LeanCTX安全模型全解PathJail项目边界、密钥拦截与本地优先隐私设计【免费下载链接】lean-ctxLeanCTX — Context Intelligence for AI systems.项目地址: https://gitcode.com/gh_mirrors/le/lean-ctxLeanCTXlean-ctx是一款面向 AI 编程助手的本地优先上下文智能引擎它的安全模型由三层防线构成PathJail 项目边界隔离、密钥拦截secret redaction与本地免费不变量。默认开启、无需手动配置本文带你快速看懂这套 LeanCTX 安全架构的运作原理。纵深防御四层安全管线一图看懂LeanCTX 的设计哲学是默认安全每一条文件读取和 shell 命令都会穿过层层护栏而且这些护栏默认全部开启——你不需要去激活安全只能选择去收紧它无法意外关掉基线。层级保护对象核心机制1. PathJail你的机器文件访问边界路径规范化 项目根隔离2. Shell 白名单命令执行~200 个受信开发工具3. OS 沙箱子进程macOS Seatbelt / Linux Landlock4. 密钥拦截你的密钥LLM 不可见凭证扫描 脱敏替换一条命令即可查看当前整体安全姿态lean-ctx security status # 查看 jail、shell、密钥脱敏的实时状态它会给出STRICT / RELAXED / OPEN三种标签确保任何放松配置都无法悄悄隐藏。PathJail 项目边界AI 助手被关进项目笼子PathJail是 LeanCTX 安全模型的地基核心实现在 rust/src/core/pathjail.rs。它把 AI 助手的文件访问限制在项目根目录内——任何越界的绝对路径比如read /etc/passwd或../../路径穿越都会被直接拒绝。它的几个关键设计细节符号链接逃逸检测边界判定前会先做安全规范化canonicalize_secure解析所有符号链接。这意味着你无法用一个指向项目外的软链接洗白一次越界访问见 rust/src/core/pathjail.rs。空字节与异常路径拦截候选路径先过空字节检查再进入判定流程杜绝经典的路径注入手法。放松必报警任何放宽 jail 的配置path_jail false、LEAN_CTX_ALLOW_PATH等都会在启动时打印[SECURITY]警告并写入lean-ctx doctor报告见 rust/src/core/pathjail.rs。只读根目录read_only_roots让你可以读相邻仓库如依赖缓存但永远不能写写入会在统一咽喉点被拒绝实现读写权限分离见 rust/src/core/pathjail.rs。值得一提的是PathJail 策略还在 Lean 定理证明器中做了形式化验证相关证明与论文可参考 _archive/lean/LeanCtxProofs/Policy/PathJail.lean 和 _archive/lean/PAPER.md。如何扩大或信任边界添加受信根allow_paths/extra_roots配置项支持~与环境变量展开一键放松与恢复lean-ctx yolo关闭包含约束与lean-ctx secure恢复安全默认注意yolo只关掉包含约束这一层密钥脱敏始终不受影响密钥拦截你的 .env 永远到不了模型第二道防线是secret redaction密钥脱敏由 rust/src/core/secret_detection.rs 实现默认开启。任何 shell 输出或文件内容在返回给模型之前都会先经过凭证扫描命中 AWS 密钥、token 等已知格式后原文被替换为[REDACTED:aws_key]这类占位符报告附带安全预览如AKIA…让你知道脱敏生效了但看不到密钥本体custom_patterns支持添加企业自己的密钥形态exclude_patterns可豁免已知的安全匹配在此之上还有敏感度策略底线sensitivity policy floor按public internal confidential secret四级分类达到底线级别的内容整体丢弃或局部脱敏后才允许触达模型。该配置只存在于你的全局配置文件中——不可信的项目配置文件无法自行降低安全底线。工作区信任克隆来的配置不能替你松绑一个克隆下来的仓库会自带.lean-ctx.toml它理论上可以放宽 jail、替换 shell 白名单等安全敏感项。LeanCTX 对此设了信任门lean-ctx trust # 显式信任当前项目 lean-ctx trust status # 查看哪些覆盖项被门控信任同时绑定工作区路径和配置文件的内容哈希——信任之后再改文件会立即重新门控杜绝信任一次、后改生效的静默提权。本地优先隐私设计功能永不因商业而设限LeanCTX 的第三层安全体现在架构层面——本地优先local-first不是一句口号而是有测试守护的不变量任何对单个开发者在本地可用的能力必须永远无需账号、许可证或订阅计划。商业功能只能增加能力绝不许移除、降级或门控本地能力。这一 Local-Free Invariant 由 CI 测试local_free_invariant.rs强制守护若任何本地能力随环境变量改变行为构建直接失败。与之配套的是 OSS 平面分离契约开源仓库只承载免费、本地优先的运行时业务、运维、密钥、客户数据全部隔离在私有平面通过稳定的/v1服务边界通信并叠加 pre-push 钩子、CI 专有代码守卫、密钥扫描等多层执法。隐私心智模型两个独立平面平面保护什么控制手段包含约束你的机器不被 agent 越界PathJail shell 白名单密钥防御你的密钥不泄露给模型提供商.env/凭证脱敏关键洞见在于即使在最宽松的yolo模式下密钥防御平面也不会被关掉——你可以让 agent 在受信机器上为所欲为但凭证依然出不了这台机器。安全治理速查清单目标控制手段查看/切换整体姿态lean-ctx security status·yolo·secure文件访问锁定项目内PathJail默认开启门控克隆仓库的本地配置lean-ctx trust限制可执行命令shell_allowlistshell_strict_mode约束执行代码的沙箱Seatbelt (macOS) / Landlock (Linux)阻止密钥触达模型[secret_detection]默认开启响应安全审计审计日志 OWASP 对齐映射完整的安全与治理说明含 harden 模式、角色策略、OS 沙箱细节见官方文档 docs/reference/13-security-and-governance.md。一句话总结LeanCTX 把AI 能碰什么和什么能离开这台机器拆成两个独立平面用默认开启的 PathJail 管住前者用不可被yolo关掉的密钥拦截管住后者再用本地优先不变量保证这一切永远免费、永远在你本地。【免费下载链接】lean-ctxLeanCTX — Context Intelligence for AI systems.项目地址: https://gitcode.com/gh_mirrors/le/lean-ctx创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考