別成為下一個
GitHub
上述每一個名字，都是透過開發者的環境被攻陷——一個外洩的祕密、一條被下毒的供應鏈、一個失控的 AI 代理人。Bromure Agentic Coding 把這三件事一併擋下。
立即下載 Bromure Agentic CodingApple Silicon（M1 以上）· 免費且開放原始碼
他們沒有使用 Bromure Agentic Coding
要框住的是爆炸半徑， 不是開發者。
本能的做法是把開發者鎖起來——EDR、不給 root、每一份憑證都擋在佇列後面。這行不通：當機器不是他們自己的，他們就會繞過你，於是你既丟了想抓住的管控，也丟了本來已有的可見性。
把整台機器交給他們
root、任意套件、任意實驗，凌晨兩點不用工單。把這些拿走，一個好工程師要麼反抗，要麼悄悄繞過你。環境得讓人覺得是自己的，否則他們不會用。
鑰匙在他們手裡
正式環境資料庫。AWS 帳戶。一條指令就能刪掉的叢集。這種存取權就是工作本身——但一條錯誤指令、一個被下毒的相依套件、一個失控的代理人，就能把整間公司圈進爆炸半徑。
讓他們盡情實驗，把損害從桌上拿走
靠縮小開發者能做的事，並不能讓它變安全；讓它變安全的，是縮小一個失誤——或一次入侵——真正能搆到的範圍。
所以 Bromure 讓開發者的能力完全不打折扣，轉而給四樣東西拴上繩子：他們的密鑰、他們的環境、供應鏈夾帶進來的東西，以及一個被下毒的檔案試圖慫恿代理人去做的事。
把全部能力交給開發者， 給損害拴上繩子。
你的密鑰
真實權杖和 SSH 金鑰從不進入沙箱。代理人拿到的是占位符；您 Mac 上的代理在連線上換入真實的 bearer。任何敏感操作都要點一下。
你的環境
防護欄檢查的是操作，而不只是連線。對正式環境的 DELETE、force-push、DROP 會停下來先問您——無論它手裡握著什麼權杖。
你的供應鏈
代理人拉取的每一個套件都會與 OSV 和 socket.dev 比對，安裝指令稿被剝除，全新發布的版本被扣住——在這一切抵達 VM 之前。
代理人收到的指令
攻擊者並不總是需要一張權杖——有時一個被下毒的檔案，就能直接告訴代理人該做什麼。Bromure 會掃描代理人讀取的內容是否藏有提示注入，並檢查它信任的 CLAUDE.md 是否夾帶隱藏的命令——而且能在模型動手之前就攔下這個請求。
代理人能做事， 祕密留在家裡。
一個搆不到您的儲存庫、套件庫與伺服器的代理人，毫無用處。最直接的作法——把權杖與金鑰丟進 VM——等於把它們交給下一個讀走它們的 typosquat 相依套件。
Bromure 把這件事翻了過來。VM 出廠就帶著占位符，對任何期待 Authorization 標頭的工具來說都像是真的。您 Mac 上的代理攔下每一條離開的連線，在連線上把占位符換成真正的祕密。真正的值從未碰到 VM 讀得到的檔案、環境變數或記憶體。
代理人在這裡執行
真實密鑰從不離開
看到的是有效權杖
真實的 PAT 從不碰到 VM 搆得到的檔案、環境變數或記憶體頁。一個被下毒的相依套件，帶走的只是那個占位符。
占位符進去，真權杖出去
在主機上一次設定好您的憑證。VM 收到的是每個工具都接受的占位符；當請求離開時，代理會替換成真正的 bearer。一個刮取檔案系統的套件，拿走的只是占位符。
ssh-agent 轉發，永不曝光
SSH 金鑰留在 macOS Keychain 裡——Bromure 只把 ssh-agent 的 socket 轉發進 VM。ssh 與 git 運作如常，但磁碟上沒有金鑰檔、記憶體裡沒有密碼短語，沒有東西可偷。
在代理人與您的祕密之間， 多一個按鍵。
