Die Werkbank,
die Ihre Agenten verdienen.
Tempo machen mit Ihren Agenten. Ohne die Kollateralschäden.
Bromure Agentic Coding jetzt herunterladenApple Silicon (M1 oder neuer) · Kostenlos & Open Source
Drei Modelle antworten. Ihr Agent liest eine.
Weil Bromure ohnehin auf der Leitung sitzt, muss es kein Modell wählen. Aktivieren Sie das ⚡ in der Titelleiste der Sitzung, und ein Prompt geht zugleich an ein Panel: Claude, GPT-5.5 und Grok. Ein Judge gleicht sie ab, ein Synthesizer schreibt das Ergebnis, und Ihr Agent erhält eine einzige Antwort zurück — in genau der Form, die er an der Leitung erwartet hat. Output von Fable-Klasse, ohne Fable im Raum, und jeder Leg im Trace festgehalten.
So funktioniert Fusion →Ein Kanban-Board für agentische Arbeit.
Schreiben Sie ein Briefing und übergeben Sie es dem Board. Ein Planungsagent zerlegt es in abhängigkeitsbewusste Phasen, jede Phase läuft autonom in ihrem eigenen git worktree, und fertige Arbeit landet in Testing/Review als Diff, den Sie wie einen Pull Request lesen. Backlog, Plan, In Arbeit, Test/Review, Fertig — jede Stufe ist eine Spalte, jede Aufgabe eine Karte.
Briefing rein, Plan raus
Ein interaktiver Planungsagent erkundet das Repository nur lesend, stellt die Fragen, die das Briefing offengelassen hat, und legt nummerierte Phasenkarten an — jede etwa ein prüfbarer Pull Request, mit Abhängigkeiten untereinander. Oder schießen Sie eine Aufgabe in einem Zug durch und überspringen die Planung ganz.
Jede Aufgabe in ihrem eigenen Worktree
Gestartete Phasen und One-Shot-Aufgaben laufen jeweils autonom in einem frischen Worktree und Branch. Ein Live-Statuspunkt zeigt den Agenten bei der Arbeit; ein rotes Badge sagt Ihnen im selben Moment, wenn einer an einer Frage hängt und Sie braucht.
Prüfen Sie den Diff, Zeile für Zeile
Die Testing/Review-Karte öffnet den vollständigen Diff des Branches, live aus der VM gelesen. Fahren Sie über eine beliebige Zeile, um genau dort einen Kommentar zu hinterlassen, und mergen, squashen, öffnen Sie einen Pull Request oder verwerfen den Versuch — alles über einen einzigen Split-Button.
Zurück an den Agenten
Ihre entworfenen Kommentare gehen als zeilengenaue Anweisungen zurück — „in foo.js, Zeile 196: eine andere Methode verwenden“ — und die Aufgabe kehrt auf demselben Branch nach In Arbeit zurück, für eine weitere Runde. Code-Review, ohne die App je zu verlassen.
Morgens ein geschriebenes Briefing, bis zum Mittag prüfbare Phasen und gemergter Code, den Sie tatsächlich gelesen haben.
Der Agent arbeitet, während Sie es nicht tun.
Ein Pull Request öffnet sich. Ein Issue wird gelabelt. Ein Commit landet. Bromure startet automatisch den richtigen Agenten, in einem frischen Worktree, mit dem Ereignis bereits im Kontext — und jeder Lauf zieht über sein eigenes Kanban-Board: Geplant, In Arbeit, Aufmerksamkeit nötig, Fertig. Klinken Sie sich ein, während er läuft, inspizieren Sie den Diff und mergen Sie über den Workflow, dem Sie ohnehin vertrauen. Kein Webhook-Dienst zu hosten und kein Prompt, den Sie von Hand kopieren.
Nach der Uhr oder nach dem Ereignis
Alle N Minuten, täglich, werktags oder wöchentlich — oder sobald ein PR, ein Issue oder ein Commit in einem Repo erscheint, oder ein Ticket in einem Linear-Team. Filtern Sie nach Label, Autor, Branch oder Entwurfsstatus, und verketten Sie Automatisierungen, damit ein Lauf den nächsten anstößt.
