clampdown CLI

Установка

Работает в

• Claude Code
• Codex
• OpenCode

Ручная установка

git clone https://github.com/89luca89/clampdown
cd clampdown
make all
make install

Что делает

clampdown запускает кодинг-агента внутри контейнерной песочницы и считает сам процесс агента недоверенным. Доступ к файлам ограничен рабочей папкой проекта, исходящая сеть закрыта по умолчанию и открыта только для API, нужных агенту, а каждый контейнер с инструментами, который агент порождает, получает такие же ограничения. Реальные API-ключи агент не видит. Их держит отдельный прокси-контейнер без оболочки и записываемой файловой системы, агенту выдается заглушка `sk-proxy` и адрес прокси. Ограничения накладывают Landlock, seccomp и правила `iptables` снаружи процесса агента, поэтому они действуют, даже если агент проигнорировал инструкции. Поддерживаются четыре агента: `clampdown claude`, `clampdown codex`, `clampdown opencode` и `clampdown pi`. Каждый сеанс пишет структурный журнал аудита.

Для кого. Разработчикам на Linux или macOS, которые не хотят давать агенту доступ к домашней папке, SSH-ключам и частным сетям при запуске чужих команд.

Пример запроса к агенту

Запусти Claude Code в песочнице clampdown для этого проекта и покажи, к каким доменам он обращался за сессию.

Ограничения

Установка идет из исходников: `make all` собирает шесть образов и бинарный файл, для сборки нужен Go 1.23. Ядро Linux должно быть не старше 6.2, потому что Landlock V3 обязателен, а для полного набора защит рекомендовано 6.12. Запуск отказывается стартовать при небезопасных sysctl, например `kernel.kptr_restrict` или `vm.unprivileged_userfaultfd`. Нужны `podman` без прав `root` или Docker. На macOS работают `podman machine` или `colima`, но не Docker Desktop. Подписка ChatGPT для Codex копируется из `~/.codex/auth.json`, а Bedrock и Vertex в pi через прокси не идут. Sidecar работает с привилегиями, так что защита опирается на его корректность.

Как отключить. Остановите сеанс командой `clampdown stop -s <id сеанса>`, удалите контейнеры через `clampdown delete -s <id сеанса>` и очистите кэш проекта командой `clampdown prune`. Бинарный файл лежит в `~/.local/bin/clampdown`.

Коротко о README

Раздел о модели угроз исходит из того, что агент может быть захвачен через внедрение инструкций в промпт или джейлбрейк, поэтому защита должна действовать вне его процесса. Дальше описаны четыре типа контейнеров (sidecar, прокси, агент, инструменты), параметры Landlock и seccomp, сетевые политики, настройка через `config.json` и `.clampdownrc` и формат журнала аудита.