kosa8

官方

为 AI 智能体提供安全基础设施：可创建检查点、回滚和分叉的密封微型虚拟机沙箱。

GitHub

你可以用 kosa8 MCP 做什么？

在密封的微型虚拟机中运行代码 — 让 Claude 在隔离的微型虚拟机中运行不受信任或生成的代码，该虚拟机只能访问工作区文件夹。
为沙箱创建检查点并回滚 — 保存包含内存和运行中进程的还原点，然后回滚到该还原点并恢复进程。
分叉运行中的沙箱 — 将运行中的沙箱分叉为多个独立副本，以并行尝试不同方案，并保留可行的方案。
限制网络出站流量 — 创建一个沙箱，使其网络只能访问允许列表中的主机，其他所有连接都会被拒绝。
检查守护进程状态 — 让 Claude 检查 kosa8 守护进程是否正在运行，并报告其版本。

文档

Claude Code 的 kosa8 插件

kosa8：面向 AI 智能体的安全基础设施。

为 Claude 提供一台密封的工作机器。此插件将 Claude Code 连接到 kosa8，这是面向 AI 智能体的安全基础设施：每个智能体都有自己的密封机器，一台拥有独立内核的真实微型虚拟机，而不是与主机共享内核的容器。

启用插件后，Claude 可以：

在密封的微型虚拟机中运行不可信代码或智能体编写的代码；该虚拟机只能看到一个文件夹（工作区），看不到主机上的其他任何内容；
在封闭网络环境中工作，只有你编写的允许列表中的主机可以访问，其他所有连接都会被拒绝；
使用 API 密钥而无需持有密钥：主机上的出口代理会在请求发出时注入密钥，沙箱中只保留占位符；
在执行有风险的步骤前，用约 0.7 秒为整台运行中的机器创建检查点，包括内存和进程；出错时，可在约一秒内将其恢复到检查点，并继续运行；
将运行中的机器分叉为多个实时副本，以并行尝试不同方案，并保留有效方案；
对有风险的操作等待一位或两位指定的人类审批者（双人规则），并将每项操作写入哈希链式、防篡改的审计日志。

插件由四个部分组成：

MCP 服务器（.mcp.json），通过 scripts/kosa8-mcp 将 kosa8 mcp serve 作为本地 stdio 进程启动。
技能（skills/kosa8-sandbox），告诉 Claude 何时使用沙箱，以及如何安全地使用检查点、恢复、分叉、出口允许列表和审批。
命令： /kosa8:status、/kosa8:sandbox <task>、/kosa8:checkpoint、 /kosa8:rewind（恢复前会询问）和 /kosa8:explore（在多个并行分叉中尝试多条命令）。
智能体： sandbox-runner 在密封的微型虚拟机中运行不可信代码或生成的代码，并报告执行情况；fork-explorer 在同一运行中沙箱的并行分叉中比较不同方案。

前置条件

Claude Code。
在同一台机器上安装 kosa8，并确保 kosa8 位于你的 PATH 上。kosa8 可在 Apple 芯片 Mac 和 x86-64 Linux 上运行，也可通过 WSL2 在 Windows 上运行（预览版）。从 kosa8.com/download 安装。发布版本均经过签名和公证。使用 kosa8 version 检查安装情况。
kosa8 守护进程正在运行。此插件只是一个轻量启动器：沙箱是由 kosa8d 在你的机器上运行的微型虚拟机，因此守护进程未启动时，所有功能都无法使用。

开始之前：安装 kosa8 并启动守护进程

此插件不会安装 kosa8，且没有 kosa8 就无法运行。在新机器上：

# 1. Install kosa8 (macOS on Apple silicon, x86-64 Linux, or WSL2)
#    from https://kosa8.com/download/, then check it:
kosa8 version

# 2. Start the daemon that runs the microVMs:
kosa8 daemon start

# 3. Confirm both halves are up:
kosa8 version          # prints "kosa8 daemon <version> (up Ns)"
kosa8 mcp tools        # lists the tools this plugin exposes

如果 kosa8 version 报告 kosa8 daemon: not running，请再次运行 kosa8 daemon start。MCP 服务器可以在守护进程未启动时启动，但此时每个沙箱工具都会返回 cannot reach kosa8d。

为用户安装此服务器的智能体可以参阅 llms-install.md。

安装

在 Claude Code 中，将此仓库添加为市场并安装插件：

/plugin marketplace add kosa8ai/kosa8-claude-plugin
/plugin install kosa8@kosa8

或者在 shell 中运行：

claude plugin marketplace add kosa8ai/kosa8-claude-plugin
claude plugin install kosa8@kosa8

重启 Claude Code（或运行 /reload-plugins）。运行 /mcp，确认 kosa8 服务器已连接，然后让 Claude“检查 kosa8 状态”。

