你的智能体应得的
工作间。
带着你的智能体全速前进，却不留后患。
立即下载 Bromure Agentic CodingApple Silicon（M1 或更新）· 免费且开源
三个模型作答，你的智能体只读一个。
因为 Bromure 本就处在链路上，它无需替你挑选模型。点亮会话标题栏里的 ⚡，一个提示便会同时发往一组评审团：Claude、GPT-5.5 和 Grok。评判者比对协调它们，综合器写出结果，你的智能体则以它所期望的确切形态拿回唯一一个答案。Fable 级别的产出，房间里却没有 Fable——而且每一段（leg）都记录在 trace 中。
了解 Fusion 的工作原理 →一块看板， 驱动智能体的工作。
写下一份任务简报，交给这块看板。一个规划智能体会把它拆成一个个理清依赖关系的阶段，每个阶段都在各自的 git worktree 里自主运行，完成的工作会作为一份 diff 落到「测试/审阅」，供你像读 pull request 那样审阅。待办、规划、进行中、测试/审阅、完成——每个阶段都是一列，每个任务都是一张卡片。
简报进，计划出
一个交互式规划智能体以只读方式浏览整个仓库，把简报里没讲清的问题一一问出来，然后建出一张张带编号的阶段卡片——每张大致对应一个可审阅的 pull request，彼此之间标好依赖。或者一步到位（one-shot）把任务直接跑完，彻底跳过规划。
每个任务都在自己的 worktree 里
已启动的阶段和 one-shot 任务，各自在一个全新的 worktree 和分支里自主运行。一个实时的状态圆点显示智能体正在干活；一旦某个任务卡在某个问题上、需要你介入，一枚红色徽标会立刻告诉你。
逐行审阅 diff
「测试/审阅」卡片会打开该分支的完整 diff，实时从虚拟机里读出。把鼠标悬停在任意一行，就能把评论精确地留在它该在的位置，然后合并、squash、开一个 pull request，或者直接丢弃这次尝试——全都在同一个分体按钮（split button）里完成。
把它退回给智能体
你起草的评论会作为锚定到具体行的指令回传——“在 foo.js 第 196 行：换一种方法”——任务随即在同一分支上回到「进行中」，再来一轮。代码评审，全程不必离开这个应用。
早上写下一份简报，午饭前就有了可审阅的阶段，入库的代码是你真正读过的。
你不干活的时候， 智能体在干。
一个 pull request 开出来。一个议题被打上标签。一次提交落地。Bromure 会自动启动对应的智能体，在一个全新的 worktree 里，把事件详情一并放进上下文——而每一次运行都在自己的看板上流转：已排期、进行中、需要关注、完成。运行途中随时接入，检查 diff，再顺着你早已信赖的工作流合并。无需自建 webhook 服务，也不用手动去复制任何提示词。
按时钟，或按事件
每 N 分钟、每天、工作日或每周——或者当仓库里出现 PR、议题或提交，Linear 团队里出现工单时。按标签、作者、分支或草稿状态过滤，还能把自动化串成链，让一次运行触发下一次。
没有 webhook，没有任何入站
Bromure 在宿主机一侧，用工作区自己的令牌，每三分钟轮询一次 GitHub 和 Linear。没有东西在监听，没有东西暴露在互联网上，令牌也从不进入虚拟机。
用完即弃的克隆
在整个工作区——设置、凭据、home 目录——的写时复制克隆里运行：启动、干活、运行结束即销毁。想查看发生了什么，也可以把它留下来。
智能体读到之前先过筛
PR 标题、议题正文和评论都是第三方文本，所以每个事件在智能体看到一个字之前，都要先经过 Bromure 的提示词注入筛查。筛不了的，运行就被拦下——绝不放行。
凌晨三点议题已被分拣，PR 一开出来就被审阅，早上醒来，一个 worktree 已在等你。
Your agent can build it. Then prove it works.
Bromure puts a full web browser beside the agent, ready for both of you. It can open the product it just built, click through real journeys, inspect what went wrong, and show you the result in the same shared view—turning every coding session into a complete build, test, and refine loop.
Leave the machine. Take the workspace.
Connect to Bromure on another Mac and the entire experience comes with you: the window layout is mirrored, every workspace and live session is within reach, and an instant private network makes services inside remote VMs feel local. Keep the powerful machine where it belongs and work from wherever you do.
