[!WARNING] 这是一个尚未经过全面安全审计的早期 Alpha 版本。尽管我们已采取措施实施强大的安全机制，但仍可能存在未被发现的问题。在我们发布稳定的 1.0 版本之前，不建议将其用于生产环境。

[!IMPORTANT] 积极的开发可能会导致中断——如果出现问题，很可能是我们的原因，而不是您。

• Supervisor: 我们正在开发一种运行时生命周期管理功能，使 Supervisor 成为默认的执行模式，并引入 ps、attach、detach、inspect 和 stop 等命令。#502
• Packages & Skills: 针对编码代理的自定义钩子、技能和脚本系统——社区注册表或任何 Git 仓库都可以作为来源。#459
• Policy: 我们仍在继续努力，使所有功能完全可组合且基于组策略。#446

---

AI 代理通常拥有文件系统访问权限、可以执行 Shell 命令，并且极易受到提示注入攻击。传统的应对方式是使用护栏和策略。然而，问题在于这些策略可能被绕过，而护栏也可能被“说服”失效。

有了 nono，您无需担心这些问题。no-no 可以在几秒钟内将您的代理包裹在一个内核隔离的沙箱中——内置 API 密钥保护、破坏性操作防护以及完整的快照与回滚功能。无需配置虚拟机管理程序，无需挂载容器卷，也不存在延迟开销。

---

平台支持： 目前支持 macOS 和 Linux，Windows 即将推出。

Homebrew (macOS/Linux)

brew install nono

其他安装选项

预编译的二进制文件和包管理器安装说明，请参阅安装指南。

---

CLI

CLI 是最快上手的方式！无启动延迟，无需安装虚拟机管理程序、运行时或挂载卷……只需一条命令即可实现沙箱化并提供保护。

# 任何 CLI 代理——只需在 -- 后面加上您的命令
nono run --profile claude-code -- claude
nono run --profile codex -- codex
nono run --profile opencode -- opencode
nono run --profile openclaw -- openclaw
nono run --profile swival -- swival

nono run --allow-cwd -- python3 my_agent.py
nono run --allow-cwd -- npx @anthropic/agent-framework

# MCP 服务器、代理，任何东西！
nono run --read /data -- npx @modelcontextprotocol/server-filesystem /data
nono run --profile pydantic-ai-agent --allow logs/ -- uv run my_agent.py
nono run --profile custom-profile -- node agent.js

内置针对 Claude Code、Codex、OpenCode、OpenClaw 和 Swival 的配置文件——或者您也可以通过自定义权限来定义自己的配置文件。

---

Library

核心是一个 Rust 库，可以通过原生绑定嵌入到任何应用程序中。该库是一个无策略的沙箱基础组件——它仅应用客户端明确请求的内容。

Rust — crates.io

use nono::{CapabilitySet, Sandbox};

let mut caps = CapabilitySet::new();
caps.allow_read("/data/models")?;
caps.allow_write("/tmp/workspace")?;

Sandbox::apply(&caps)?;  // 不可逆——从此时起由内核强制执行

Python — nono-py

from nono_py import CapabilitySet, AccessMode, apply

caps = CapabilitySet()
caps.allow_path("/data/models", AccessMode.READ)
caps.allow_path("/tmp/workspace", AccessMode.READ_WRITE)

apply(caps)  # 应用能力集

TypeScript — nono-ts

import { CapabilitySet, AccessMode, apply } from "nono-ts";

const caps = new CapabilitySet();
caps.allowPath("/data/models", AccessMode.Read);
caps.allowPath("/tmp/workspace", AccessMode.ReadWrite);

apply(caps);  // 不可逆——从此时起由内核强制执行

---

功能

内核强制执行的沙箱

no-no 应用操作系统级别的限制，这些限制无法从沙箱进程内部被绕过或提升权限。权限以执行前授予的能力形式定义——一旦沙箱被应用，便不可逆转。所有子进程都会继承相同的限制。

平台	机制	最低内核版本
macOS	Seatbelt	10.5+
Linux	Landlock	5.13+

# 授予对 src 的读取权限，对 output 的写入权限——其余一切均由内核禁止
nono run --read ./src --write ./output -- cargo build

凭证注入

两种模式：代理注入会将凭证完全保留在沙箱之外——代理连接到 localhost，代理会将真实的 API 密钥注入到上游请求中。环境变量注入则会从操作系统密钥链、1Password 或 Apple Passwords 中加载秘密，并在沙箱锁定之前将其注入为环境变量。

# 代理模式——代理甚至在其自身内存中都看不到 API 密钥
nono run --network-profile claude-code --proxy-credential openai -- my-agent

# 环境变量模式——更简单，但秘密存在于进程环境中
nono run --env-credential openai_api_key --allow-cwd -- my-agent

# 1Password — 将 URI 引用映射到目标环境变量
nono run --env-credential-map 'op://Development/OpenAI/credential' OPENAI_API_KEY --allow-cwd -- my-agent

