Cisco DefenseClaw：给编码 Agent 加上沙箱、策略与审计
Cisco 10 月 21 日介绍了开源的 DefenseClaw 与 NVIDIA OpenShell 的集成。OpenShell 让每个 Agent 运行在零信任沙箱中，由管理员规定可访问的文件、网络、工具和凭据；DefenseClaw 在此之上按登录用户和组选择策略，对每次提示、工具调用和结果做护栏检查，并留下统一的审计记录。
适用：Claude CodeCodexCursorGitHub CopilotOpenHandsOpenCode
能做什么
- 按操作系统登录身份和用户组选择策略配置，决定沙箱与出站规则
- 对每次提示、工具调用和工具结果做护栏检查和可观测记录
- 按主机名控制 Agent 的访问目标，无需解密流量
- 会话结束时让开发者保留、撤销或回退 Agent 的改动
- 把审计记录导出到 Splunk 或任意 OpenTelemetry 后端
好在哪里
- 强制沙箱：策略要求时拦截在宿主机直接启动的 Agent，并给出正确的启动命令
- 凭据隔离：配合 OpenShell，Agent 只拿到占位符而非真实的模型服务密钥
- 安装器支持用 cosign 校验 checksums.txt 的 Sigstore 签名
安装 / 启用
curl -LsSf https://github.com/cisco-ai-defense/defenseclaw/releases/latest/download/install.sh | bash defenseclaw quickstart
要点
- 安装时会询问要保护哪个 Agent（默认 Codex），文档列出的连接器包括 Claude Code、Cursor、GitHub Copilot、OpenHands、OpenCode 等
- 策略要求沙箱时，直接在宿主机启动的 Agent 会被拦截，并提示对应的沙箱启动命令，如 defenseclaw sandbox run claude
- OpenShell 中的 Agent 只能看到模型服务凭据的占位符，所有连接由受信任的监管进程转发
- README 明确说明它负责执行策略和记录证据，不保证 Agent 或第三方能力没有风险；安装方式为 curl 管道到 bash，建议先审阅脚本
为什么值得关注
适合需要在团队范围内统一管控编码 Agent 权限、又要满足审计要求的平台或安全团队；个人开发者也可以用沙箱模式降低 Agent 误操作的影响。
来源
原文
Protect enterprise coding agents with Cisco DefenseClaw and NVIDIA OpenShell
Cisco Blogs · blogs.cisco.com · 2026-10-21
原文
cisco-ai-defense/defenseclaw
GitHub · github.com
原文
DefenseClaw: Install
Cisco · cisco-ai-defense.github.io
### [Cisco DefenseClaw：给编码 Agent 加上沙箱、策略与审计]({{URL}})
Cisco 10 月 21 日介绍了开源的 DefenseClaw 与 NVIDIA OpenShell 的集成。OpenShell 让每个 Agent 运行在零信任沙箱中，由管理员规定可访问的文件、网络、工具和凭据；DefenseClaw 在此之上按登录用户和组选择策略，对每次提示、工具调用和结果做护栏检查，并留下统一的审计记录。
- 安装时会询问要保护哪个 Agent（默认 Codex），文档列出的连接器包括 Claude Code、Cursor、GitHub Copilot、OpenHands、OpenCode 等
- 策略要求沙箱时，直接在宿主机启动的 Agent 会被拦截，并提示对应的沙箱启动命令，如 defenseclaw sandbox run claude
- OpenShell 中的 Agent 只能看到模型服务凭据的占位符，所有连接由受信任的监管进程转发
- README 明确说明它负责执行策略和记录证据，不保证 Agent 或第三方能力没有风险；安装方式为 curl 管道到 bash，建议先审阅脚本
**为什么值得关注**：适合需要在团队范围内统一管控编码 Agent 权限、又要满足审计要求的平台或安全团队；个人开发者也可以用沙箱模式降低 Agent 误操作的影响。
来源：[Protect enterprise coding agents with Cisco DefenseClaw and NVIDIA OpenShell](https://blogs.cisco.com/ai/protect-enterprise-coding-agents-with-cisco-defenseclaw-and-nvidia-openshell)；[cisco-ai-defense/defenseclaw](https://github.com/cisco-ai-defense/defenseclaw)；[DefenseClaw: Install](https://cisco-ai-defense.github.io/defenseclaw/docs/get-started/install/)