nono：AI Agent 运行时安全沙箱

项目简介

nono 是一个完整的 Agent 运行时安全工具（agent runtime security），由打造 Sigstore 的团队开发。它以内核强制的沙箱为基础，为 AI Agent 及其工具、凭据、技能与指令文件提供保护、验证、审计和恢复的完整流程，主打零信任、零配置、低延迟与极小体积。

它不需要 root 权限，只有一个二进制文件，支持 macOS、Linux 和 Windows（WSL2），可以运行在开发者笔记本、Kubernetes Pod、CI 工作流、容器或 microVM 中，并与现有基础设施组合形成纵深防御。

可以接入 Claude Code、Codex、Copilot、OpenCode、Goose、OpenClaw、Hermes、Pi 等 Agent，也支持用 ADK、Mastra、Pydantic AI、LangChain 等框架自行开发的 Agent。

主要功能

• 工具沙箱：每个工具在独立的临时沙箱中运行，与 Agent 及其他工具隔离；可对文件、网络访问、环境变量和凭据设置显式权限，并控制 Agent 能调用哪些命令、哪些工具之间可以互相调用。
• 凭据保护：API Key 保留在 Agent 沙箱之外，通过代理注入，只对单个工具可见；可用 phantom token 把凭据使用限定在已批准的工具上。
• 网络访问控制：通过域名过滤和针对 HTTP 方法、路径的 API 规则，限制 Agent 连接的目标以及在目标上能做什么。
• 供应链与技能验证：借助 Sigstore 校验 skills、hooks 和指令文件的来源与完整性，定义信任的发布者，拒绝未签名或被篡改的文件。
• 加密审计：保留防篡改的 Agent 会话与安全决策记录，支持完整性校验和可选签名。
• 回滚与恢复：审阅文件变更，并在 Agent 走错方向时从经过验证的快照恢复被跟踪的文件。
• 策略不受 Agent 控制：策略以可组合的 profile 定义，例如 aws CLI 可以使用某个凭据而 curl 不能、gh 只能向 org/foo 发帖、git 可在自己的策略下调用 ssh 而 Agent 不能直接调用 ssh。
• 提供 Rust 与 Python 的 FFI 绑定，Python 绑定见 nono-py。

安装与使用

macOS / Linux 的安装方式：

• curl -fsSL https://nono.sh/install.sh | sh
• brew install nono
• Nix：nix run github:nolabs-ai/nono#prebuilt（直接使用官方预编译版本，不编译源码）

搜索 registry 中的 Agent，拉取并运行：

nono search pi
nono pull nolabs-ai/pi
nono run --profile nolabs-ai/pi -- pi

应用沙箱之前，nono 会显示具体的文件系统、网络和凭据访问范围。主流 Agent 的 profile 位于 registry.nono.sh，各自打包了合适的文件系统范围、网络白名单、hooks、skills 等内容。

需要定制时，可以基于已有 profile 生成一份可编辑的配置：

nono profile init pi-local --extends nolabs-ai/pi
nono run --profile pi-local -- pi

profile 是可组合的 JSON，可在分享给团队或公开发布前逐项审阅其中的文件系统、网络、凭据和工具规则。Debian/Ubuntu、Fedora、Arch、RHEL、openSUSE、WSL2 等其他平台的安装说明见官方文档。

注意事项

• 项目处于 1.0 发布前的阶段，API 正在趋于稳定，必要时仍可能发生少量变更。
• 发现安全漏洞时请不要公开提交 issue，应按照仓库的 Security Policy 流程处理。
• 许可证为 Apache-2.0。

本作品整理自 GitHub 开源项目 nolabs-ai/nono，原作者 @nolabs-ai，许可证 Apache-2.0。中文介绍由 AI 根据项目 README 整理，以原仓库为准。