Introducing wormbox!
Transparent sandbox + pre-install audit for the macOS Node.js toolchain (npm, pnpm, yarn, bun). Every install runs under sandbox-exec; the audit reads tarballs first and flags the shapes seen in chalk, debug, Shai-Hulud: window.ethereum proxies, atob+eval lifecycle scripts, decoded payloads fed to Function(). AWS_*/GH_TOKEN never reach postinstall.
macOS 上用 sandbox-exec 隔離
#agent #app #apple #bubblewrap #bwrap #coding #design #exec #guide #linux #macos #sandbox #SandboxExec #security
上上禮拜看到「sandbox-exec: macOS's Little-Known Command-Line Sandboxing Tool (via)」這個感到興趣，主要是因為有跑 coding agent 的需求，在 Linux 上可以透過 bubblewrap 隔離 (參考「Linux 下用 bubblewrap (bwrap) 跑 Claude Code」)，但 macOS 上沒有 bubblewrap，所以需要另外找工具，看起來就是這個了。 Hacker News 上有人提到 deprecated 的問題，從 2017 年就已經是 deprecated 了...
Kevin
Gea-Suan Lin