Keine Webhooks, nichts Eingehendes
Bromure fragt GitHub und Linear alle drei Minuten vom Host aus ab, mit dem Token des Arbeitsbereichs. Nichts lauscht, nichts ist dem Internet ausgesetzt, und der Token gelangt nie in die VM.
Wegwerf-Klone
Laufen Sie in einem Copy-on-Write-Klon des ganzen Arbeitsbereichs — Einstellungen, Zugangsdaten, Home-Verzeichnis —, der bootet, die Arbeit erledigt und am Ende des Laufs zerstört wird. Oder behalten Sie ihn, wenn Sie nachsehen wollen, was passiert ist.
Geprüft, bevor der Agent es liest
PR-Titel, Issue-Texte und Kommentare sind Text von Dritten, also durchläuft jedes Ereignis Bromures Prompt-Injection-Prüfung, bevor der Agent auch nur ein Wort davon sieht. Kann es nicht geprüft werden, wird der Lauf blockiert — nicht durchgewinkt.
Das Issue um 3 Uhr morgens triagiert, der PR beim Öffnen reviewt, und ein Worktree, der morgens auf Sie wartet.
Your agent can build it. Then prove it works.
Bromure puts a full web browser beside the agent, ready for both of you. It can open the product it just built, click through real journeys, inspect what went wrong, and show you the result in the same shared view—turning every coding session into a complete build, test, and refine loop.
Leave the machine. Take the workspace.
Connect to Bromure on another Mac and the entire experience comes with you: the window layout is mirrored, every workspace and live session is within reach, and an instant private network makes services inside remote VMs feel local. Keep the powerful machine where it belongs and work from wherever you do.
Lassen Sie das Modell in der Cloud oder auf Ihrem eigenen Silicon laufen.
Die Frontier-APIs in der Cloud sind eine Option. Bromure Agentic Coding kann Modelle auch lokal ausführen, auf Ihrem eigenen Apple Silicon — kein Abo, keine Abrechnung nach Verbrauch, und nichts verlässt die Maschine. Wählen Sie eines aus dem Katalog, und derselbe Proxy liefert es an Claude Code, Codex oder Grok Build in genau der Form, die jeder erwartet.
Ersetzen Sie das Abo — oder eben nicht
Stellen Sie ein Profil auf lokal, und der Agent spricht mit einem Modell auf Ihrem Mac statt mit einer kostenpflichtigen API. Lassen Sie es in der Cloud und behalten Sie Ihren Tarif. Die Wahl gilt pro Profil und ist eine einzige Einstellung.
Hybrid: zuerst die Cloud, lokal wenn sie ausfällt
Zeigen Sie auf die Frontier-APIs und lassen Sie Bromure auf ein lokales Modell zurückfallen, sobald ein Anbieter Sie ausbremst, überlastet ist oder hängt. Die Sitzung, die gescheitert wäre, läuft auf Ihrer eigenen Hardware zu Ende — mitten in der Trajektorie, ohne Neustart.
Ein Katalog, der zu Ihrem Mac passt
Vom 7B-Coder auf dem Laptop bis zum 480B-Modell auf einem 512GB Mac Studio. Bromure zeigt Ihnen vor dem Download, was passt, und jedes Modell im Aufgebot wird auf Tool-Aufrufe geprüft, damit der Agent nicht gleich am ersten scheitert.
Keine Bastelei
Keine Base-URLs, keine Provider-Konfigdateien, kein Jonglieren mit Keys über Tools hinweg. Stellen Sie den Routing-Modus auf lokal oder hybrid, und Bromure schreibt alles, was der Agent braucht, in die VM.
Die Frontier, wenn Sie sie wollen, Ihre eigene Hardware, wenn nicht — und ein Schalter dazwischen.
Bringen Sie Ihren eigenen Agent mit.
Bromure Agentic Coding ersetzt Ihr Tooling nicht — es gibt ihm einen sicheren Ort zum Laufen. Die VM kommt mit den Runtimes, die die meisten Agents erwarten; den Rest installieren Sie.
Claude Code
Anthropics terminalbasierter Agent läuft nativ in der VM. Einmal authentifizieren — und ihn Dependencies ziehen, Tests laufen lassen und gegen Ihr geteiltes Repo refaktorieren lassen.
