Claude Code в изолированной виртуальной машине, которая только открывает PR
Автор запускает Claude Code в отдельной виртуальной машине с жёстко ограниченной сетью, а секреты отдаёт через Infisical. Агент может только создавать issues и PR в Forgejo, мерджит автор вручную.
Что сделали
Claude Code работает в собственной виртуальной машине в сильно ограниченной VLAN. Оттуда доступны только интернет, свой экземпляр Forgejo у автора, Infisical и односторонний SSH с машины автора. Секреты приходят через Infisical, так что агент их не видит. Пользователь агента в Forgejo умеет только создавать issues и pull request'ы. Мерджит автор сам, после этого CI собирает приложение и деплоит его на отдельную виртуальную машину с сервером приложения.
Что получилось
Измеренных результатов в источнике нет. Автор сам называет такую схему избыточной, но считает, что она того стоит, потому что снижает риск утечки личных данных. В режиме локальной разработки часть секретов всё равно может оказаться на виду.
На что обратить внимание
В режиме локальной разработки агент всё ещё может видеть секреты. Защита через Infisical полностью работает только вне этого режима.
Пояснение
Forgejo это бесплатный Git-хостинг, который ставят на свой сервер (аналог GitHub). Infisical это менеджер секретов, он выдаёт пароли и ключи программам, чтобы их не приходилось хранить в коде. VLAN это изолированный сегмент локальной сети со своими правилами доступа.
Кому пригодится
Разработчикам, которые хотят дать агенту работать над кодом, но не готовы пускать его к секретам и к основной ветке.
Попробуйте сами с Claude Code
Помоги мне настроить закрытую виртуальную машину, в которой ты будешь работать над моим проектом [название репозитория]. Права у неё должны быть только нужные, то есть чтение кода, получение секретов из [менеджер секретов] и открытие issues и pull request'ов в [Git-хостинг], без права мерджить. Проведи меня по настройке шаг за шагом и в конце открой небольшой тестовый pull request. Перед каждой командой, которая меняет мою систему или учётные данные, остановись и покажи её мне.
Нужна помощь с запуском? Вступайте в сообщество AI Pack ↗
Источник: news.ycombinator.com ·