ai-jail construye una copia pequeña y cerrada de tu sistema, mete tu proyecto dentro y arranca el agente ahí. Las paredes son funciones del propio sistema operativo, así que el agente corre a toda velocidad y no puede apagarlas. En cada arranque, la red está cerrada salvo el host de la API del propio agente, abierta a unos pocos hosts con nombre, o abierta del todo.
Para el ingeniero que quiere saber qué se aplica de verdad. A todos los demás les basta el primer párrafo y la primera imagen.
Tarda un instante, cada vez, y después nada queda corriendo en segundo plano.
↔ Desliza hacia un lado para ver el diagrama completo
ai-jail confía en tu propio archivo ~/.ai-jail. A un archivo .ai-jail dentro del proyecto lo trata como no confiable: ese archivo puede endurecer el sandbox, pero nunca abrirlo. Los flags de la línea de comandos mandan sobre ambos.
ai-jail prepara cada una de las capas de abajo antes de que el agente exista y mapea las toolchains que tienes (mise, cargo, cachés de npm y otras) en solo lectura o en una caché propia de la jaula. Si un archivo de configuración es ilegible o inválido, ai-jail se detiene en lugar de arrancar con reglas más débiles.
El agente, y cada script, paquete y servidor MCP que arranca, hereda los mismos muros. Cuando el agente termina, ai-jail también termina.
Cada arranque elige uno de tres modos de red. El modo por defecto es el más estricto: ninguna ruta de salida salvo lo que deja pasar el proxy filtrado, que es el host de la API de un agente conocido en ambas plataformas y, en Linux con las toolchains activadas (lo normal), una lista corta de registries de paquetes. Los otros dos son flags que pasas a propósito.
↔ Desliza hacia un lado para ver el diagrama completo
El modo por defecto. El sandbox recibe un namespace de red privado sin ruta de salida, salvo a través del proxy filtrado. Para un agente conocido el proxy deja pasar el host de su propia API, en Linux y macOS, así que un simple ai-jail claude funciona. En Linux, con las toolchains activadas (lo normal), también deja pasar una lista fija de registries de paquetes, así que npm install y cargo build funcionan; en macOS los registries siguen cerrados. --no-network lo deja completamente sin conexión.
--allow-host HOST, repetible. El namespace sigue cerrado; un puente pequeño dentro reenvía el tráfico a un proxy CONNECT fuera, que se conecta solo a los hosts de la lista y sus subdominios. El proxy resuelve cada nombre una sola vez, fuera, y se conecta a la dirección que comprobó. ai-jail define http_proxy dentro, y un programa que lo ignora no llega a ningún lado.
--network. El muro desaparece del lado de la red, y el agente puede enviar fuera todo lo que puede leer.
| Linux | macOS | |
|---|---|---|
| La valla en modo filtrado | El propio namespace de red, más el puente dentro de él | Una regla de sandbox-exec que permite conexiones salientes solo al puerto del proxy |
| DNS dentro del sandbox | Falla. El proxy resuelve los nombres fuera. | El resolver del sistema no está vallado, así que queda un canal DNS de poco ancho de banda |
ai-jail no confía en que un solo muro aguante por sí mismo. En Linux el agente queda detrás de cinco, cada uno impuesto por el kernel, más dos filtros sobre lo que entra y lo que sale.