共享主机文件夹

默认情况下，智能体无法将任何主机目录共享到沙箱中。若要允许它们共享项目文件夹，请使用 --allow-mount DIR（只读）或 --allow-mount DIR:rw 启动服务器。你可以通过添加自己的 MCP 服务器条目来实现，例如添加到项目的 .mcp.json 中：

{
  "mcpServers": {
    "kosa8-workspace": {
      "command": "kosa8",
      "args": ["mcp", "serve", "--allow-mount", "/Users/you/code/api:rw"]
    }
  }
}

网络和密钥

沙箱的网络访问权限在创建时设置。若要让沙箱只能访问一个 API，而无法访问其他任何内容，请在终端中创建沙箱：

kosa8 sandbox create sealed --egress-allow api.anthropic.com

工具

kosa8 mcp serve 提供以下工具（由 kosa8 0.5.0 中的 kosa8 mcp tools 报告）：

工具	功能
`kosa8_status`	检查 kosa8 守护进程是否正在运行，并报告其版本
`sandbox_create`	启动一台拥有独立内核和容器引擎的隔离微型虚拟机沙箱
`sandbox_list`	列出沙箱，包括每个分叉所源自的父沙箱
`sandbox_run`	在沙箱的专用引擎中运行容器，与主机隔离
`sandbox_pull`	将镜像拉取到沙箱的专用引擎中
`sandbox_checkpoint`	保存还原点，包括内存和正在运行的进程
`sandbox_checkpoint_list`	列出沙箱的还原点
`sandbox_rewind`	将沙箱恢复到检查点，并恢复进程运行
`sandbox_fork`	将运行中的沙箱分叉为 N 个独立副本
`sandbox_explore`	Best-of-N：为每条候选命令创建一个分叉，并发运行，然后保留胜出的结果
`sandbox_snapshot`	将沙箱的完整状态捕获为快照
`sandbox_stop`	停止沙箱，但不删除它
`sandbox_start`	从沙箱自己的磁盘启动已停止的沙箱
`sandbox_delete`	停止并删除沙箱及其虚拟机
`snapshot_list`	列出已保存的沙箱快照
`snapshot_restore`	从快照启动沙箱，并恢复进程运行
`snapshot_rm`	删除快照
`container_run`	运行容器直至完成并返回其输出
`container_exec`	在运行中的容器内执行命令
`container_list`	列出容器
`container_logs`	获取容器的输出
`container_stats`	报告容器的 CPU、内存和 pid 使用情况
`container_stop`	停止正在运行的容器
`image_build`	根据主机目录中的 Dockerfile 构建镜像
`image_list`	列出镜像
`image_pull`	从注册表拉取镜像
`network_create`	创建隔离的桥接网络
`network_list`	列出容器网络
`volume_create`	创建命名卷
`volume_list`	列出命名卷

运行 kosa8 mcp tools，查看你所安装版本的工具列表。

此插件运行的内容

此插件唯一的可执行文件是 scripts/kosa8-mcp，这是一个简短的 shell 脚本，用于查找机器上已安装的 kosa8 并运行 kosa8 mcp serve。它不会下载或安装任何内容。插件本身不会向任何地方发送数据，不会联系任何服务器，也不会读取任何凭据。

其他 MCP 客户端

同一服务器也已发布到官方 MCP Registry，名称为 io.github.kosa8ai/kosa8（参见 server.json）。它以 MCP bundle 的形式分发，kosa8-mcp.mcpb 随每个 GitHub 发布版本附带：其中包含清单和与 scripts/kosa8-mcp 相同的简短启动器。它不会下载或安装任何内容，因此请先安装 kosa8。

任何能够启动 stdio 服务器的 MCP 客户端也可以直接运行 kosa8 mcp serve。

隐私

kosa8 MCP 服务器在本地运行，并与同一台机器上的 kosa8 守护进程通信。根据 kosa8 隐私政策，智能体发起的工具调用、调用参数及其结果都会保留在你的机器上，不会传送给 kosa8。该政策列出了 kosa8 软件发送的所有内容及发送时间，包括付费许可证的许可证检查，并说明如何使用 KOSA8_OFFLINE=1 关闭所有出站调用。

完整政策：https://kosa8.com/privacy/

定价

kosa8 是商业软件。此仓库中的插件文件免费提供，并采用 MIT 许可，但 kosa8 本身需要许可证：每个许可证都附带为期 14 天的免费试用，可使用所有功能，无需账户或银行卡。套餐价格从每月 29 美元起。详见 https://kosa8.com/pricing/.

支持与联系

电子邮件：contact@kosa8.com
问题反馈：https://github.com/kosa8ai/kosa8-claude-plugin/issues
网站：https://kosa8.com

许可证

此仓库中的文件依据 MIT License 发布。该许可证仅适用于此仓库中的文件（Claude Code 插件：其清单、市场文件、MCP 配置、技能、命令、智能体、启动器、README 和徽标）。该许可证不适用于 kosa8 软件本身；kosa8 是单独分发并受其自身条款约束的商业软件。