Uma jaula para o seu agente de código com IA
O ai-jail roda o Claude Code, o Codex e outros agentes de código com IA dentro de um sandbox do sistema operacional, no Linux e no macOS. O projeto continua gravável. Seus arquivos e credenciais ficam fora de alcance, com exceção do login do próprio agente iniciado.
ai-jail claudeEntregue o projeto ao agente, não a máquina inteira. O ai‑jail torna esse limite real.
Como um agente bom sai dos trilhos
O dia inteiro o agente lê texto que você não escreveu: páginas web, issues, READMEs, pacotes. Basta uma página com instruções escondidas, e o agente não precisa ser hostil para segui-las.
↔ Deslize para o lado para ver o diagrama inteiro
Seu agente roda como você
Um agente de código é um programa rodando na sua conta de usuário. O mesmo vale para cada script, pacote e servidor MCP que ele inicia; um servidor MCP é um programa auxiliar que dá ferramentas extras ao agente. Todos eles abrem tudo o que você consegue abrir.
Inicie pelo ai-jail
Digite
ai-jailna frente do comando. O agente sobe em namespaces próprios, com o seu projeto montado no mesmo caminho.Seu home não é montado
O agente recebe um diretório home novo e vazio. Chaves SSH (os arquivos que fazem o seu login nos servidores), credenciais de nuvem, perfis de navegador e seus outros projetos não existem lá dentro.
Segredos, rede e dispositivos fechados
O ai-jail reduz as variáveis de ambiente a uma allowlist, então os segredos do seu shell ficam no seu shell. A rede fica fechada, fora o host da API do próprio agente e, no Linux, os registries de pacotes de onde as suas toolchains baixam. O socket do Docker, a tela e o clipboard ficam desligados.
Abra o que a tarefa precisa
Claude Code, Codex, Gemini, Grok e Devin começam logados e alcançam o próprio host da API. Uma flag, uma opção que você digita depois de
ai-jail, abre mais:--allow-hostacrescenta hosts,--networkabre tudo.
O muro cerca o harness inteiro
Os agentes que trazem um sandbox colocam esse sandbox em volta dos comandos que o modelo executa. O processo do agente, suas ferramentas de arquivo, seus servidores MCP e seus hooks (scripts que o agente roda em momentos definidos) ficam do lado de fora, na sua conta. O ai-jail inicia todos eles do lado de dentro. Um pedido de permissão pergunta a uma pessoa, e uma pessoa pode estar com pressa ou ser enganada. Um sandbox pergunta ao kernel, o núcleo do sistema operacional, que dá a mesma resposta todas as vezes.
↔ Deslize para o lado para ver o diagrama inteiro
O que você ganha sem configurar nada
Tudo o que alcança a sua máquina começa desligado até você ligar, menos o login do próprio agente, o host da API dele, as suas toolchains (no Linux) e os registries de pacotes delas, cada um com uma opção --no-. O que for escrito fora do projeto vai para a memória e some quando a sessão termina.
Dentro da jaula
- Seu projeto, com leitura e escrita, no caminho real
- Suas toolchains, somente leitura, com um cache da própria jaula (Linux)
- O login do próprio agente, como
~/.claude, para ele começar logado - O host da API de um agente conhecido, e os registries de pacotes no Linux
- Um diretório home novo e um
/tmpprivado
Fora de alcance
~/.ssh,~/.aws,~/.gnupg, perfis de navegador- Os segredos do seu shell, menos a chave de API do próprio agente
- Outros processos, IPC do host,
ptraceebpf
Desligado até você pedir
--allow-hostpara mais hosts,--forward-portpara um serviço local,--networkpara tudo--ssh,--gpu,--display,--dockere outras
O ai-jail é um programa pequeno, sem daemon e sem root. No Linux, ele ergue os muros com recursos do kernel: bubblewrap para os namespaces e as montagens, mais Landlock, seccomp e limites de recursos quando o kernel os oferece. No macOS, ele traduz o que a plataforma suporta para um perfil mais fino do sandbox-exec. O agente usa os compiladores e runtimes que já estão na sua máquina e, por padrão, um arquivo .ai-jail dentro de um repositório só pode apertar a jaula, nunca abri-la.
Perguntas que todo mundo faz
Ele deixa o agente mais lento?
Quais agentes ele suporta?
ai-jail bash abre um shell dentro da jaula para você dar uma olhada.Funciona no Windows?
Meu agente precisa de internet. A jaula ainda serve para alguma coisa?
--allow-host acrescenta os hosts que você nomear. Já com --network ligado, o agente continua lendo só o seu projeto, então suas chaves e o resto do seu home não estão lá para serem enviados. O que ele consegue ler, ele consegue enviar, e por isso é importante mascarar os segredos dentro do projeto. Veja como mascarar.É gratuito?
Coloque seu agente atrás das grades
O ai-jail é um binário único que não precisa de daemon nem de root. Você acrescenta uma palavra na frente do comando que já usa.
brew tap akitaonrails/tap && brew install ai-jailai-jail claude