Sandbox de kernel sem daemon para agentes de codificação de IA local
vetto, criado por Shleder, é um sandbox sem daemon que confina agentes de codificação de IA e previne a execução não intencional de código em uma máquina de desenvolvedor. A ferramenta impõe isolamento a nível de kernel em torno da atividade do agente e expõe controles baseados em políticas para acesso ao sistema de arquivos, rede e recursos. Ela é direcionada a desenvolvedores de software, pesquisadores de segurança e organizações que executam agentes de codificação autônomos que precisam de uma camada de segurança local para reduzir riscos de injeção de prompt e execução descontrolada.
Quais tarefas você pode realmente usar?
A ferramenta é construída para conter fluxos de trabalho autônomos que interagem com o host, especificamente agentes de linha de comando que seguem o Modelo de Protocolo de Contexto (MCP) ou interfaces semelhantes. Os casos de uso incluem a execução de agentes de geração de código, ferramentas de refatoração automatizadas e assistentes scriptados, enquanto previnem gravações não intencionais, exfiltração de segredos ou chamadas de rede não solicitadas. Vetto se encaixa na fase de desenvolvimento onde o código gerado é executado na máquina local e requer um limite de segurança.
Quão confiáveis são as proteções em nível de kernel na prática?
Vetto impõe políticas com primitivas de sistema operacional: no Linux, utiliza Landlock, namespaces e seccomp-BPF; no macOS, integra-se com Seatbelt. O design enfatiza um modelo de aplicação de falha fechada e baixo overhead em tempo de execução, aplicando restrições em nível de kernel em vez de depender de um daemon de contêiner de longa duração. O suporte ao Windows é descrito como experimental e mapeia para um mecanismo estilo AppContainer.
Quais controles de política e entradas ele aceita?
A configuração de políticas é baseada em arquivos e declarativa, usando TOML para regras granulares. A linguagem de políticas cobre raízes de sistema de arquivos, caminhos de negação para dados sensíveis, listas de permissão de rede específicas de domínio ou desativação total da rede, e restrições de execução, como timeouts e limites de processos. Essas entradas permitem que as equipes restrinjam I/O, bloqueiem locais secretos e limitem os privilégios de tempo de execução de um agente antes que o agente seja executado.
É prático adicionar a um fluxo de trabalho de desenvolvedor?
A ferramenta é instalada através de canais padrão de desenvolvedor, por exemplo, um pacote npm global ou um tap do Homebrew no macOS, e não requer Docker ou privilégios de root para ser executada. Isso reduz mudanças na infraestrutura para desenvolvimento local. A adoção requer a escrita e teste de políticas TOML e alguma familiaridade com primitivas de sandbox do SO, tornando-a mais adequada para equipes confortáveis com ferramentas de linha de comando e autoria de políticas.
Quem deve adotá-lo e o que observar?
A ferramenta é uma opção pragmática para desenvolvedores e organizações que utilizam ferramentas agentic como Claude Code, Cursor e Aider, e é reconhecida dentro da comunidade de desenvolvedores de IA por abordar o risco de agentes. Conselho prático: teste arquivos de política em projetos não sensíveis primeiro e mantenha a revisão de código manual para execuções de alto risco ou produção para capturar comportamentos que o sandbox não cobre.
