Uma camada útil, com limites conhecidos

O que isso significa para os seus dados

• Segredos dentro do projeto. Um arquivo .env no repositório pode ser lido, a menos que você o mascare. Veja como mascarar arquivos.
• As máscaras cobrem só os caminhos que existem quando o sandbox inicia. Um arquivo de segredos criado depois, durante a sessão, não fica escondido.
• Um host permitido é confiável por inteiro. Liberar github.com com --allow-host deixa o agente fazer push em qualquer repositório de lá, não só nos seus.
• --network abre a rede inteira, então tudo o que o agente consegue ler, o seu projeto incluído, ele consegue enviar para fora.
• O ai-jail monta o login do próprio agente por padrão, com leitura e escrita, então um agente enganado pode usá-lo enquanto a execução durar. O projeto documenta isso como uma troca por conveniência; --no-agent-state dá uma execução sem login.
• O git do lado do host confia no .git/ do projeto, que é gravável. Um programa nomeado em .git/config, como core.fsmonitor ou core.pager, ou colocado em .git/hooks/ roda como você, fora do sandbox, na próxima vez que um comando git correspondente rodar no host; para core.fsmonitor basta um git status, mesmo um que o seu editor roda em segundo plano, e nada aparece no git diff. --lockdown fecha isso deixando o projeto somente leitura, e --map .git mantém o repositório somente leitura numa execução normal, ao custo de não poder commitar de dentro. Depois de uma sessão que te surpreendeu, leia o .git/config e liste o .git/hooks com ferramentas de arquivo comuns antes de rodar git no host, porque o próprio git config --list abre o pager configurado.
• --mask e --deny-path mudam só o que o sandbox vê. Qualquer coisa fora do sandbox que age em nome do agente continua lendo os arquivos reais: o daemon do Docker com --docker, um servidor MCP alcançado por um socket mapeado ou um serviço atrás de --forward-port.

• Um arquivo de configuração que existe e está inválido ou ilegível.
• Um .ai-jail de projeto que é um symlink. Um ~/.ai-jail global que é symlink só é seguido até um arquivo regular que pertence a você, em que ninguém mais pode escrever, fora do projeto.
• --lockdown quando o Landlock, as regras de sistema de arquivos do próprio kernel, está ausente, parcial ou falha ao ser aplicado. --lockdown --no-landlock também é rejeitado.
• --allow-tcp-port. Essa interface não consegue restringir UDP, então a flag é aceita por compatibilidade, a inicialização falha e o erro aponta para --allow-host.
• --network junto com --allow-host, ou --browser com --allow-host. As duas se contradizem, então o ai-jail se recusa a iniciar.
• --forward-port junto com --network, quando o loopback do host já está alcançável; fora do Linux; e para a porta 0 ou uma porta abaixo de 1024, que o sandbox não consegue abrir. Uma entrada forward_ports na tabela base do arquivo global esbarra nos dois primeiros casos em toda inicialização com navegador e toda inicialização no macOS.
• Um arquivo de --env-from-file que é um symlink, que o grupo ou todo mundo consegue ler, que pertence a outra pessoa ou que está dentro do projeto.
• Um BWRAP_BIN que aponta para um binário do bubblewrap que alguém além do root poderia ter trocado. Ele é ignorado com um aviso, e sem um bubblewrap confiável a inicialização falha.
• Um overlay que não consegue ser montado: origem ausente, destino que se sobrepõe a outro mapeamento ou falha no armazenamento. Desde a 2.4 a inicialização aborta em vez de cair para um bind simples de leitura e escrita dos arquivos reais.