Один бинарник закрывает ИИ-агенту доступ к чужим файлам без Docker и root-прав

Агент с доступом к командной строке удобен, пока не вызовет инструмент, который лезет, куда не надо. Docker спасает, но тянуть демон и root-права для одного вызова уже перебор.

Разработчик собрал xenarch-guard: запускаете его с флагом --allow-write ./workspace, и Python видит только ./workspace, а опасные системные вызовы отрезаны. Внутри Landlock ограничивает пути, seccomp-bpf фильтрует системные вызовы, и оба механизма ядра Linux работают без привилегий. Обёртка не форкает процесс, а заменяет себя на команду через execve(), так что не остаётся родителя, к которому можно обратиться.

Изучить и попробовать инструмент можно по ссылке.