Daemon-loze kernel sandbox voor lokale AI-codingagenten
vetto, gemaakt door Shleder, is een daemon-loze sandbox die AI-coderingsagenten beperkt en onbedoelde code-uitvoering op een ontwikkelaarsmachine voorkomt. De tool handhaaft kernel-niveau isolatie rond agentactiviteit en biedt beleidsgestuurde controles voor bestandsysteem-, netwerk- en hulpbronnen toegang. Het richt zich op softwareontwikkelaars, beveiligingsonderzoekers en organisaties die autonome coderingsagenten draaien en een lokale beveiligingslaag nodig hebben om risico's van promptinjectie en ongecontroleerde uitvoering te verminderen.
Voor welke taken kun je het eigenlijk gebruiken?
De tool is gebouwd om agentische workflows te bevatten die interageren met de host, specifiek command-line agents die het Model Context Protocol (MCP) of vergelijkbare interfaces volgen. Toepassingsgevallen omvatten het uitvoeren van code-generatie agents, geautomatiseerde refactoring tools en gescripte assistenten, terwijl onbedoelde schrijfacties, geheime exfiltratie of ongewenste netwerkoproepen worden voorkomen. Vetto past in de ontwikkelingsfase waarin gegenereerde code op de lokale machine wordt uitgevoerd en een veiligheidsgrens vereist.
Hoe betrouwbaar zijn de kernel-niveau bescherming in de praktijk?
Vetto handhaaft beleid met besturingssysteem primitieve: op Linux gebruikt het Landlock, namespaces en seccomp-BPF; op macOS integreert het met Seatbelt. Het ontwerp legt de nadruk op een fail-closed handhavingsmodel en lage runtime overhead door beperkingen op kernel-niveau toe te passen in plaats van te vertrouwen op een langdurige container daemon. Windows-ondersteuning wordt beschreven als experimenteel en komt overeen met een AppContainer-stijl mechanisme.
Welke beleidscontroles en invoer accepteert het?
Beleidsconfiguratie is bestand-gebaseerd en declaratief, met gebruik van TOML voor gedetailleerde regels. De beleids taal dekt bestandssysteem roots, deny-paths voor gevoelige gegevens, domeinspecifieke netwerktoelating of volledige netwerkafschakeling, en uitvoeringsbeperkingen zoals time-outs en proceslimieten. Deze invoer stelt teams in staat om I/O te beperken, geheime locaties te blokkeren en de runtime-rechten van een agent te beperken voordat de agent wordt uitgevoerd.
Is het praktisch om toe te voegen aan een ontwikkelaarsworkflow?
De tool installeert via standaard ontwikkelaarskanalen, bijvoorbeeld een npm globale package of een Homebrew tap op macOS, en vereist geen Docker of rootrechten om te draaien. Dat vermindert infrastructuurwijzigingen voor lokale ontwikkeling. Het aannemen ervan vereist het schrijven en testen van TOML-beleidsregels en enige vertrouwdheid met OS sandbox primitieve, waardoor het het meest geschikt is voor teams die comfortabel zijn met command-line tooling en beleidsautorisatie.
Wie zou het moeten adopteren, en waar moet je op letten?
De tool is een pragmatische optie voor ontwikkelaars en organisaties die agentische tools zoals Claude Code, Cursor en Aider gebruiken, en het wordt erkend binnen de AI-ontwikkelaarsgemeenschap voor het aanpakken van agentrisico's. Praktisch advies: test beleidsbestanden eerst op niet-gevoelige projecten en houd handmatige codebeoordeling voor hoog-risico of productie-uitvoeringen om gedrag op te vangen dat de sandbox niet dekt.