把一張憑證標記為敏感，Bromure 就加上一道人為關卡。當有東西透過代理伸手要它時，您 Mac 上會跳出視窗，指名是哪張憑證、要送到哪裡，然後問您。核可五分鐘、一小時、本次工作階段，或者只此一次。
有時限的核可
核可的當下自己挑 TTL：一次推送五分鐘，一場發版一小時，真正讓人提心吊膽的就用單次放行。授權自動到期，一張權杖不會在一整天裡都大門洞開。
本機惡意軟體失去施力點
想推送到您的套件庫、在 GitHub 上冒充您、或把雲端帳戶榨乾的本機惡意軟體，都辦不到。憑證不在磁碟上，代理也只在您按下核可時才放行一張。光是取得程式碼執行權，已經不夠拿來動正式環境。
長壽命的權杖被壓縮成一個個短暫的存取片刻。即使您的筆電被徹底攻陷，攻擊者要做任何重要的事，仍然得先過您這一關。
讓任何金鑰 出門時都變成唯讀。
真正的恐怖故事不是被偷走的權杖，而是一個代理人拿到一張完全合法的憑證，卻清空了正式環境裡不該動的東西。金鑰從未外洩，它只是握有不該被託付的寫入權限。而教科書上的解法——為每個工具、每個工作階段都鑄一張唯讀權杖——繁瑣到沒人真的會去做。
防護欄檢視的是操作本身，而不只是連線——分得清讀與寫。把一張憑證標記為唯讀，Bromure 就拒絕任何會改動狀態的動作。或者設成詢問：當代理人真的要動點什麼的那一刻，Bromure 就在連線上攔下它來問您，指名是哪個動詞、哪個目標、哪個設定檔，就像這樣。
不必重新簽發任何東西就能唯讀
別再為每個工具、每個儲存庫、每個工作階段鑄一張範圍受限的權杖了。保留您手邊的憑證，在它前面放上一道唯讀邊界——它在您指定的時間內就表現得像唯讀。需要發版？把它翻回來十五分鐘。
要改動之前先問一聲
把敏感憑證設成提示，於是每一次會改動狀態的呼叫都會暫停，直到您核可。一樣的時限授權：十五分鐘、只此一次、本次工作階段，或者永不放行。代理人可以讀上一整天；少了您點頭，它動不了正式環境。
在犯錯代價低的地方，代理人保有它的自主；在代價高的地方，它的自主恰恰被收走。「代理人刪掉了正式環境資料庫」不再是一份事後檢討，而成了一個您按下「不允許」的對話框。
代理人拉取的每一個套件， 落地之前先掃描。
本頁頂端那些標誌，是一面供應鏈事件之牆。一個聽您一句話就去安裝相依套件的代理人，是完美的投遞載體：它執行 `npm install`，一個遞移相依套件觸發了它的 postinstall，而您要到下一季才發現。
Supply Chain 把那個代理變成一道掃描關卡：代理人取得的每一個套件都會與 OSV 和 socket.dev 比對，安裝指令稿會被剝除，全新發布的版本會被扣住。它運行在 VM 邊界上，所以無論代理人對內部做什麼，它都照常生效。
在代理人之下強制執行，而非倚賴它
每一次取套件都經由 Bromure 的代理離開 VM。無論代理人怎麼改寫設定想繞過您，掃描都發生在它無法跨越的邊界上——所以即使代理人主動想閃避，這道防線依然守得住。
兩個掃描器，兩類威脅
OSV 抓已知、且超過您設定嚴重度門檻的 CVE。socket.dev 抓資料庫還沒抓到的：流氓安裝指令稿、惡意程式碼、仿冒搶註。被標記的版本在抵達 VM 之前就被攔下。
安裝指令稿，即時剝除
像 `postinstall` 這類安裝掛鉤，正是酬載真正執行的地方。Bromure 把它們從 tarball 裡剝除，並修正中繼資料雜湊，讓安裝依然能通過驗證。少數確實需要它們的原生建置進入一份簡短的允許清單；其餘一切都以惰性狀態安裝。
套件得先熟一熟，才咬得動人
被攻陷的版本通常在幾個小時內就被撤下——而這恰恰是代理人可能拉到一個的那幾個小時。Bromure 把最近兩天內發布的一切隔離起來（可調），這樣剛上傳的惡意版本，在生態系追上來之前根本無法安裝。
