kosa8

официальный

Безопасная инфраструктура для ИИ-агентов: изолированные микровиртуальные машины с защитой от вмешательства, состояние которых можно сохранять, откатывать и разветвлять.

GitHub

Что можно делать с kosa8 MCP?

Запускать код в изолированной микро-ВМ — Попросите Claude запускать недоверенный или сгенерированный код в изолированной микро-ВМ, которой доступна только папка рабочей области.
Создавать контрольную точку и откатывать песочницу — Сохраните точку восстановления, включающую память и запущенные процессы, а затем откатитесь к ней с возобновлением процессов.
Создавать ответвления работающей песочницы — Создайте независимые копии работающей песочницы, чтобы параллельно опробовать разные подходы и сохранить тот, который сработает.
Ограничивать исходящий сетевой трафик — Создайте песочницу, сеть которой может обращаться только к хостам из списка разрешённых, а все остальные подключения отклоняются.
Проверять состояние демона — Попросите Claude проверить, запущен ли демон kosa8, и сообщить его версию.

Документация

плагин kosa8 для Claude Code

kosa8: защищённая инфраструктура для ИИ-агентов.

Предоставьте Claude изолированную машину для работы. Этот плагин подключает Claude Code к kosa8, защищённой инфраструктуре для ИИ-агентов: каждый агент получает собственную изолированную машину — настоящую микроВМ с собственным ядром, а не контейнер, использующий ядро хоста совместно с другими процессами.

С включённым плагином Claude может:

запускать недоверенный код или код, написанный агентом, в изолированной микроВМ, которая видит одну папку (рабочую область) и ничего больше на хосте;
работать в закрытой сети, где доступны только указанные вами в списке разрешённых хосты, а все остальные соединения отклоняются;
использовать ключи API, не храня их: брокер исходящего трафика на хосте подставляет их при отправке, а в песочнице хранится только заполнитель;
создавать контрольную точку всей работающей машины, включая память и процессы, примерно за 0,7 секунды перед рискованным действием и примерно за секунду возвращаться к ней, не останавливая машину, если что-то пошло не так;
разветвлять работающую машину на копии, чтобы параллельно пробовать разные подходы и оставить тот, который сработал;
ожидать подтверждения от одного или двух назначенных людей для рискованных действий (правило двух лиц), записывая каждое действие в защищённый от подделки журнал аудита с цепочкой хешей.

У плагина четыре компонента:

Сервер MCP (.mcp.json), который запускает kosa8 mcp serve через scripts/kosa8-mcp как локальный процесс stdio.
Навык (skills/kosa8-sandbox), который подсказывает Claude, когда использовать песочницу и как безопасно работать с контрольными точками, возвратом к ним, разветвлением, списками разрешённых адресов для исходящего трафика и подтверждениями.
Команды: /kosa8:status, /kosa8:sandbox <task>, /kosa8:checkpoint, /kosa8:rewind (запрашивает подтверждение перед возвратом к контрольной точке) и /kosa8:explore (пробует несколько команд в параллельных ветках).
Агенты: sandbox-runner запускает недоверенный или сгенерированный код в изолированной микроВМ и сообщает о выполненных действиях; fork-explorer сравнивает подходы в параллельных ветках одной работающей песочницы.

Предварительные требования

Claude Code.
kosa8, установленный на той же машине, с kosa8 в PATH. kosa8 работает на Mac с чипами Apple и на Linux x86-64, а также в Windows через WSL2 (предварительная версия). Установите его с сайта kosa8.com/download. Выпуски подписаны и нотариально заверены. Проверьте установку командой kosa8 version.
Запущенный демон kosa8. Плагин — это тонкая оболочка запуска: песочницы представляют собой микроВМ, которыми на вашей машине управляет kosa8d, поэтому без запущенного демона ничего не работает.

Перед началом: установите kosa8 и запустите демон

Плагин не устанавливает kosa8 и не может работать без него. На новой машине:

# 1. Install kosa8 (macOS on Apple silicon, x86-64 Linux, or WSL2)
#    from https://kosa8.com/download/, then check it:
kosa8 version

# 2. Start the daemon that runs the microVMs:
kosa8 daemon start

# 3. Confirm both halves are up:
kosa8 version          # prints "kosa8 daemon <version> (up Ns)"
kosa8 mcp tools        # lists the tools this plugin exposes

Если kosa8 version сообщает kosa8 daemon: not running, снова выполните kosa8 daemon start. Сервер MCP запускается и без демона, но тогда каждый инструмент песочницы возвращает cannot reach kosa8d.

Агенты, устанавливающие этот сервер для пользователя, могут следовать инструкциям в llms-install.md.

Установка

В Claude Code добавьте этот репозиторий как маркетплейс и установите плагин:

/plugin marketplace add kosa8ai/kosa8-claude-plugin
/plugin install kosa8@kosa8

Или из командной оболочки:

claude plugin marketplace add kosa8ai/kosa8-claude-plugin
claude plugin install kosa8@kosa8

Перезапустите Claude Code (или выполните /reload-plugins). Выполните /mcp, чтобы убедиться, что сервер kosa8 подключён, и попросите Claude «проверить состояние kosa8».

