Зачем

Coding-агенты запускают команды, ставят пакеты и ходят в API за вас. Если запускать их прямо на машине, им доступны весь домашний каталог, SSH-ключи, облачные доступы и открытый интернет. Одного неудачного промпта или заражённого пакета хватит, чтобы что-то утекло или сломалось.

cautem запускает агента в контейнере с ограниченным доступом к файлам и сетевым доступом по политике. Учётные данные, которыми управляют провайдеры, остаются за пределами контейнера.

• Только проект

  ---

  Папка монтируется в /workspace. Внутри нет docker.sock, ~/.ssh и ~/.aws.

• Сеть закрыта по умолчанию

  ---

  Наружу уходит только то, что разрешает политика: хост, а для HTTPS — ещё метод и путь.

• Секреты снаружи

  ---

  Для настроенных провайдеров агент видит заглушки. Настоящие токены прокси подставляет только в разрешённые запросы.

• Политика на лету

  ---

  Агент предлагает узкое правило, вы одобряете, прокси перечитывает его примерно за секунду — без пересборки.

• Любой агент

  ---

  Готовые образы для Cursor, Claude и Codex или свой контейнер.

• Docker или Podman

  ---

  Одинаковая схема на обоих движках; Kubernetes и MicroVM — в работе.

Как это работает

sequenceDiagram
    autonumber
    actor You as Вы
    participant S as Песочница (агент)
    participant P as Egress-прокси
    participant U as Интернет
    You->>S: cautem sandbox create
    S->>P: HTTPS-запрос с заглушкой секрета
    P->>P: Проверка хоста, метода и пути по политике
    alt разрешено
        P->>U: Запрос с настоящим секретом
        U-->>S: Ответ
    else заблокировано
        P-->>S: 403 + причина
        S->>You: Предложение узкого правила
        You->>P: cautem rule approve
    end

1. Создание. cautem sandbox create поднимает два контейнера в приватной сети: песочницу с агентом и вашим проектом и рядом egress-прокси.
2. Все запросы идут через прокси. Другого выхода у песочницы нет, поэтому весь трафик проверяется по вашей политике.
3. Секреты подставляются на выходе. У агента только заглушки вида cautem:resolve:env:GITHUB_TOKEN; настоящий токен прокси вставляет в запросы, которые разрешает политика.
4. Блокировка с объяснением. Запрещённый запрос получает 403 с причиной, и агент может попросить ровно тот доступ, который нужен.
5. Решаете вы. Одобрите или отклоните предложение; новая политика начинает действовать примерно через секунду, песочницу пересоздавать не надо.

Подробнее: Архитектура · Безопасность.