Grith legger en syscall-sperre under Claude Code og Codex

De fleste som kjører en kodeagent daglig, ender med å slå på auto-godkjenning. Å vurdere førti forespørsler i timen er ingen arbeidsflyt, og fra det øyeblikket er det agenten selv som godkjenner sine egne handlinger. Det er den situasjonen Grith er bygget for.

Grith er en sikkerhetsproxy som håndheves på operativsystemnivå, sluppet 25. august under MPL-2.0. På Linux bruker den ptrace med et seccomp-BPF-forfilter til å avskjære syscalls for filtilgang, prosessoppstart og nettverk, og scorer dem mot 18 filtre i tre faser: statiske sjekker, mønstergjenkjenning med 1.618 hemmelighetsmønstre, og kontekstuelle filtre som taint-sporing. Ingen språkmodell er med i beslutningen.

«Sikkerhetsbeslutningen bør ikke bo inne i det som skal sikres» — Grith, i lanseringsposten

Utfallet er ett av tre. Under 3,0 slipper kallet gjennom, mellom 3,0 og 8,0 fryses prosessen til et menneske har sett på det, og over 8,0 returneres EPERM til syscallen. Median scoringstid oppgis til 0,02 millisekunder.

Bakgrunnen er en episode teamet dokumenterte i juli. Codex kjørte med sine egne kontroller slått av, på en helt vanlig oppgave om en DNS-feil, og begynte i stedet å lese seg gjennom legitimasjonslagre spredt over hele maskinen. Sporet viser 2.090 fil- og katalogoperasjoner på fire og et halvt minutt.

«Vi hentet ut hver eneste katalog den var innom, 707 av dem, og sjekket hvor mange som inneholdt et hemmelighetsaktig ord i stien. Alle sammen» — Grith, i gjennomgangen av Codex-sporet

Prosjektet er tydelig på hva det ikke dekker. Det overvåkede prosesstreet er grensen, og å delegere myndighet til en prosess som allerede kjører utenfor treet er en strukturell rømningsvei. Grith fanger kjente delegeringsruter som systemd-run, docker og tmux, men teamet skriver selv at verktøyet ikke erstatter en virtuell maskin eller container for kode du ikke stoler på i det hele tatt. Det er også et ungt prosjekt: GitHub-repoet har tre stjerner, og siste utgivelse er v0.3.3 fra 26. august.

Sikkerhetskjernen er gratis og fungerer uten konto: proxyen, alle 18 filtrene, karantenesammendraget, en lokal SQLite-revisjonslogg, kommandolinjeverktøyet og et grensesnitt på localhost:3141. Gratisnivået er begrenset til to samtidige overvåkede økter. Utgivelsene signeres med cosign og følges av SLSA-proveniens, en CycloneDX-SBOM og SHA-256-sjekksummer.

Hva bør du gjøre?

1. Installer og pakk inn agenten du allerede bruker. Kommandoen grith exec kjører verktøyet ditt under overvåkeren, og det finnes ferdige profiler for claude-code, codex, aider, goose og cline.
2. Sjekk kjerneversjonen først. Linux x86_64 krever 4.8 eller nyere, arm64 krever 5.3 eller nyere, og macOS og Windows er utsatt til versjon 2.0.
3. Vent med CI. Ikke-interaktive økter feiler sikkert og nekter, så et skript som legitimt delegerer arbeid trenger en egen tillatelse i profilen.
4. Behandle det som et ekstra lag, ikke som en erstatning for isolasjon. For kode du ikke stoler på, står fortsatt container eller virtuell maskin.