Codex
OpenAIs Coding-Agent installiert sich genauso wie auf jedem anderen Linux-Rechner — nur dass dieser Linux-Rechner Ihr Home-Verzeichnis nicht sehen kann.
Grok Build
xAIs Coding-Agent installiert und läuft in der VM wie jedes andere Linux-Tool. Richten Sie ihn auf das geteilte Repo; Ihre echten Tokens und SSH-Keys bleiben auf dem Host, außer Reichweite.
Alles andere
Aider, OpenHands, eigene interne Agents — wenn es auf Linux läuft, läuft es in Bromure. Die VM ist nur eine Linux-Maschine; die Sicherheit kommt von dem Ort, an dem sie lebt.
Sie haben Bromure Agentic Coding nicht eingesetzt
Eine Grenze. Alles läuft hindurch.
Bromure kapselt Ihren Agent in einer Hardware-VM und setzt einen Proxy auf die Leitung zwischen dieser VM und der Außenwelt. Ihr Mac bleibt auf der einen Seite außer Reichweite. Jedes Byte, das der Agent sendet, passiert auf der anderen Seite den Proxy. Diese eine Position ist der ganze Trick.
Nichts, was der Agent tut, kann diese Linie umgehen. So scannt dieselbe Stelle, die einen Stub-Token gegen einen echten tauscht, auch ein Paket, bevor es landet, fängt eine in einer Datei versteckte Anweisung ab, fächert einen Prompt an ein Panel aus Modellen auf oder beantwortet ihn von einem Modell auf Ihrem eigenen Silicon. Nichts davon erfordert die Mitwirkung des Agents.
Eine Hardware-VM, kein Container
Ein eigener Kernel, auf Apples Hypervisor. Der Agent bekommt eine ganze Linux-Maschine zum Arbeiten. Ihr Home-Verzeichnis, Ihr Keychain und die anderen Repos auf Ihrer Festplatte sind dort gar nicht vorhanden — es gibt nichts zu finden.
Ein Proxy auf der Leitung
Jede Verbindung, die der Agent öffnet, passiert einen Man-in-the-Middle auf Ihrem Mac. Geheimnisse, Pakete und Modell-Traffic werden allesamt an einer Grenze inspiziert, die die Sandbox weder umgehen noch abschalten kann.
Auf Ihrem Gerät, nicht in irgendjemandes Cloud
Injection-Scanning, das Modell-Panel und lokale Inferenz laufen alle auf Ihrem Mac. Ihr Code und Ihre Prompts machen niemals einen Umweg über den Router eines anderen.
Ihre Geheimnisse
Echte Tokens und SSH-Keys gelangen nie in die Sandbox. Der Agent bekommt Stubs; ein Proxy auf Ihrem Mac tauscht den echten Bearer an der Leitung ein. Alles Sensible muss per Klick freigegeben werden.
Ihre Umgebung
Guardrails prüfen die Operation, nicht nur die Verbindung. Ein DELETE, ein Force-Push, ein DROP gegen Production stoppt und fragt zuerst Sie — egal, welches Token es hält.
Ihre Supply Chain
Jedes Paket, das der Agent zieht, wird gegen OSV und socket.dev geprüft, Install-Skripte werden entfernt, und brandneue Releases werden zurückgehalten — bevor irgendetwas davon die VM erreicht.
Die Anweisungen des Agents
Ein Angreifer braucht nicht immer ein Token — manchmal sagt eine vergiftete Datei dem Agent einfach, was er tun soll. Bromure prüft, was der Agent liest, auf Prompt Injection und die CLAUDE.md, der er vertraut, auf versteckte Befehle — und kann die Anfrage blockieren, bevor das Modell handelt.
Der Agent arbeitet, die Geheimnisse bleiben zu Hause.
Ein Agent, der nicht zu Ihren Repos, Registries und Servern gelangt, ist nicht nützlich. Die naive Antwort — Ihre Tokens und Keys einfach in die VM legen — reicht sie der nächsten typosquatteten Dependency, die sie ausliest.
