Zidos работает у вас: команды идут в песочницу, шаги в журнал. Каждый механизм ниже показан живым примером.
security.txt
Разрешение, песочница, рабочий стол, браузер. Примеры живут на странице и ничего не шлют.
go test -race ./internal/session
Ответьте
permission.promptedrisk read_only · rule default:read_onlypermission.decidedallow · onceВ примере: разрешите, отклоните или выберите альтернативу; решение попадает в журнал примера.
go test -race ./...
Песочница✓ Результат возвращён--unshare-net--die-with-parent--clearenvНа Linux команда выполняется в bubblewrap без сети. Нет песочницы, нет запуска.
Помощники Linux (X11) работают в закрытом профиле bwrap: без сети и D-Bus, только DISPLAY. Без bwrap отказ.
Wayland, macOS и Windows не покрыты.
Сайт разрешён
Готово.
httpbin.org
Адрес вне списка отклонён
browser_navigation_deniedhttpbin.org
В примере адрес из списка открывается, чужой нет, пароль в журнале скрыт. На Linux Chromium работает в своей песочнице внутри нашей.
Контрольные точки подписаны Ed25519. Подмену находит отдельная программа.
permission.prompted
permission.decided
Ошибка · запись 2
Скрыт до записи
Authorization: [REDACTED]Цепочка цела · 3 записи
Агент запускает команду, которая трогает систему или сеть.
На Linux команды идут в песочницу bubblewrap; сеть внутри отрезана. Без песочницы команда не выполняется.
Страница содержит инструкции для модели.
На Linux Chromium работает внутри своей песочницы: отдельные пространства процессов, seccomp у вкладок.
Набор инструментов сервера меняется после подключения.
Планируем остановку работы при смене набора инструментов MCP.
Клиент с телефона или другой машины получает больше, чем нужно.
Корневой ключ на удалённом порту отклоняется (403), принимается ограниченный. Поля с учётными данными вырезаются из ответов. Управление браузером с телефона не включено. Пока проверка ключей не включена, любой локальный вызывающий получает роль admin: это режим совместимости.
Другой пользователь этой машины читает приватное состояние.
Запись в журнале подменена или хвост обрезан.
Контрольные точки подписаны (COSE_Sign1, Ed25519) и связаны в цепочку; есть режим обязательных контрольных точек. Независимый верификатор: отдельный Go-модуль без импорта ядра. Без ключей оператора точки остаются непроверенными.
Секрет попадает в журнал, в запрос к провайдеру или к агенту.
При записи вырезаются заданные секреты и известные форматы: ключи облачных провайдеров, bearer, закрытые PEM, JWT. Не все секреты. Запрос к провайдеру проходит редакцию перед отправкой; при сбое сканера не уходит. Секреты каналов хранятся запечатанными, только на запись. В песочнице Windows профиль, AppData, реестр и Credential Manager закрыты; секреты в рабочей папке агенту видны.
Что проверено, что частично, что в плане.
| Механизм | Где и как |
|---|---|
| Песочница команд, Linux | bubblewrap, сеть отрезана |
| Песочница команд, Windows | Профиль, AppData, реестр и Credential Manager закрыты. Проверено на одном компьютере и учётной записи (Windows 11). |
| Песочница команд, macOS | Частично |
| Песочница браузера | Linux. На macOS и Windows не поддержана: отказ без запуска драйвера. |
| Управление рабочим столом | Linux/X11 в закрытом профиле bwrap |
| Windows-сервис | Не поддерживается |
| Управление браузером с телефона | Не включено |
| Подписи выпусков | Скрипты проверки и публичный якорь есть. Подпись каждого выпуска не утверждаем. |
| Воспроизводимые сборки | Проверка есть в скриптах выпуска; результат прогона на выпуске не подтверждён. |
| Остановка при смене MCP, неизменяемый архив журнала, внешняя метка времени, SIEM | Планируем |
| Сертификаты (SOC 2, ISO, HIPAA) | Нет |
| Приём сообщений об уязвимостях | См. security.txt |
Куда идут данные, что видит провайдер, как перенести.
Ядро слушает только этот компьютер. Удалённый доступ идёт через отдельный слушатель со своими ключами.
Запрос после редакции секретов. При сбое сканера запрос не уходит. Claude, ChatGPT и Gemini работают с вашей подпиской.
Заданные секреты и известные форматы вырезаются до записи: ключи облачных провайдеров, bearer, закрытые PEM, JWT. Неизвестный формат может остаться.
Командой экспорта и импорта. Секреты в архив по умолчанию не входят.
На Linux сеть у команд в песочнице отрезана всегда; это покрыто тестом.