代理人可以 `npm install` 它需要的任何東西——但拉不到帶已知嚴重 CVE 的套件、被攻陷的版本、不被允許的安裝指令稿，或一小時前才上傳的版本。這道防線從不倚賴代理人的配合。
揪出那些藏在 代理人讀取內容裡的指令。
不是每一次攻擊都得偷一張憑證。原始檔裡的一則註解、抓回來的網頁裡的一行字、工具輸出裡的一段字串，或埋在某份 CLAUDE.md 裡的一道指示，都能悄悄叫代理人去做您從未要求的事——外洩一個檔案、放鬆一道檢查、執行一段指令稿。模型把它讀成指令，然後照辦。
Bromure 檢視流向模型的不可信內容——讀取的檔案、抓回的網頁、工具結果——是否含有提示注入，並檢查代理人視為權威的指令檔（CLAUDE.md、AGENTS.md、GROK.md）是否夾帶隱藏或懷有敵意的命令。偵測在裝置端進行；沒有任何東西離開您的 Mac。把它記錄下來、標記待審，或在請求碰到模型之前就攔下它。
不可信內容裡的注入
代理人讀取的每一個檔案、抓回的每一個網頁、吞下的每一份工具結果，都會以裝置端的分類器掃描。一道夾帶進 README、程式碼註解或 API 回應的指令，會在模型照它行動之前就被攔下。
規則檔裡的流氓指令
CLAUDE.md、AGENTS.md 與 GROK.md 對代理人握有實實在在的權威。Bromure 會讀過它們，揪出隱藏的指示——「忽略先前的指令」、「別告訴使用者」、零寬字元、雙向文字花招——以及那些語氣平和、關鍵字過濾器會漏掉的濫用。
代理人可以讀您指給它的任何東西——一個陌生人的儲存庫、一個抓回來的網頁、一位同事的 CLAUDE.md——而不會悄悄聽從它的命令。一個被下毒的檔案，會變成一筆被標記的偵測，而不是一次入侵。
確切看見 代理人做了什麼。
一個編碼代理人在一次工作階段內會做出數百個決策，其中大多數都在您沒讀的情況下一閃而過。一切都很好——直到出問題為止，或直到您必須向隊友或稽核者解釋模型實際上改了什麼為止。
Bromure 在工作階段執行的同時記錄完整內容：每一個提示、每一個回應、每一次工具呼叫、每一條 shell 命令、每一個寫入的檔案。事後打開它、搜尋它、附加到 pull request。代理人跑得快，紀錄則有的是耐心。
完整對話擷取
提示、completion、工具呼叫、shell 命令、檔案編輯、退出碼——即時擷取。沒有從 scrollback 重建的東西；關閉終端機時也不會遺失任何東西。
可重播、可審查、可歸因
細看代理人的推理與動作，明確看到裝了什麼、為什麼裝，並把「就是能跑」或「就是壞掉了」變成可以拿給另一個人看的東西。
代理人運作正常時，追蹤紀錄是您的書面證據；運作不正常時，它就是您的 bug 報告。
自帶 您的代理人。
Bromure Agentic Coding 不取代您的工具——它為它們提供一個安全的執行環境。VM 出廠就附上多數代理人需要的執行環境，剩下的您自行安裝。
Claude Code
Anthropic 以終端機為基礎的代理人在 VM 中原生執行。驗證一次，就讓它去拉相依套件、跑測試，並針對您共享的儲存庫進行重構。
Codex
OpenAI 的編碼代理人，在 VM 內的安裝方式與在任何 Linux 機器上一樣——只是這台 Linux 機器看不到您的家目錄。
Grok Build
xAI 的編碼代理人在 VM 裡像其他任何 Linux 工具一樣安裝與執行。把它指向你共享的儲存庫即可——你真正的權杖與 SSH 金鑰都留在主機上，它搆不到。
其他任何代理人
Aider、OpenHands、自家內部代理人——只要能在 Linux 上跑，就能在 Bromure 裡跑。VM 不過就是一台 Linux 機器，安全來自它所在的位置。