Общий доступ к папкам хоста

По умолчанию агенты не могут подключать к песочнице каталоги хоста. Чтобы разрешить им подключать папку проекта, запустите сервер с --allow-mount DIR (только для чтения) или --allow-mount DIR:rw. Для этого можно добавить собственную запись сервера MCP, например, в файл проекта .mcp.json:

{
  "mcpServers": {
    "kosa8-workspace": {
      "command": "kosa8",
      "args": ["mcp", "serve", "--allow-mount", "/Users/you/code/api:rw"]
    }
  }
}

Сеть и ключи

Доступ песочницы к сети задаётся при её создании. Чтобы предоставить песочнице доступ только к одному API, создайте её из терминала:

kosa8 sandbox create sealed --egress-allow api.anthropic.com

Инструменты

kosa8 mcp serve предоставляет следующие инструменты (согласно данным kosa8 mcp tools в kosa8 0.5.0):

Инструмент	Назначение
`kosa8_status`	Проверить, запущен ли демон kosa8, и сообщить его версию
`sandbox_create`	Запустить изолированную песочницу-микроВМ с собственным ядром и движком контейнеров
`sandbox_list`	Перечислить песочницы, включая сведения о родительской песочнице каждой ветки
`sandbox_run`	Запустить контейнер в приватном движке песочницы, изолированном от хоста
`sandbox_pull`	Загрузить образ в приватный движок песочницы
`sandbox_checkpoint`	Сохранить точку восстановления, включая память и работающие процессы
`sandbox_checkpoint_list`	Перечислить точки восстановления песочницы
`sandbox_rewind`	Вернуть песочницу к контрольной точке, возобновив процессы
`sandbox_fork`	Разветвить работающую песочницу на N независимых копий
`sandbox_explore`	Выбрать лучший из N вариантов: создать по одной ветке для каждой команды-кандидата, выполнить их параллельно и сохранить победителя
`sandbox_snapshot`	Сохранить полное состояние песочницы в виде снимка
`sandbox_stop`	Остановить песочницу, не удаляя её
`sandbox_start`	Запустить остановленную песочницу с её собственного диска
`sandbox_delete`	Остановить и удалить песочницу и её ВМ
`snapshot_list`	Перечислить сохранённые снимки песочниц
`snapshot_restore`	Запустить песочницу из снимка, возобновив её процессы
`snapshot_rm`	Удалить снимок
`container_run`	Выполнить контейнер до завершения и вернуть его вывод
`container_exec`	Выполнить команду внутри работающего контейнера
`container_list`	Перечислить контейнеры
`container_logs`	Получить вывод контейнера
`container_stats`	Сообщить об использовании контейнером CPU, памяти и pid
`container_stop`	Остановить работающий контейнер
`image_build`	Собрать образ из Dockerfile в каталоге хоста
`image_list`	Перечислить образы
`image_pull`	Загрузить образ из реестра
`network_create`	Создать изолированную мостовую сеть
`network_list`	Перечислить сети контейнеров
`volume_create`	Создать именованный том
`volume_list`	Перечислить именованные тома

Выполните kosa8 mcp tools, чтобы посмотреть список для установленной у вас версии.

Что запускает этот плагин

Единственный исполняемый файл плагина — scripts/kosa8-mcp, короткий shell-скрипт, который находит уже установленный на вашей машине kosa8 и запускает kosa8 mcp serve. Он ничего не скачивает и не устанавливает. Сам плагин никуда не отправляет данные, не связывается с серверами и не читает учётные данные.

Другие клиенты MCP

Этот же сервер опубликован в официальном реестре MCP под именем io.github.kosa8ai/kosa8 (см. server.json). Он распространяется как пакет MCP, kosa8-mcp.mcpb, прилагаемый к каждому выпуску на GitHub: манифест и та же короткая программа запуска, что и scripts/kosa8-mcp. Она ничего не скачивает и не устанавливает, поэтому сначала установите kosa8.

Любой клиент MCP, способный запускать сервер stdio, также может напрямую запустить kosa8 mcp serve.

Конфиденциальность

Сервер MCP kosa8 работает локально и взаимодействует с демоном kosa8 на той же машине. Согласно политике конфиденциальности kosa8, вызовы инструментов, которые выполняет ваш агент, их аргументы и результаты остаются на вашей машине и никогда не передаются kosa8. В политике перечислены все данные, которые отправляет ПО kosa8, и условия отправки, включая проверки лицензии для платных лицензий, а также описано, как отключить все исходящие вызовы с помощью KOSA8_OFFLINE=1.

Полный текст политики: https://kosa8.com/privacy/

Стоимость

kosa8 — коммерческое ПО. Файлы плагина в этом репозитории бесплатны и распространяются по лицензии MIT, но для самого kosa8 нужна лицензия: при установке предоставляется бесплатный 14-дневный пробный период со всеми функциями, без учётной записи и банковской карты. Тарифы начинаются от 29 долларов в месяц. Подробнее: https://kosa8.com/pricing/.

Поддержка и контакты

Электронная почта: contact@kosa8.com
Проблемы: https://github.com/kosa8ai/kosa8-claude-plugin/issues
Веб-сайт: https://kosa8.com

Лицензия

Файлы в этом репозитории распространяются по лицензии MIT. Лицензия распространяется только на файлы в этом репозитории (плагин Claude Code: его манифест, файл маркетплейса, конфигурацию MCP, навык, команды, агентов, программу запуска, README и логотип). Она не распространяется на само ПО kosa8, которое является коммерческим ПО и распространяется отдельно на собственных условиях.