вопросы
Как запустить агента в песочнице?
Установите утилиту по руководству на сайте и выполните `agents-sandbox`: по умолчанию стартует OpenCode 2. Другого агента выбирайте флагом `--agent <name>`.
Какие агенты поддерживаются?
Встроены `opencode`, `opencode2`, pi, claude-code, codex, hermes и oh-my-pi. Протестированы `opencode` и `opencode2`, остальные экспериментальные.
Что видит агент на моей машине?
Только `/workspace` с проектом и том `/home/dev`. Другие файлы хоста невидимы, пока вы их не скопируете, не подготовите через `home:` или не откроете монтированием.
Как защитить секреты?
Положите их в `env.secret` или `env.secret.yaml`: настоящее значение останется на хосте, а гостю достанется заглушка. Не храните ключи в `/workspace` и `env`.
Что делает профиль сети `none`?
Запрещает исходящий трафик по умолчанию и пропускает только разрешенные правила. Полным воздушным зазором он не считается.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыКоманда safehouse запускает Claude Code, Codex и другие агенты в песочнице macOS: файлы закрыты по умолчанию, нужные папки открываются флагами
Изолированная коробка для кодинг-агентов на своей машине: доступ только к нужным проектам и ключам, пакеты из защищенного реестра
CLI на Go запускает агента в песочнице ОС: скиллы и секреты доступны через мост, а файлы и сеть изолированы.
Один бинарный файл запускает кодинг-агентов в песочнице: микровиртуалка, сетевые правила и скрытые от агента секреты.
Песочница для ИИ-агентов на Linux и macOS без контейнеров: файлы, сеть и системные вызовы закрыты, пока вы не откроете их явно
agent-secrets выдает ИИ-агенту ключи на время: шифрование age, аренда секрета с TTL, журнал доступа и аварийный отзыв.
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| agents-sandbox (эта карточка) | нет | 87 | ||
| Agent-Sandbox | нет | ключ необязателен | 232 | MCP-песочница для выполнения кода агента; agents-sandbox запускает самого агента в микровиртуальной машине |
| LLM-in-Sandbox | нет | 248 | другая песочница для моделей; здесь запускаются кодовые агенты с подменой секретов |
Коротко о README
В README есть сравнение с прямым запуском, `bubblewrap` и Seatbelt, Docker и Docker Sandboxes. Подробности лежат на сайте inoio.github.io/agents-sandbox.