Bromure dreht das um. Die VM kommt mit Stubs, die für jedes Tool, das einen Authorization-Header erwartet, echt aussehen. Ein Proxy auf Ihrem Mac fängt jede ausgehende Verbindung ab und tauscht den Stub am Draht gegen das echte Geheimnis aus. Der echte Wert berührt nie eine Datei, Env-Variable oder einen Speicher, den die VM lesen kann.
hier läuft der Agent
echte Geheimnisse bleiben hier
sieht ein gültiges Token
Das echte PAT berührt nie eine Datei, Env-Variable oder Speicherseite, die die VM erreichen kann. Eine vergiftete Dependency geht mit dem Stub davon.
Stubs rein, echte Tokens raus
Konfigurieren Sie Ihre Credentials einmal auf dem Host. Die VM bekommt Stubs, die jedes Tool akzeptiert; der Proxy ersetzt das echte Bearer-Token, sobald die Anfrage hinausgeht. Ein Paket, das das Dateisystem abgreift, läuft mit Platzhaltern davon.
ssh-agent weitergereicht, nie offengelegt
SSH-Keys bleiben im macOS Keychain — Bromure leitet nur den ssh-agent-Socket in die VM weiter. ssh und git funktionieren transparent, aber es gibt keine Schlüsseldatei, keine Passphrase im Speicher, nichts zu stehlen.
Ein Klick zwischen dem Agent und Ihren Geheimnissen.
Markieren Sie ein Credential als sensibel, und Bromure fügt einen Human-in-the-Loop-Schritt ein. Wenn etwas über den Proxy danach greift, taucht auf Ihrem Mac ein Dialog auf, nennt Credential und Ziel und fragt Sie. Bewilligen Sie für fünf Minuten, eine Stunde, die Sitzung oder nur einmal.
Zeitlich begrenzte Freigabe
Wählen Sie die TTL beim Bewilligen: fünf Minuten für einen Push, eine Stunde für ein Release, Single-Use für die heiklen Fälle. Die Freigabe verfällt von selbst, sodass kein Token den ganzen Tag weit offen steht.
Lokale Malware verliert ihren Hebel
Lokale Malware, die in Ihre Registry pushen, sich als Sie ausgeben oder einen Cloud-Account leerräumen will, kann es nicht. Die Credentials liegen nicht auf Disk, und der Proxy gibt nur dann eines heraus, wenn Sie auf Bewilligen klicken. Code-Ausführung allein reicht nicht mehr, um in Production zu handeln.
Aus langlebigen Tokens werden Momente des Zugriffs. Selbst wenn Ihr Laptop vollständig kompromittiert ist, muss ein Angreifer immer noch an Ihnen vorbei, um irgendetwas zu tun, das zählt.
Machen Sie jeden Key auf dem Weg nach draußen read-only.
Die Horrorgeschichten handeln nicht von gestohlenen Tokens — sondern von einem Agent, dem man ein legitimes Credential in die Hand gedrückt hat und der damit das Falsche in Production löscht. Der Key war nie kompromittiert; er hatte nur Schreibzugriff, den er nicht hätte haben dürfen. Und die Lehrbuchlösung — pro Tool, pro Sitzung ein read-only-Token — ist zu mühsam, als dass es jemand tatsächlich täte.
Guardrails liest die Operation, nicht nur die Verbindung — ein Lesen von einem Schreiben. Markieren Sie ein Credential als read-only, und Bromure verweigert alles, was den Zustand verändert. Stellen Sie es auf Nachfragen, und sobald der Agent etwas mutieren will, stoppt Bromure es am Draht und fragt — nennt Verb, Ziel und Profil, genau so.
Read-only, ohne irgendetwas neu auszustellen
Schluss damit, pro Tool, pro Repo, pro Sitzung ein begrenztes Token zu prägen. Behalten Sie das Credential, das Sie haben, und setzen Sie eine read-only-Grenze davor — es verhält sich read-only, so lange Sie es bestimmen. Müssen Sie ausliefern? Schalten Sie es für fünfzehn Minuten zurück.
Nachfragen, bevor mutiert wird
Stellen Sie sensible Credentials auf Nachfragen, und jeder zustandsverändernde Aufruf pausiert, bis Sie zustimmen. Dieselben zeitlich begrenzten Freigaben: fünfzehn Minuten, einmal, die Sitzung oder nie. Der Agent darf den ganzen Tag lesen; ohne ein Ja kann er Production nicht verändern.