在云端，或 在你自有的芯片上运行模型。
云端前沿 API 是一种选择。Bromure Agentic Coding 也能在你自有的 Apple Silicon 上本地运行模型——无需订阅、不计量，没有任何东西离开这台机器。从型号目录里挑一个，同一道代理就会以 Claude Code、Codex 或 Grok Build 各自期望的形态把它端上来。
替换订阅，或者不替换
把一个配置档设为本地，智能体便会改用你 Mac 上的模型，而不是付费 API。让它留在云端，就保留你的订阅方案。这个选择按配置档而定，只是一个开关。
混合：云端优先，云端不在时切到本地
指向前沿 API，让 Bromure 在某个提供商对你限流、过载或卡死的那一刻，回退到本地模型。本会失败的会话，会在你自己的硬件上、于轨迹中途完成，无需重启。
一份适配你 Mac 的型号目录
从笔记本上的 7B 编码模型，到 512GB Mac Studio 上的 480B 大模型。Bromure 会在你下载之前告诉你哪些放得下，而阵容里的每一个模型都经过工具调用检验，免得智能体在第一个就卡壳。
无需接线
没有 base URL，没有提供商配置文件，不必在各种工具之间倒腾密钥。把路由模式设为本地或混合，Bromure 就会把智能体所需的一切写进虚拟机。
想要时用前沿模型，不想要时用自己的硬件，两者之间只隔一个开关。
自带 你喜欢的智能体。
Bromure Agentic Coding 不替换你的工具——它给工具一个安全运行的去处。虚拟机预装了大多数智能体期望的运行时，其余的你自己装。
Claude Code
Anthropic 的终端智能体在虚拟机里原生运行。认证一次，就让它去拉依赖、跑测试、对照你的共享仓库做重构。
Codex
OpenAI 的编码智能体的安装方式与在任何 Linux 主机上一样——只不过这台 Linux 主机看不到你的家目录。
Grok Build
xAI 的编码智能体在虚拟机里像其他任何 Linux 工具一样安装和运行。把它指向你的共享仓库即可——你真正的令牌和 SSH 密钥都留在主机上，它够不着。
其他任何工具
Aider、OpenHands、自研内部智能体——只要能在 Linux 上运行，就能在 Bromure 里运行。虚拟机就是一台 Linux 机器；安全感来自它运行的位置。
他们没有使用 Bromure Agentic Coding
一道边界。 一切都从这里经过。
Bromure 把你的智能体裹进一台硬件虚拟机，并在这台虚拟机与外部世界之间的链路上架起一道代理。你的 Mac 在一侧，智能体够不到；智能体发出的每一个字节，都要在另一侧穿过代理。全部诀窍，就在这唯一的位置上。
智能体所做的一切，都绕不过这条线。于是，同一个把桩令牌换成真令牌的地方，也会在一个包落地之前扫描它、揪出藏在文件里的指令、把一个提示分发给一组模型组成的评审团，或用你自有芯片上的模型来作答。这一切都无需智能体配合。
一台硬件虚拟机，而非容器
拥有独立内核，跑在 Apple 的 hypervisor 上。智能体得到一整台 Linux 机器可供施展。你的家目录、你的 Keychain，以及你磁盘上的其他仓库，都不在它能找到的地方。
链路上的一道代理
智能体打开的每一条连接，都要穿过你 Mac 上的一个中间人。密钥、软件包和模型流量，全都在一道沙箱看不穿、也关不掉的边界上接受检查。
在你的设备上，而非别人的云端
注入扫描、模型评审团和本地推理，全都跑在你的 Mac 上。你的代码和你的提示，从不绕道经过任何别人的路由器。
你的密钥
真实令牌和 SSH 密钥从不进入沙箱。智能体拿到的是桩；你 Mac 上的代理在链路上换入真实的 bearer。任何敏感操作都要点一下。
你的环境
护栏检查的是操作，而不只是连接。对生产的 DELETE、force-push、DROP 会停下来，先问你——无论它手里握着什么令牌。
你的供应链
智能体拉取的每一个包都会与 OSV 和 socket.dev 比对，安装脚本被剥离，全新发布的版本被扣下——在这一切抵达虚拟机之前。
智能体的指令
