Песочница для кода ограничивает последствия команд агента ещё до проверки написанной правки

Почему ревью не закрывает риск? Агент запускал сборку и скрипты: они могли обратиться к базе или отправить запрос до коммита.

Ветка Git отделяет правку от основного кода, но не отнимает доступ к базе. Откат коммита не отменяет отправленное письмо.

Ответственность за ошибку разбираем отдельно. Здесь решение раньше: среда отказывает в доступе за границей независимо от текста поручения.

Что ограничить? Файлы, секреты и сеть требуют отдельных границ: право менять рабочую копию не даёт права читать все файлы.

Процесс может получить ключ без чтения файла: программы наследуют переменные окружения. Проверяют также доступы, переданные при запуске.

Правила для агента объясняют работу. Фраза «не трогать рабочую базу» не заменяет отсутствие её адреса и доступа к ней.

Что охватывает sandbox? Песочница Claude Code ограничивает оболочку и её процессы, но не файловые инструменты, MCP и хуки.

Даже в песочнице Claude Code по умолчанию доступны чтение большей части файлов и окружение. Их ограничивают дополнительно.

Ограничения OpenAI Codex зависят от режима. Среда задаёт доступы, согласование регулирует исключения, полный доступ снимает границы песочницы.

Контейнер тоже требует настройки. Docker предупреждает: подключённая папка компьютера по умолчанию доступна на запись из контейнера.

Что показывает Открытая машина vibecoding.ru? Инженер ведёт машину агентов; счётчик работы не доказывает изоляцию.

Проверили первичные записи наших поломок. Лента отделяет обнаруженную возможность утечки от фактического удаления.

Лишний ключ убирают до следующего запуска. Если граница блокирует нужное действие, согласуют конкретное исключение вместо полного доступа.

Отказ среды может остановить полезную работу. Это повод уточнить границу задачи, а не отключить защиту для всех последующих команд.

Инженер принимает исключение до его выполнения. Агент приносит недоступный ресурс и причину, по которой он нужен для задачи.

Как принять среду? Проверяют отказы на искусственных данных. Ответ агента «я не буду» не считается результатом.

Проверяют каждый доступный путь: команды, файловые инструменты и MCP. Иначе испытание оболочки оставляет соседний инструмент без проверки.

Рабочие пароли не используют. Вместо секрета берут искусственную строку, вместо чужой папки создают контрольную. Журнал сохраняет факт отказа.

Внутри границы агент должен собрать проект. Если тест требует рабочей базы, сначала меняют тестовую зависимость, а не права всей среды.

Для исключения называют ресурс, действие и момент отзыва доступа. Полный доступ ради одной команды отменяет смысл допуска.

Изменили среду или набор инструментов, повторите пробы. Иначе журнал описывает прежний запуск, а новая команда получает другие права.

С этим протоколом можно обсудить запуск для компании: какие доступы потребуются первой задаче и кто принимает исключения.

Что спросить у подрядчика? Доступы процесса, исключения и журнал проб: фраза «код в вашей ветке» среду выполнения не описывает.

На 8 октября 2026 подписка на агентную разработку стоит 250 000 ₽ в месяц за «Один проект». Код идёт в репозиторий заказчика.

Выделенная песочница для каждого клиента на странице услуг не заявлена. Ограниченную среду выполнения нужно согласовать при подключении.

Условия записывают так, чтобы их можно было проверить до задачи. Строка «агент работает безопасно» не позволяет принять результат настройки.

Журнал отказов связывают с конкретным запуском. После смены настроек или выдачи нового ключа прежний протокол уже не описывает все доступы.

1. Команда действует раньше ревью. Ограничьте её доступы до запуска.

2. Проверьте файлы, секреты и сеть отдельно; название режима не описывает все права.

3. Проверьте каждый инструмент. Отказ оболочки не доказывает отказ других путей.

4. Принимайте среду по отказам на искусственных данных и полезной сборке внутри.

5. Согласуйте исключения и повторяйте пробы после изменения среды.