Repolode
提交项目
nolabs-ai

nolabs-ai/nono

面向 AI 智能体的内核级沙箱与安全运行时，管控工具调用、凭证、网络和文件变更。

在 GitHub 查看官网
Star
4,876
Fork
327
未关闭 Issue
284
最近提交
21小时前

这是什么？

nono 是一款智能体运行时安全工具，可将 Claude Code、Codex、Copilot、Goose 等 AI 智能体放进内核强制执行的沙箱中运行。智能体调用的每个工具都在独立的临时沙箱里执行，文件、网络、环境变量和凭证都需要显式授权，智能体本身无法读取未被授予的密钥。

策略以可组合的 JSON 配置文件定义，且位于智能体控制范围之外。例如，可以允许 aws CLI 使用某个凭证而阻止 curl 使用，或限制 gh 只能读取 issue 并只向指定组织发帖。网络访问可按域名过滤，也可按 HTTP 方法和路径设置规则。Skills、hooks 和指令文件可通过 Sigstore 签名校验，并与受信任的发布者列表比对。

nono 还会为会话和安全决策保留防篡改的审计记录，并能在智能体出错后从已验证的快照恢复被跟踪的文件。它以单个无需 root 权限的二进制文件运行，支持 macOS、Linux，以及通过 WSL2 运行的 Windows，并提供 Rust 和 Python 库绑定。

核心功能

  • 01按工具隔离沙箱，文件、网络、环境变量和凭证权限均需显式授权
  • 02通过代理注入凭证，API 密钥不进入智能体沙箱
  • 03支持按域名过滤网络，并可按 HTTP 方法和路径设置规则
  • 04使用 Sigstore 校验 skills、hooks 和指令文件的来源与完整性
  • 05提供防篡改的会话与安全决策审计日志
  • 06支持审查文件变更，并回滚到已验证的快照

适用场景

  • 在开发者笔记本上运行编程智能体，同时避免其接触全部凭证
  • 在 CI 流程或容器中为智能体实施命令与网络访问策略
  • 在使用前校验 skills 和 hook 脚本是否由受信任的发布者签名
  • 留存自主智能体访问和修改过哪些内容的可审计记录

快速上手

  1. 1

    使用 Homebrew 安装 nono（macOS / Linux）

    brew install nono
  2. 2

    从注册表拉取 Pi 智能体配置文件

    nono pull nolabs-ai/pi
  3. 3

    在 nono 沙箱中运行 Pi 智能体

    nono run --profile nolabs-ai/pi -- pi

使用前须知

  • Windows 仅通过 WSL2 支持，不支持原生运行。
  • 项目正接近 1.0 版本，API 仍可能发生变化。

标签

#ai-agent-sandbox#ai-security#sandboxing#zero-trust#credential-management#supply-chain-security#mcp-security#rust#agent-runtime-security#agent-sandbox

常见问题

nono 是什么？
面向 AI 智能体的内核级沙箱与安全运行时，管控工具调用、凭证、网络和文件变更。 nono 是一款智能体运行时安全工具，可将 Claude Code、Codex、Copilot、Goose 等 AI 智能体放进内核强制执行的沙箱中运行。智能体调用的每个工具都在独立的临时沙箱里执行，文件、网络、环境变量和凭证都需要显式授权，智能体本身无法读取未被授予的密钥。
nono 可以免费使用吗？用的什么许可证？
nono 以 Apache-2.0 许可证开源。用于商业产品前，请先确认许可证条款。
nono 还在维护吗？
活跃维护中。nono 最近一次提交是在 2026年11月6日。
nono 适合用来做什么？
在开发者笔记本上运行编程智能体，同时避免其接触全部凭证 在 CI 流程或容器中为智能体实施命令与网络访问策略 在使用前校验 skills 和 hook 脚本是否由受信任的发布者签名 留存自主智能体访问和修改过哪些内容的可审计记录
nono 怎么安装和运行？
使用 Homebrew 安装 nono（macOS / Linux）: brew install nono 从注册表拉取 Pi 智能体配置文件: nono pull nolabs-ai/pi 在 nono 沙箱中运行 Pi 智能体: nono run --profile nolabs-ai/pi -- pi
在哪里获取 nono？
源代码和安装说明在 GitHub 上：https://github.com/nolabs-ai/nono

概要由 AI 根据项目 README 生成；GitHub 数据每日更新。

相关项目