Enclave CLI
Контейнер для Claude Code, Codex, Copilot, OpenCode и Pi: агент работает без подтверждений, а выход в сеть режет шлюз.
- 80 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Агент работает без подтверждений в контейнере: он вправе менять файлы смонтированного проекта и ходить по разрешенным доменам.
Установка
- Работает в
Ручная установка
sudo apt install ./enclave_*_amd64.debПакет скачивают из последнего релиза, для Fedora есть `.rpm`. Затем `enclave` в каталоге проекта.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Агент работает без подтверждений в контейнере: он вправе менять файлы смонтированного проекта и ходить по разрешенным доменам.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Команда `enclave` запускает выбранного агента в контейнере Docker или Podman, по одному на сеанс. Агент видит рабочее дерево проекта и каталоги, которые вы добавили сами, а остальная машина для него закрыта. Подтверждения отключены: агент работает в режиме YOLO, и ограничивает его контейнер. Весь сетевой трафик идет через шлюз, который пропускает только домены из белого списка и пишет журнал разрешенного и заблокированного, его показывает `enclave network log`. Секреты, которые шлюз подставляет в запросы, попадают в контейнер только как заглушки. Входы, настройки, история и память агента сохраняются на хосте между сеансами. Есть фоновые сеансы (`--background`, `enclave attach`), оболочка в контейнере и подключение IDE Theia.
Для кого. Разработчикам, которые хотят дать агенту полную автономию на долгой задаче, но не пускать его к домашнему каталогу, ключам и произвольным сайтам.
Подходит, если
- Агент переписывает большой модуль ночью без подтверждений, и права ограничены проектом.
- Нужно увидеть, куда агент пытался выйти в сеть, через `enclave network log`.
- Один проект ведут по очереди Claude Code и Codex с общей историей и логинами.
- Сеанс уходит в фон, и к нему подключаются позже через `enclave attach`.
Не подходит, если
- Нет Docker или Podman: без контейнера инструмент не запускается.
- Агенту нужен доступ ко всему домашнему каталогу: Enclave отказывается монтировать его.
- Нужна защита уровня виртуальной машины без компромиссов: QEMU-бэкенд пока экспериментальный.
Пример запроса к агенту
Запусти Claude Code в Enclave в этом проекте и покажи, какие домены агент пытался открыть.Ограничения
Работает на Linux, macOS и Windows через WSL2, нужны Docker с buildx или Podman и Git 2.26 или новее с настроенными именем и почтой автора, без них запуск прерывается. От имени root инструмент не запускается. Контейнер ограничивает агента, но абсолютной защиты не дает: что защищено и что нет, описано в разделе Security документации. Агент в режиме без подтверждений вправе менять и удалять файлы в смонтированном проекте, поэтому держите коммиты. Дополнительные агенты вроде Amp и Antigravity ставятся отдельно из репозитория расширений.
Как отключить. Остановите сеансы командой `enclave ps` и завершите их, затем удалите пакет `sudo apt remove enclave` или бинарный файл. Конфигурация лежит в `~/.config/enclave/config.json`.
Частые вопросы
Как запустить другого агента?
Выберите его при первом запуске или передайте `enclave --tool codex` для одного сеанса. Выбор сохраняется как `tool` в `~/.config/enclave/config.json`.
Что агент видит на машине?
Рабочее дерево проекта и каталоги, которые вы добавили. Домашний каталог и другие чувствительные пути Enclave монтировать отказывается.
Как узнать, куда агент ходил в сеть?
Выполните `enclave network log`: журнал показывает разрешенные и заблокированные запросы шлюза.
Продолжится ли прошлая сессия?
Да, `enclave continue` возобновляет последний сеанс, а логины, история и память агента сохраняются на хосте.
Как обновить Enclave?
Автономные бинарные файлы для Linux и macOS обновляются командой `enclave self-update`. Пакеты `.deb` и `.rpm` ставят заново из релиза.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыExitBox запускает Claude, Codex, Cursor и других агентов в rootless-контейнерах: сеть по списку доменов, секреты в сейфе.
AgentBox запускает Claude Code, Codex и Open Code в отдельных виртуальных машинах: на вашем ПК, своем сервере или в облаке.
Brig запускает Claude Code и другие кодинг-агенты в изолированной microVM на вашем компьютере с доступом только к одному проекту.
CLI запускает Claude Code и Codex в изолированных контейнерах Docker с брандмауэром, воркдеревьями и образом без Dockerfile.
ArcBox запускает Claude Code в одноразовой микровиртуалке на Mac: своя ОС, пустая рабочая папка и старт примерно за секунду
ClaudeBox запускает Claude Code в Docker с профилями языков, слотами сессий и фаерволом по списку разрешенных адресов.
Коротко о README
Описаны схема из четырех шагов, быстрый старт с проверкой требований, установка и таблица команд. Отдельные разделы ведут к документации по сети, авторизации, сеансам, расширениям, бэкендам и безопасности.