OPEN SOURCE SKILL · AGENT SECURITY

Hermes
RepoQuarantine

Workflow для незнакомого кода: сначала отделить агента от хоста, затем читать, и только после отдельного решения — что-то запускать.

Открыть репозиторий ↗Как начать
Репозиторий в изолированном прозрачном контуре: входящие сетевые линии останавливаются на границе карантина
Публичная версия 0.2.0

Поддерживает Hermes, Claude Code и Codex. Внутри — один общий контракт, тонкие адаптеры и проверка attestation перед первичным review.

Последнее существенное обновление: 13 ноября 2026.

ЧТО ДЕЛАЕТ

Не пытается угадать вредоносный код. Меняет условия работы с ним.

README, инструкции, CI, issues, plugins и MCP-конфигурация могут быть недоверенным вводом — даже если на вид это «просто документация». RepoQuarantine делает безопасный порядок действий явным: сначала целостный изолированный контур, потом read-only review, затем отдельные решения об исполнении.

ДО ЧТЕНИЯПроверить non-root disposable-среду, отсутствие домашней директории хоста, Docker socket, SSH-agent, browser profile и облачных конфигураций.
ПЕРВЫЙ ПРОХОДИскать манифесты, lifecycle hooks, scripts, CI, секреты, сетевые назначения, skills, plugins и MCP — без запуска кода.
ДАЛЬШЕДля install, build, tests, миграций, deploy и доступа к сети нужна отдельная причина, ограничение прав и явное решение человека.

УСТАНОВКА HERMES

Подключить репозиторий и начать с запрета на запуск.

Установите переносимый Hermes bundle. Затем дайте агенту репозиторий и явно попросите не запускать его, пока не проверен контур изоляции.

hermes skills tap add pavelnasuta/hermes-repo-quarantine
hermes skills install pavelnasuta/hermes-repo-quarantine/skills/hermes-repo-quarantine

Пример запроса: Проверь этот незнакомый репозиторий. Не запускай его, пока не подтверждена изоляция.

МАРШРУТ

Read-only — это не «запускать осторожно».

  1. Подтвердить границу. Весь процесс агента, включая file tools, terminal, plugins, hooks и MCP, должен жить в одном disposable-контуре.
  2. Пройти preflight. Аттестация проверяет объявленные controls и даёт только ALLOW_READ_ONLY либо BLOCKED.
  3. Прочитать до запуска. Первый проход — поиск и чтение файлов. Без package manager, build, test, скриптов проекта, browser automation и установки расширений.
  4. Остановиться на сигнале. Неожиданное поведение — повод отключить egress, сохранить несекретные доказательства и уничтожить disposable-среду.

ОДИН КОНТРАКТ, ТРИ АГЕНТА

Поведение не расходится между хостами.

Hermes

Self-contained skill bundle: он содержит собственные preflight, schema и синтетический пример, потому что tap-install не переносит корневые файлы репозитория.

Claude Code

Тонкий adapter подключается рядом с каноническим контрактом и запускает ту же проверку до review незнакомого репозитория.

Codex

AGENTS.md adapter ссылается на тот же контракт, а не пересказывает собственную версию security-политики.

ГРАНИЦЫ

Это не sandbox и не антивирус.

RepoQuarantine не создаёт изоляцию сам и не доказывает, что контейнер или VM настроены правильно. Attestation — проверка заявленных условий, а не замена OS-level boundary. Терминальная sandbox сама по себе тоже недостаточна, если Hermes, плагины или MCP остаются на доверенном хосте.

Workflow не устанавливает plugins, skills или MCP незаметно, не ротирует и не удаляет credentials без отдельного согласования и не превращает ALLOW_READ_ONLY в разрешение на install, build, test или deploy.

Наверх