攻击者并不总是需要一个 token——有时一个被投毒的文件就足以指挥智能体做事。Bromure 会扫描智能体读取的内容是否含有提示注入，以及它所信任的 CLAUDE.md 是否藏有暗中下达的命令——并能在模型动手之前就拦下请求。
智能体照常工作， 密钥留在家里。
一个连不上你的仓库、registry 和服务器的智能体没有用处。简单粗暴的做法——把你的 token 和密钥扔进虚拟机——等于把它们交给下一份读取它们的抢注式依赖。
Bromure 把这套反了过来。虚拟机出厂自带桩值，对任何期待 Authorization 头的工具来说都看起来是真的。你 Mac 上的代理拦下每一条出网连接，在线路上把桩值换成真密钥。真值从不写入虚拟机能读取的文件、环境变量或内存。
智能体在这里运行
真实密钥从不离开
看到的是有效令牌
真实的 PAT 从不写入虚拟机能读到的文件、环境变量或内存页。一个被投毒的依赖，带走的只是那个桩。
进去是桩，出去是真令牌
在宿主机上一次性配置好你的凭证。虚拟机拿到每个工具都接受的桩值；当请求离开时，代理换上真正的 bearer。一个抓文件系统的包，带走的只是占位符。
ssh-agent 转发，永不暴露
SSH 密钥留在 macOS 钥匙串里——Bromure 只把 ssh-agent 套接字转发进虚拟机。ssh 和 git 透明可用，但磁盘上没有密钥文件、内存里没有 passphrase，没有任何可偷的东西。
在智能体与你的密钥之间， 隔上一次点击。
把一份凭证标记为敏感，Bromure 就会加上一个人在环节。当某个东西通过代理来索取它时，你 Mac 上会弹出提示，报出凭证名称和目的地，然后问你。你可以批准五分钟、一小时、本次会话，或者只放行这一次。
限时批准
批准时由你来挑 TTL：一次 push 五分钟，一段发版会话一小时，真正吓人的那些只放行一次。授权自动过期，所以一个 token 不会一整天都大门洞开。
本地恶意软件失去筹码
本地恶意软件想 push 到你的 registry、冒充你，或掏空一个云账户——它做不到。凭证不在磁盘上，而代理只在你点下批准时才放行一个。仅仅拿到代码执行，已经不足以对生产采取行动。
长期令牌变成一个个访问的瞬间。即使你的笔记本被从头到脚攻陷，攻击者要做任何要紧的事，也仍然得先过你这一关。
让任何密钥 在出网时都变成只读。
那些恐怖故事讲的并不是被偷走的令牌——讲的是一个智能体拿到了一份合法凭证，却用它在生产里删错了东西。密钥从未泄露，只是它握着本不该有的写权限。而教科书式的修法——给每个工具、每个会话签发一个只读令牌——繁琐到没人真去做。
护栏检查的是操作本身，而不只是连接——它分得清读和写。把一份凭证标记为只读，Bromure 就会拒绝任何会改变状态的动作。或者把它设为询问：当智能体真的试图变更些什么的那一刻，Bromure 会在线路上拦住它，报出动作、目标和配置档，向你发问，就像这样。
无需重新签发任何东西即可只读
别再为每个工具、每个仓库、每个会话去签发一个收紧权限的令牌。保留你手头已有的凭证，在它前面落下一道只读边界——它会精确地按你说的时长表现得像只读。需要发版？把它翻回来十五分钟。
变更之前先询问
把敏感凭证设为提示，每一次会改变状态的调用都会暂停，等你批准。和审批门控一样的限时授权：十五分钟、只这一次、本次会话，或者永不。智能体可以读上一整天；但没有你点头，它动不了生产。
智能体在犯错代价低的地方保留它的自主权，并精确地在代价不低的地方失去它。「智能体删掉了生产数据库」不再是一份事后复盘，而成了一个你点过「不允许」的对话框。
代理拉取的每一个包， 落地之前先扫描。
本页顶部的那些标志，是一面供应链事件之墙。一个听你一句话就去安装依赖的智能体，是完美的投递载体：它运行 `npm install`，一个传递依赖触发了自己的 postinstall，而你要到下个季度才发现。
Supply Chain 把那个代理变成一道扫描关卡：智能体拉取的每一个包都会与 OSV 和 socket.dev 比对，安装脚本被剥离，全新发布的版本被扣下。它运行在虚拟机边界上，所以无论智能体在内部做什么，它都照常生效。
在智能体之下强制执行，而不是靠它
每一次取包都经由 Bromure 的代理离开虚拟机。无论智能体怎么改写配置想绕过你，扫描都发生在它无法跨越的边界上——所以即便智能体主动想躲，这道防线依然守得住。