Der Agent behält seine Autonomie dort, wo Fehler billig sind, und verliert sie genau dort, wo sie es nicht sind. „Der Agent hat die Production-Datenbank gelöscht“ ist kein Postmortem mehr, sondern ein Dialogfeld, bei dem Sie auf „Nicht erlauben“ geklickt haben.
Jedes Paket, das der Agent zieht, geprüft, bevor es landet.
Die Logos oben auf dieser Seite sind eine Wand aus Supply-Chain-Vorfällen. Ein Agent, der auf Ihr Wort hin Abhängigkeiten installiert, ist das perfekte Transportmittel: Er führt `npm install` aus, eine transitive Abhängigkeit feuert ihr postinstall-Skript, und Sie erfahren nächstes Quartal davon.
Supply Chain macht aus demselben Proxy einen Prüf-Checkpoint: Jedes Paket, das der Agent holt, wird gegen OSV und socket.dev geprüft, Install-Skripte werden entfernt, und brandneue Releases werden zurückgehalten. Es läuft an der VM-Grenze, bleibt also aktiv, egal was der Agent darin tut.
Erzwungen unterhalb des Agents, nicht durch ihn
Jeder Paket-Abruf verlässt die VM über Bromures Proxy. Wie auch immer der Agent seine Config umschreibt, um Sie zu umgehen — die Prüfung passiert an der Grenze, die er nicht überschreiten kann. So hält der Schutz selbst dann, wenn der Agent ihn aktiv zu umgehen versucht.
Zwei Scanner, zwei Arten von Bedrohung
OSV fängt bekannte CVEs ab dem Schweregrad-Schwellenwert ab, den Sie setzen. socket.dev fängt das ab, was die Datenbanken noch nicht erfasst haben — bösartige Install-Skripte, Malware, Typosquats. Ein markiertes Release wird blockiert, bevor es die VM erreicht.
Install-Skripte, im Vorbeigehen entfernt
Install-Hooks wie `postinstall` sind die Stellen, an denen Payloads tatsächlich ausgeführt werden. Bromure entfernt sie aus dem Tarball und korrigiert den Metadaten-Hash, sodass die Installation weiterhin verifiziert. Die wenigen Native Builds, die sie wirklich brauchen, kommen auf eine kurze Allowlist; alles andere installiert sich inert.
Ein Paket muss reifen, bevor es zubeißen kann
Kompromittierte Versionen werden meist innerhalb von Stunden zurückgezogen — genau die Stunden, in denen ein Agent eine davon ziehen könnte. Bromure stellt alles unter Quarantäne, was in den letzten zwei Tagen veröffentlicht wurde (einstellbar), sodass ein frisches bösartiges Release nicht installierbar ist, während das Ökosystem aufholt.
Der Agent kann `npm install`-en, was immer er braucht — aber nie eine bekannte kritische CVE, ein kompromittiertes Release, ein nicht erlaubtes Install-Skript oder eine Version, die vor einer Stunde hochgeladen wurde. Der Schutz hängt nie von der Kooperation des Agents ab.
Fangen Sie die Anweisungen ab, die in dem versteckt sind, was der Agent liest.
Nicht jeder Angriff braucht ein gestohlenes Credential. Ein Kommentar in einer Quelldatei, eine Zeile in einer abgerufenen Webseite, ein String in der Ausgabe eines Tools oder eine Direktive, vergraben in einer CLAUDE.md, kann dem Agent unbemerkt sagen, etwas zu tun, worum Sie nie gebeten haben — eine Datei leaken, eine Prüfung aufweichen, ein Skript ausführen. Das Modell liest es als Anweisung und gehorcht.
Bromure inspiziert die nicht vertrauenswürdigen Inhalte, die zum Modell fließen — Dateilesevorgänge, Web-Abrufe, Tool-Ergebnisse —, auf Prompt Injection sowie die Anweisungsdateien, denen der Agent Autorität zuschreibt (CLAUDE.md, AGENTS.md, GROK.md), auf versteckte oder feindselige Befehle. Die Erkennung läuft auf dem Gerät; nichts verlässt Ihren Mac. Protokollieren Sie es, markieren Sie es zur Prüfung oder blockieren Sie die Anfrage, bevor sie das Modell überhaupt erreicht.