多數工具只守住一層。 Bromure 全都守住。
隔離、把密鑰擋在代理人之外、約束這些密鑰的使用方式、掃描供應鏈、攔截提示注入——這個領域往往只挑其中一項。下面把同一套代理人威脅模型套用到人們常用的工具上，看看每個工具到哪裡就止步了。
| 防護 | Dev ContainerVS Code | nonokernel sandbox | agent-vaultoctokraft | Agent VaultInfisical | Docker SandboxesmicroVM | BromureAgentic Coding |
|---|---|---|---|---|---|---|
隔離邊界 影響範圍在哪裡被擋住 | 同一容器，共用核心 | 核心白名單，無獨立核心 | 代理人就地執行 | 僅代理；代理人未隔離 | microVM，獨立核心 | 硬體 VM，獨立核心 |
把密鑰擋在代理人之外 它能讀到真實憑證嗎？ | 轉發 SSH agent 與 git 憑證 | 攔截金鑰檔；部分代收 | 透過管道注入；無讀取路徑 | 代理在連線上附加 | 主機代理注入標頭 | 在連線上替換樁權杖 |
憑證範圍與核准 按次限制、唯讀、到期、確認 | 不按使用範圍限制 | 核准流程 + 出站過濾 | 按密鑰設 TTL；攔截 shell | 按端點出站過濾 | 網域白名單；VM 內程式仍可使用 | 按目的地確認 + TTL |
供應鏈掃描 攔截惡意／易受攻擊的套件 | 不掃描套件來源 | 僅簽章，不掃描套件 | 不在範圍內 | 不在範圍內 | 不掃描套件 | Age-gate、OSV、socket.dev |
提示注入偵測 掃描不可信內容與規則檔 | — | — | — | — | — | PromptGuard + ModernBERT |
稽核軌跡 記錄代理人做了什麼 | 僅容器日誌 | 不可竄改的本機稽核 | — | 請求記錄 | 請求記錄 | 完整工作階段追蹤，已加密 |
供應鏈清單(Enterprise) 記錄取得的每個套件 | — | — | — | — | — | 每個相依套件及裁定，可搜尋 |
Token 用量(Enterprise) 哪些檔案消耗最多 token | — | — | — | — | — | 依檔案、儲存庫、模型 |
隱藏權杖並不等於管控它的使用。Docker Sandboxes 讓真實值不進入 VM，但它的代理仍會把該憑證附加到沙箱送出的任何外送請求上；於是一個在旁邊被植入的惡意套件，即使從未看到這個值，也能拿它去存取白名單內的服務。只有 Bromure 會在套件執行前先掃描它，並對每一次使用加上確認、唯讀與 TTL 限制——在代理人無法繞過的單一邊界上強制全部五項控制。
依據各專案的公開文件整理，2026 年 6 月。這裡的 agent-vault 指 octokraft/agent-vault（基於管道的密鑰注入），有別於 Infisical 的 Agent Vault（HTTP 憑證代理）。Docker Sandboxes 仍是實驗性預覽，其代收的憑證對 VM 內的任何程式都保持可用。全設備的套件清單與 Token 用量彙總由 Bromure Enterprise Manager 提供。這些工具更新很快——發現過時之處？告訴我們。
給您的代理人 一座真正的工作坊。
一台 VM。完全隔離。想裝什麼就裝什麼。Bromure Agentic Coding 免費且開放原始碼。
立即下載 Bromure Agentic CodingApple Silicon（M1 以上）· 免費且開放原始碼