Brig låser kodeagenten inne i en microVM med bare ett prosjekt synlig

En kodeagent som jobber uten tilsyn, kan bare ødelegge det du har gitt den. Det er premisset i README-en til Brig, et åpent verktøy på GitHub som kjører agenten i en microVM på din egen maskin. Én kommando starter både sandkassen og agenten: brig run claude ~/code/demo monterer prosjektet med lese- og skrivetilgang på /work/demo og åpner Claude Code der.

Sandkassen starter uten legitimasjon, så agenten ber deg logge inn. Gjesten får verken andre mapper fra verten, nøkkelringen eller SSH-agenten din. Flere økter av samme agent, som claude og claude@refactor, får hver sin sandkasse, og brig rm claude fjerner en av dem uten å røre prosjektmappen.

På Mac trenger du Apple Silicon og macOS 15 eller nyere, fordi seks av de åtte innebygde profilene krever hvi-backenden. macOS 14 fungerer med BRIG_HYPERVISOR=vz, Intel-Mac støttes ikke, og Linux på x86-64 eller arm64 krever nerdctl, containerd og urunc-shimen.

README-en er tydelig på hvor isolasjonen slutter. Prosjektmappen er dine ekte filer, og agenten kan endre alt i den.

«På det delte standardnettverket når agenten internett, så alt den kan lese, kan den også sende» — README-en til Brig

Regler for utgående trafikk håndheves bare på hvi-backenden til hull, og Brig nekter å starte en policy-bundet økt på andre backender fremfor å kjøre den uten håndheving. Bildeverifisering står som standard på «warn», som varsler om et image som ikke kan verifiseres, men starter det likevel.

Brig selv teller ingenting. På macOS teller hull-runtimen noen få hendelser, og på Linux sendes ingenting. Lisensen er Apache 2.0, og README-en omtaler prosjektet som en prerelease.

Hva bør du gjøre?

1. Installer med brew install --cask brig etter brew tap og brew trust mot brig-sh/brig, og kjør så brig doctor, som skriver fiksen ved siden av hver sjekk som feiler.
2. Sett BRIG_VERIFY=require hvis Brig skal nekte å starte images som ikke kan verifiseres, og slå av telemetrien med brig telemetry off.
3. Gi agenten en egen klone eller git-gren av prosjektet, siden monteringen skriver rett til de ekte filene dine.