两个扫描器，两类威胁
OSV 抓超过你设定严重度阈值的已知 CVE。socket.dev 抓数据库还没抓到的：流氓安装脚本、恶意代码、仿冒抢注。被标记的版本在抵达虚拟机之前就被拦下。
安装脚本，即时剥离
像 `postinstall` 这样的安装钩子，正是载荷真正执行的地方。Bromure 把它们从 tarball 里剔除，并修正元数据哈希，让安装依然能通过校验。少数确实需要它们的原生构建——`better-sqlite3`、`node-canvas`——进入一份简短的允许列表；其余一切都以惰性状态安装。
包得先熟一熟，才咬得动人
被攻陷的版本通常在几个小时内就被撤下——恰恰是智能体可能拉到它的那几个小时。Bromure 把最近两天内发布的一切隔离起来（可调），这样刚上传的恶意版本，在生态系统追上来之前根本无法安装。
智能体可以 `npm install` 它需要的任何东西——但永远拉不到带已知严重 CVE 的包、已被攻陷的版本、不被允许的安装脚本，或者一小时前才上传的版本。这道防线从不依赖智能体的配合。
揪出藏在智能体所读内容里的 那些指令。
并非每一次攻击都需要一份被盗的凭证。源文件里的一条注释、抓取到的网页里的一行字、工具输出里的一个字符串，或埋在 CLAUDE.md 里的一条指示，都可能悄悄指挥智能体去做你从未要求过的事——外泄一个文件、削弱一道检查、运行一段脚本。模型把它当作指令读取，并照办。
Bromure 会检查流向模型的不可信内容——文件读取、网页抓取、工具结果——是否含有提示注入，并检查智能体奉为权威的指令文件（CLAUDE.md、AGENTS.md、GROK.md）是否藏有暗中或敌意的命令。检测在本地设备上运行；没有任何东西离开你的 Mac。可以记录它、标记它供复核，或在它抵达模型之前就拦下请求。
不可信内容里的注入
智能体读取的每一个文件、抓取的每一个页面、摄入的每一份工具结果，都会经过一个本地设备分类器扫描。一条夹带进 README、代码注释或 API 响应里的指令，会在模型据此动手之前被揪出。
规则文件里的流氓指令
CLAUDE.md、AGENTS.md 和 GROK.md 对智能体握有实打实的权威。Bromure 会读取它们，寻找暗中下达的指示——“忽略先前的指令”“别告诉用户”、零宽字符、双向文本把戏——以及关键词过滤器会漏掉的、措辞平和的滥用。
智能体可以读取你指给它的任何东西——一个陌生人的仓库、一个抓取来的页面、一位队友的 CLAUDE.md——而不会悄悄听从它的指挥。一个被投毒的文件，变成一次被标记的检测，而不是一次入侵。
看清楚 智能体到底做了什么。
一个编码智能体每次会话会做出数百个决定，其中大多数你根本不会看。在出问题之前，这都没什么——或者，等到你需要向同事或审计员解释模型实际改了什么的时候。
Bromure 在会话运行时记录整条会话：每一条 prompt、每一次响应、每一次工具调用、每一条 shell 命令、每一个被写入的文件。事后打开、搜索、附到 PR 上。智能体跑得快；记录有耐心。
完整对话捕获
Prompt、补全、工具调用、shell 命令、文件编辑、退出码——实时捕获。没有任何一条是从滚屏里反推出来的；关掉终端也不会丢失任何东西。
可回放、可评审、可归因
翻看智能体的推理与动作，精确知道装了什么、为什么装，把「就是它能跑了」或「就是它崩了」变成你可以拿给另一个人看的东西。
智能体跑通时，追踪记录是你的纸面凭证。跑不通时，它就是你的 bug 报告。
大多数工具只守住一层。 Bromure 全都守住。
隔离、把密钥挡在智能体之外、约束这些密钥的使用、扫描供应链、拦截提示注入：大多数工具只挑其中一项。Bromure 在单一边界上把五项全部做到，然后再加上一个密钥代理永远做不到的东西：一组模型评审团、本地推理，以及一条随处可入的通道。下面把同一套威胁模型套用到人们常用的工具上，看看每个工具到哪儿就止步了。
| 防护 | Dev ContainerVS Code | nonokernel sandbox | agent-vaultoctokraft | Agent VaultInfisical | Docker SandboxesmicroVM | Capsemair-gapped VM | BromureAgentic Coding |