Injection in nicht vertrauenswürdigen Inhalten
Jede Datei, die der Agent liest, jede Seite, die er abruft, und jedes Tool-Ergebnis, das er aufnimmt, wird mit einem Klassifizierer auf dem Gerät geprüft. Eine in eine README, einen Code-Kommentar oder eine API-Antwort eingeschmuggelte Anweisung wird abgefangen, bevor das Modell danach handelt.
Bösartige Anweisungen in Rules-Dateien
CLAUDE.md, AGENTS.md und GROK.md besitzen echte Autorität über den Agent. Bromure liest sie auf versteckte Direktiven — „ignoriere vorherige Anweisungen“, „sag es dem Nutzer nicht“, Zero-Width-Zeichen, Tricks mit bidirektionalem Text — und auf den ruhig formulierten Missbrauch, den ein Keyword-Filter übersehen würde.
Der Agent kann alles lesen, worauf Sie ihn ansetzen — das Repo eines Fremden, eine gescrapte Seite, die CLAUDE.md eines Teamkollegen —, ohne unbemerkt Befehle daraus entgegenzunehmen. Aus einer vergifteten Datei wird eine markierte Erkennung, kein Einbruch.
Sehen Sie genau, was der Agent getan hat.
Ein Coding-Agent trifft Hunderte Entscheidungen pro Sitzung, und die meisten scrollen ungelesen vorbei. Das ist in Ordnung — bis etwas kaputtgeht. Oder bis Sie einem Teamkollegen oder einem Auditor erklären müssen, was das Modell tatsächlich geändert hat.
Bromure zeichnet die gesamte Sitzung auf, während sie läuft: jeden Prompt, jede Antwort, jeden Tool-Aufruf, jedes Shell-Kommando, jede geschriebene Datei. Nachher öffnen, durchsuchen, an einen Pull Request anhängen. Der Agent arbeitet schnell; das Protokoll ist geduldig.
Vollständige Dialogerfassung
Prompts, Completions, Tool-Aufrufe, Shell-Kommandos, Dateibearbeitungen, Exit-Codes — live erfasst. Nichts wird aus Scrollback rekonstruiert; nichts geht verloren, wenn Sie das Terminal schließen.
Abspielbar, reviewbar, zuordenbar
Scrollen Sie durch die Argumentation und die Aktionen des Agents, sehen Sie genau, was installiert wurde und warum, und verwandeln Sie „es hat einfach funktioniert“ oder „es ist einfach kaputt“ in etwas, das Sie einem anderen Menschen zeigen können.
Wenn der Agent funktioniert, ist der Trace Ihr Papierpfad. Wenn er es nicht tut, ist er Ihr Bug-Report.
Die meisten Tools decken eine Ebene ab. Bromure deckt alle ab.
Isolation, Geheimnisse aus dem Agent heraushalten, ihre Nutzung eingrenzen, die Supply Chain scannen, Prompt Injection abfangen: Die meisten Tools wählen eines davon. Bromure leistet alle fünf an einer einzigen Grenze und fügt dann hinzu, was ein Secret-Broker nie könnte: ein Modell-Panel, lokale Inferenz und einen Weg hinein von überall. Hier dasselbe Bedrohungsmodell, angewandt auf die Tools, zu denen man greift — und wo jedes davon aufhört.