# Apple Passwords (macOS) — 将 URI 引用映射到目标环境变量
nono run --env-credential-map 'apple-password://github.com/alice@example.com' GITHUB_PASSWORD --allow-cwd -- my-agent

代理技能溯源与供应链安全

指令文件（SKILLS.md、CLAUDE.md、AGENTS.md、AGENT.MD）及其相关工件（如脚本）是供应链攻击的潜在途径。nono 使用 Sigstore 的 DSSE 封装和 in-toto/SLSA 样式的声明，对这些文件进行加密签名并验证。它支持基于密钥的签名（系统密钥库）和无密钥签名（通过 GitHub Actions + Fulcio + Rekor 实现的 OIDC）。在执行时，nono 会验证签名、检查签名证书是否来自受信根证书，并验证声明中的谓词（例如：在过去 30 天内签名、由受信维护者签名）。

您可以在 GitHub Actions 工作流中直接对指令文件进行签名。用户随后可以验证这些文件是否确实来自预期的仓库和分支，并且是由受信维护者签名的。

网络过滤

通过本地代理实现基于白名单的主机过滤。沙箱会阻止所有直接的出站连接——代理只能访问明确允许的主机。云元数据端点则被硬编码为禁止访问。

nono run --allow-proxy api.openai.com --allow-proxy api.anthropic.com -- my-agent

# 保留 claude-code 配置文件，但在此会话中允许无限制的网络访问
nono run --profile claude-code --allow-net -- claude

监督与能力扩展

在 Linux 系统上，当代理需要访问其沙箱之外的资源时，seccomp 用户通知机制会拦截系统调用。监督程序会提示用户，然后直接注入文件描述符——代理本身不会执行 open() 系统调用。无论是否获得批准，敏感路径始终无法授予访问权限。

nono run --rollback --supervised --profile claude-code --allow-cwd -- claude

撤销与快照

在沙箱执行之前和期间，会对您的工作目录进行内容寻址式快照。使用 SHA-256 进行去重，并通过默克尔树承诺来验证完整性。您可以交互式地查看并恢复单个文件或整个目录。对于已知可再生的目录（如 .git、target、node_modules 等）以及包含超过 10,000 个文件的目录，系统会自动将其排除在快照之外，以避免在大型项目中出现卡顿。

# 使用 zero 标志——自动排除大型或可再生目录
nono run --rollback --allow . -- npm test

# 强制包含一个被自动排除的目录
nono run --rollback --rollback-include target -- cargo build

# 排除自定义目录不参与撤销操作
nono run --rollback --rollback-exclude vendor -- go test ./...

# 完全禁用撤销功能
nono run --no-rollback --allow . -- npm test

nono rollback list
nono rollback restore

可组合策略组

安全策略以命名组的形式定义在一个 JSON 文件中。配置文件通过名称引用这些组——从而可以从可重用的构建模块中组合出细粒度的策略。

{
  "deny_credentials": {
    "deny": { "access": ["~/.ssh", "~/.gnupg", "~/.aws", "~/.kube"] }
  },
  "node_runtime": {
    "allow": { "read": ["~/.nvm", "~/.fnm", "~/.npm"] }
  }
}

破坏性命令拦截

危险命令（rm、dd、chmod、sudo、scp）会在执行前被拦截。您可以通过 --allow-command 参数在每次调用时覆盖拦截，或者通过配置文件中的 allowed_commands 设置永久允许某些命令。此外，还可以使用 add_deny_commands 来额外阻止特定命令。

$ nono run --allow-cwd -- rm -rf /
nono: blocked command: rm

# 在每次调用时覆盖拦截
nono run --allow-cwd --allow-command rm -- rm ./temp-file.txt

# 通过配置文件覆盖
# { "security": { "allowed_commands": ["rm"] } }
nono run --profile my-profile -- rm /tmp/old-file.txt

# 在配置文件中阻止特定命令（使用 add_deny_commands）——同时配合 add_deny_access 来阻止对套接字的访问
# { "policy": { "add_deny_access": ["/var/run/docker.sock"], "add_deny_commands": ["docker", "kubectl"] } }
nono run --profile no-docker -- claude

[!WARNING] 命令拦截是在内核沙箱之上的一层纵深防御。如果使用 sh -c '...' 或包装脚本，仍有可能绕过此机制——真正的安全边界在于沙箱的文件系统限制。

主题

nono 自带多个受流行终端配色方案启发的颜色主题，默认主题为 Catppuccin Mocha。

主题	描述
mocha	Catppuccin Mocha — 温暖的深色（默认）
latte	Catppuccin Latte — 干净的浅色
frappe	Catppuccin Frappe — 柔和的深色
macchiato	Catppuccin Macchiato — 深邃而鲜艳的深色
tokyo-night	Tokyo Night — 冷色调的蓝色和紫色
minimal	灰度配橙色点缀