|---|---|---|---|---|---|---|---|
安全 | |||||||
隔离边界 影响范围在哪里被挡住 | 同一容器，共享内核 | 内核白名单，无独立内核 | 智能体就地运行 | 仅代理；智能体未隔离 | microVM，独立内核 | 硬件 VM，独立内核 | 硬件 VM，独立内核 |
把密钥挡在智能体之外 它能读到真实凭证吗？ | 转发 SSH agent 和 git 凭证 | 拦截密钥文件；部分代理 | 通过管道注入；无读取路径 | 代理在链路上附加 | 主机代理注入请求头 | 真实密钥留在 VM 内 | 在链路上替换桩令牌 |
凭证范围与审批 按次限制、只读、过期、确认 | 不按使用范围限制 | 审批流程 + 出站过滤 | 按密钥设 TTL；拦截 shell | 按端点出站过滤 | 域名白名单；VM 内代码仍可使用 | 按域名 + 方法/路径的出站规则 | 按目的地确认 + TTL |
供应链扫描 拦截恶意／易受攻击的依赖包 | 不扫描软件源 | 仅签名，不扫描依赖包 | 不在范围内 | 不在范围内 | 不扫描依赖包 | 不扫描依赖包 | Age-gate、OSV、socket.dev |
提示注入检测 扫描不可信内容与规则文件 | — | — | — | — | — | — | PromptGuard + ModernBERT |
审计追踪 记录智能体做了什么 | 仅容器日志 | 不可篡改的本地审计 | — | 请求日志 | 请求日志 | 完整 HTTP 报文存入 SQLite | 完整会话追踪，已加密 |
供应链清单(Enterprise) 记录获取的每个依赖包 | — | — | — | — | — | — | 每个依赖及裁定，可搜索 |
效率 | |||||||
Token 用量(Enterprise) 哪些文件消耗最多 token | — | — | — | — | — | — | 按文件、仓库、模型 |
多模型融合 由多个模型组成评审团，经评判与综合 | — | — | — | — | — | — | 评审团 + 评判，在代理中 |
自动化 按时间表或 GitHub / Linear 事件运行智能体 | — | — | — | — | — | — | 时间表、GitHub、Linear、链式 |
本地与混合模型 在你自有芯片或云端进行推理，云端宕机时回退到本地 | — | — | — | — | — | — | 本地或混合，在链路上 |
随处可达 远程接入沙箱 | VS Code 远程 | — | — | — | docker exec，本地 | — | 应用、CLI 或 SSH |
隐藏令牌并不等于管控它的使用。Docker Sandboxes 让真实值不进入 VM，但它的代理仍会把该凭证附加到沙箱发出的任何外发请求上；于是一个在旁边被植入的恶意依赖包，即使从未看到这个值，也能拿它去访问白名单内的服务。只有 Bromure 会在依赖包运行前先扫描它，并对每一次使用加上确认、只读和 TTL 限制——在智能体无法绕过的单一边界上强制全部五项控制。同一道边界，也正是 Fusion、本地推理与远程访问接入的地方。
依据各项目的公开文档整理，2026 年 6 月。这里的 agent-vault 指 octokraft/agent-vault（基于管道的密钥注入），区别于 Infisical 的 Agent Vault（HTTP 凭证代理）。Docker Sandboxes 仍是实验性预览，其代理的凭证对 VM 内的任何程序都保持可用。全设备的依赖包清单与 Token 用量汇总由 Bromure Enterprise Manager 提供。这些工具更新很快——发现过时之处？告诉我们。
给你的智能体 一间真正的工作间。
一台硬件虚拟机。你的密钥够不到，你的供应链被扫描，你的模型在你想要的地方运行。Bromure Agentic Coding 免费且开源。
立即下载 Bromure Agentic CodingApple Silicon（M1 或更新）· 免费且开源