| Schutz | Dev ContainerVS Code | nonokernel sandbox | agent-vaultoctokraft | Agent VaultInfisical | Docker SandboxesmicroVM | Capsemair-gapped VM | BromureAgentic Coding |
|---|---|---|---|---|---|---|---|
Sicherheit | |||||||
Isolationsgrenze Wo der Schadensradius endet | Gleicher Container, geteilter Kernel | Kernel-Allowlists, kein eigener Kernel | Agent läuft direkt mit | Nur Proxy; Agent ungeschützt | microVM, eigener Kernel | Hardware-VM, eigener Kernel | Hardware-VM, eigener Kernel |
Secrets vom Agent fernhalten Kann er das echte Credential je lesen? | Reicht SSH-Agent + Git-Creds durch | Blockt Key-Dateien; brokert teils | Per Pipe rein; kein Lesepfad | Proxy hängt sie auf der Leitung an | Host-Proxy fügt Header ein | Echte Keys liegen in der VM | Stub auf der Leitung getauscht |
Credential-Umfang & Freigabe Pro Nutzung begrenzen, Read-only, Ablauf, Freigabe | Keine Begrenzung pro Nutzung | Freigabe-Flow + Egress-Filter | TTL je Secret; blockt Shells | Egress-Filter je Endpunkt | Domain-Allowlist; VM-interner Code nutzt es trotzdem | Egress-Regeln pro Domain + Methode/Pfad | Freigabe je Ziel + TTL |
Lieferketten-Scan Bösartige / verwundbare Pakete abfangen | Kein Registry-Scan | Nur Signierung, kein Paket-Scan | Außerhalb des Umfangs | Außerhalb des Umfangs | Kein Paket-Scan | Kein Paket-Scan | Age-Gate, OSV, socket.dev |
Prompt-Injection-Erkennung Scannt unsichere Inhalte & Regeldateien | — | — | — | — | — | — | PromptGuard + ModernBERT |
Audit-Trail Aufzeichnen, was der Agent tat | Nur Container-Logs | Unveränderliches lokales Audit | — | Request-Logging | Request-Logging | Vollständige HTTP-Bodies in SQLite | Vollständiger Session-Trace, verschlüsselt |
Lieferketten-Inventar(Enterprise) Aufzeichnung jedes geholten Pakets | — | — | — | — | — | — | Jede Abhängigkeit + Verdikt, durchsuchbar |
Produktivität | |||||||
Token-Verbrauch(Enterprise) Welche Dateien die meisten Token verbrauchen | — | — | — | — | — | — | Je Datei, Repo und Modell |
Multi-Modell-Fusion Ein Panel aus Modellen, bewertet & synthetisiert | — | — | — | — | — | — | Panel + Bewerter, im Proxy |
Automatisierungen Agent-Läufe nach Zeitplan oder bei GitHub-/Linear-Ereignissen | — | — | — | — | — | — | Zeitplan, GitHub, Linear, verkettet |
Lokale & hybride Modelle Inferenz auf Ihrem eigenen Silicon oder in der Cloud, lokaler Fallback, wenn die Cloud ausfällt | — | — | — | — | — | — | Lokal oder hybrid, auf der Leitung |
Von überall erreichbar Aus der Ferne mit der Sandbox verbinden | VS Code remote | — | — | — | docker exec, lokal | — | App, CLI oder SSH |
Ein Token zu verstecken ist nicht dasselbe wie seine Nutzung zu steuern. Docker Sandboxes hält den rohen Wert aus der VM heraus — aber sein Proxy hängt dieses Credential weiterhin an jede ausgehende Anfrage der Sandbox an, sodass ein kompromittiertes, nebenbei installiertes Paket es gegen eine Allow-List-Domain ausgeben kann, ohne es je zu sehen. Nur Bromure scannt das Paket, bevor es läuft, und reglementiert jede Nutzung — Zustimmung, schreibgeschützt, eine TTL — und setzt alle fünf Kontrollen an einer Grenze durch, die der Agent nicht umgehen kann. An derselben Grenze docken Fusion, lokale Inferenz und Fernzugriff an.
Zusammengestellt aus der öffentlichen Dokumentation jedes Projekts, Juni 2026. agent-vault bezeichnet hier octokraft/agent-vault (Pipe-basierte Secret-Injektion), zu unterscheiden von Infisicals Agent Vault (HTTP-Credential-Proxy). Docker Sandboxes ist eine experimentelle Vorschau, deren gebrokerte Credentials für alles in der VM nutzbar bleiben. Das flottenweite Paket-Inventar und die Token-Verbrauchs-Auswertungen liefert der Bromure Enterprise Manager. Diese Tools entwickeln sich schnell — etwas veraltet? Sag uns Bescheid.
Geben Sie Ihrem Agent eine echte Werkbank.
Eine Hardware-VM. Ihre Geheimnisse außer Reichweite, Ihre Supply Chain gescannt, Ihre Modelle laufen, wo immer Sie wollen. Bromure Agentic Coding ist kostenlos und Open Source.
Bromure Agentic Coding jetzt herunterladenApple Silicon (M1 oder neuer) · Kostenlos & Open Source