↔ Desliza hacia un lado para ver el diagrama completo
ai-sandbox), ningún canal entre procesos hacia los programas del host y un namespace de red sin salida, salvo que abras una con --allow-host o --network. Si ai-jail muere, todo lo que hay dentro muere con él./usr están en solo lectura, y el directorio home y /tmp son nuevos y viven en memoria. Las toolchains que tienes (mise, cargo, cachés de npm) se mapean en ese home nuevo, en solo lectura o como una caché propia de la jaula.~/.ssh, ~/.aws, ~/.gnupg, ~/.docker y los perfiles del navegador están en una lista integrada que nunca se monta. El directorio de estado del propio harness, por ejemplo el ~/.claude de Claude, es la excepción: ai-jail lo monta en lectura y escritura por defecto para que el agente arranque con la sesión iniciada, y --no-agent-state lo deja fuera. Todo lo que se escribe fuera del proyecto desaparece cuando termina la sesión.ptrace, mount, bpf, los módulos del kernel, io_uring, el keyring del kernel, los sockets raw y TIOCSTI, una llamada que puede escribir pulsaciones de teclas en tu terminal. Es una lista de bloqueo a propósito, para que los compiladores y runtimes sigan funcionando. El único proceso que arranca antes de que se apliquen Landlock y seccomp es el pequeño puente que saca el tráfico de red filtrado, así que solo él queda sin restricciones.PATH, HOME, TERM, el locale y los ajustes de proxy y de certificados.ANTHROPIC_API_KEY para Claude, que se copia por defecto junto con su login; --no-agent-state lo impide. Dejas pasar otra por su nombre con --env cuando una tarea lo necesita.macOS no tiene namespaces, Landlock ni seccomp. ai-jail convierte la misma política en un perfil para sandbox-exec, el sandbox integrado de Apple. La documentación de ai-jail dice claramente que esto no equivale al aislamiento de Linux.
↔ Desliza hacia un lado para ver el diagrama completo
| Linux | macOS | |
|---|---|---|
| Backend | bubblewrap, y luego Landlock, seccomp y límites de recursos | sandbox-exec con un perfil generado en cada arranque. Apple lo marcó como obsoleto, y no existe nada mejor sin extensiones del kernel. |
| Directorio home | Un home nuevo en memoria. El real no está montado. | El perfil parte sin lecturas globales y luego permite solo las rutas que el agente necesita, así que tu home real sigue cerrado. |
/tmp | Privado, se descarta al salir | El /tmp del host, porque no hay namespace de montaje. TMPDIR apunta a una carpeta privada creada para ese arranque, y esa es la única ruta temporal concedida. |
| Mapeos copy-on-write | --overlay-map deja que el agente escriba en una copia | Se trata como un mapeo de solo lectura |
| Red | Cerrada por defecto: ninguna ruta de salida salvo el host de la API de un agente conocido y los registries de paquetes permitidos cuando las toolchains están activadas. --allow-host o --network abren más, --forward-port reenvía un puerto del loopback del host, --no-network cierra todo. Bajo --lockdown la red abierta siempre se bloquea, incluso con --network. | El mismo valor por defecto y los mismos flags, incluido el host de la API del agente conocido, pero sin --forward-port, los registries ni los mapeos de caché de toolchains, que son solo para Linux. Lockdown también bloquea aquí la red abierta. |
| Otros programas | Invisibles: lista de procesos propia, sin IPC del host | Mach, IOKit y el IPC del host están denegados salvo que pases --macos-host-ipc |
ai-jail escribe el mínimo posible de código de seguridad propio. Maneja bubblewrap, que es pequeño, está empaquetado en todas las distribuciones importantes y Flatpak lo pone a prueba a diario, y le suma funciones del kernel.
| Opción | Por qué no |
|---|---|
| Firejail | Puede hacer el trabajo, pero es un binario setuid root, y varios CVE vienen de ese diseño. bubblewrap funciona sin root. |
| Reescribir bubblewrap en Rust | Más de 500 líneas de código sensible para la seguridad que mantener y parchear en solitario, para evitar una dependencia de unos 50 KB que recibe correcciones de upstream. |
| nsjail | Es capaz, pero está pensado para servidores, se maneja con archivos de configuración protobuf y está empaquetado en menos sitios. |
| systemd-nspawn | Requiere systemd, así que falla dentro de contenedores y en sistemas que no lo tienen. |
Toda la herramienta es un solo programa síncrono en Rust, sin runtime async, daemon ni imagen de contenedor.
Dependencias contadas en el repositorio de ai-jail en la versión 2.9.0; tests en la versión 2.9.0.
Cada flag y cada clave de configuración, y cómo abrir solo lo que la tarea necesita.
El modelo de amenazas, los opt-ins que lo debilitan, las auditorías y la firma de versiones.
En qué se diferencia de los sandboxes integrados de los agentes, de Docker y de las máquinas virtuales.
ai-jail es un único binario que no necesita daemon ni root. Añades una palabra delante del comando que ya usas.
brew tap akitaonrails/tap && brew install ai-jailai-jail claude