Una jaula para tu agente de IA
ai-jail ejecuta Claude Code, Codex y otros agentes de programación con IA dentro de un sandbox del sistema operativo en Linux y macOS. El proyecto sigue siendo escribible. Tus archivos y credenciales quedan fuera de alcance, excepto el login del propio agente que ejecutas.
ai-jail claudeDale al agente el proyecto, no el equipo entero. ai‑jail hace que ese límite sea real.
Cómo un buen agente sale mal
Todo el día el agente lee texto que no escribiste: páginas web, issues, READMEs, paquetes. Basta una página con instrucciones escondidas, y el agente no necesita ser hostil para seguirlas.
↔ Desliza hacia un lado para ver el diagrama completo
Tu agente se ejecuta como tú
Un agente de programación es un programa bajo tu cuenta de usuario. También lo es cada script, paquete y servidor MCP que arranca; un servidor MCP es un programa auxiliar que le da herramientas extra al agente. Todos pueden abrir cualquier cosa que tú puedas abrir.
Arráncalo con ai-jail
Escribe
ai-jaildelante del comando. El agente arranca en sus propios namespaces, con tu proyecto montado en la misma ruta.Tu home no está montado
El agente recibe un directorio home nuevo y vacío. Las claves SSH (los archivos con los que entras a tus servidores), las credenciales de la nube, los perfiles del navegador y tus otros proyectos no existen ahí dentro.
Secretos, red y dispositivos cerrados
ai-jail reduce las variables de entorno a una lista de permitidos, así que los secretos de tu shell se quedan en tu shell. La red está cerrada, salvo el host de la API del propio agente y, en Linux, los registries de paquetes de los que descargan tus toolchains. El socket de Docker, la pantalla y el portapapeles están apagados.
Abre lo que la tarea necesita
Claude Code, Codex, Gemini, Grok y Devin arrancan con la sesión iniciada y alcanzan el host de su propia API. Un flag, una opción que escribes después de
ai-jail, abre más:--allow-hostañade hosts,--networklo abre todo.
El muro rodea todo el harness
Los agentes que traen un sandbox lo ponen alrededor de los comandos que ejecuta el modelo. El proceso del agente, sus herramientas de archivos, sus servidores MCP y sus hooks (scripts que el agente ejecuta en momentos fijos) quedan fuera, bajo tu cuenta. ai-jail los arranca a todos dentro. Una solicitud de permiso le pregunta a una persona, y a una persona se la puede apurar o engañar. Un sandbox le pregunta al kernel, el núcleo del sistema operativo, que responde siempre lo mismo.
↔ Desliza hacia un lado para ver el diagrama completo
Lo que obtienes sin configurar nada
Todo lo que alcanza tu máquina está apagado hasta que lo actives, salvo el login del propio agente, el host de su propia API, tus toolchains (en Linux) y sus registries de paquetes, cada uno con un interruptor --no-. Las escrituras fuera del proyecto caen en memoria y desaparecen cuando termina la sesión.
Dentro de la jaula
- Tu proyecto, en lectura y escritura, en su ruta real
- Tus toolchains, en solo lectura, con una caché propia de la jaula (Linux)
- El login del propio agente, como
~/.claude, para que arranque con la sesión iniciada - El host de la API de un agente conocido, y los registries de paquetes en Linux
- Un directorio home nuevo y un
/tmpprivado
Fuera de alcance
~/.ssh,~/.aws,~/.gnupg, perfiles del navegador- Los secretos de tu shell, salvo la clave de API del propio agente
- Otros procesos, el IPC del host,
ptraceybpf
Apagado hasta que lo pidas
--allow-hostpara más hosts,--forward-portpara un servicio local,--networkpara toda la red--ssh,--gpu,--display,--dockery más
ai-jail es un programa pequeño, sin daemon y sin root. En Linux levanta los muros con funciones del kernel: bubblewrap para los namespaces y los montajes, más Landlock, seccomp y límites de recursos cuando el kernel los ofrece. En macOS traduce lo que admite la plataforma a un perfil más fino de sandbox-exec. El agente usa los compiladores y runtimes que ya tienes y, por defecto, un archivo .ai-jail dentro de un repositorio solo puede endurecer la jaula, nunca abrirla.
Las primeras preguntas de todos
¿Hace más lento al agente?
¿Qué agentes soporta?
ai-jail bash te da una shell dentro de la jaula para echar un vistazo.¿Funciona en Windows?
Mi agente necesita internet. ¿Sigue sirviendo la jaula?
--allow-host añade los hosts que nombres. Con --network activado, en cambio, el agente sigue pudiendo leer solo tu proyecto, así que tus claves y el resto de tu home no están ahí para enviarlos. Lo que puede leer, puede enviarlo, y por eso importa enmascarar los secretos dentro del proyecto. Mira cómo enmascararlos.¿Es gratis?
Pon a tu agente tras las rejas
ai-jail es un único binario que no necesita daemon ni root. Añades una palabra delante del comando que ya usas.
brew tap akitaonrails/tap && brew install ai-jailai-jail claude