# 每次调用时指定
nono --theme tokyo-night run --allow-cwd -- my-agent

# 通过环境变量设置
export NONO_THEME=latte

# 通过配置文件 (~/.config/nono/config.toml)
# [ui]
# theme = "frappe"

审计追踪

每个受监督的会话都会自动记录命令、时间、退出码、网络事件以及加密快照的承诺信息，并以结构化 JSON 格式保存。您可以通过 --no-audit 参数选择关闭审计功能。

nono audit list
nono audit show 20260216-193311-20751 --json

快速入门

Homebrew（macOS/Linux）

brew install nono

其他 Linux 安装选项

有关预编译二进制文件和包管理器安装说明，请参阅安装指南。

从源代码编译

有关从源代码编译的信息，请参阅开发指南。

支持的客户端

nono 内置了针对热门 AI 编程代理的配置文件。每个配置文件都定义了经过审核的最小权限。

客户端	配置文件	文档
Claude Code	claude-code	指南
Codex	codex	指南
OpenCode	opencode	指南
OpenClaw	openclaw	指南
Swival	swival	指南

自定义配置文件可以通过 "extends": "claude-code"（或多个："extends": ["claude-code", "node-dev"]）来扩展内置配置，继承所有设置并添加覆盖。nono 是代理无关的，适用于任何 CLI 命令。更多使用细节、配置和集成指南，请参阅完整文档。

使用 nono 的项目

项目	仓库
claw-wrap	GitHub

架构

nono 采用 Cargo 工作区结构：

• nono (crates/nono/) -- 核心库。一个无策略的沙箱原语，仅应用客户端显式请求的内容。
• nono-cli (crates/nono-cli/) -- CLI 可执行文件。负责所有安全策略、配置文件、钩子及用户界面。
• nono-ffi (bindings/c/) -- 自动生成头文件的 C FFI 绑定。

各语言特定的绑定由单独的仓库维护：

语言	仓库	包
Python	nono-py	PyPI
TypeScript	nono-ts	npm

贡献

我们鼓励使用 AI 工具为 nono 做贡献。然而，在提交之前，您必须理解并仔细审查任何由 AI 生成的代码。nono 的安全性至关重要——请务必彻底审查和测试您的代码，尤其是在核心沙箱功能相关部分。如果您不理解某项更改的工作原理，请在提交 PR 之前先在 Discord 中寻求帮助。

安全

如果您发现安全漏洞，请不要公开提交问题。相反，请遵循我们安全政策中规定的负责任披露流程。

许可证

Apache-2.0

nono 快速上手指南

简介

nono 是一个专为 AI Agent 设计的安全沙箱工具。它通过内核隔离技术，从结构上阻止危险操作，提供 API 密钥保护、破坏性操作防护以及完整的快照/回滚功能，无需配置 Hypervisor 或容器卷挂载。

[!WARNING] 早期 Alpha 版本警告：此版本尚未经过全面的安全审计。虽然已实施稳健的安全措施，但仍可能存在未发现的问题。在发布稳定的 1.0 版本之前，不建议在生产环境中使用。

环境准备

• 操作系统：目前支持 macOS 和 Linux。Windows 支持即将推出。
• 内核要求：
  • macOS: 10.5+ (使用 Seatbelt)
  • Linux: 5.13+ (使用 Landlock)
• 前置依赖：无特殊依赖，建议使用 Homebrew 管理。

安装步骤

方式一：Homebrew（推荐）

适用于 macOS 和 Linux 用户：

brew install nono

方式二：预编译二进制文件

如需其他包管理器指令或特定版本，请参考官方 安装指南。

基本使用

nono 的 CLI 是最快捷的使用方式。只需一条命令即可启动沙箱并运行 Agent，无需额外配置运行时或挂载卷。

1. 运行内置配置的 Agent

nono 内置了多种流行 Agent 的配置 Profile（如 Claude Code, Codex 等）：

nono run --profile claude-code -- claude
nono run --profile codex -- codex
nono run --profile opencode -- opencode

2. 自定义权限运行

你可以手动指定允许读取或写入的目录，其余访问将被内核拒绝：

# 仅允许读取 src 目录，写入 output 目录
nono run --read ./src --write ./output -- cargo build

# 允许当前工作目录，运行 Python 脚本
nono run --allow-cwd -- python3 my_agent.py

3. 启用回滚与快照

在执行前自动创建内容寻址快照，支持交互式恢复：

nono run --rollback --allow . -- npm test

4. 网络与凭证控制

限制 Agent 只能访问特定的 API 主机，并安全注入凭证：

# 仅允许访问 OpenAI 和 Anthropic 的 API
nono run --allow-proxy api.openai.com --allow-proxy api.anthropic.com -- my-agent

# 使用代理模式注入 OpenAI 凭证（Agent 无法直接看到密钥）
nono run --network-profile claude-code --proxy-credential openai -- my-agent

---

[!IMPORTANT] 开发中提示：Active development may cause disruptions。如果遇到故障，很可能是工具本身的问题而非你的配置问题。