OneCLI: Otwartoźródłowe środowisko w piaskownicy dla agentów AI

OneCLI to otwartoźródłowa platforma oraz środowisko uruchomieniowe (agent harness), które wprowadza izolowane piaskownice i bezpieczne zarządzanie poświadczeniami dla agentów AI działających w strukturach zespołowych. Projekt rozwijany jako open source i wspierany przez akcelerator Y Combinator odpowiada na kluczowe wyzwanie współczesnych wdrożeń autonomicznych modeli: jak umożliwić pracownikom delegowanie realnych zadań programom autonomicznym bez narażania infrastruktury na wycieki kluczy API, nieautoryzowane operacje czy ataki typu prompt injection.

Rozwiązanie łączy koncepcję osobistego asystenta dla każdego członka organizacji z centralnym punktem kontroli uprawnień, w którym agenci AI pracują w odseparowanych środowiskach systemowych, a cały ich ruch sieciowy jest kontrolowany przez dedykowaną bramkę pośredniczącą.

Geneza: Od skarbca poświadczeń w Rust do OneCLI v2

Początkowo projekt OneCLI powstał jako wyspecjalizowany skarbiec poświadczeń (credential vault) napisany w języku Rust. Narzędzie miało na celu zabezpieczanie sekretów wykorzystywanych przez pojedyncze autonomiczne środowiska, takie jak Hermes, OpenClaw czy NanoClaw. Praktyka pokazała jednak, że o ile autonomiczni agenci sprawdzają się w rękach pojedynczych programistów, o tyle próba wdrożenia ich w całej firmie napotyka barierę organizacyjną i techniczną.

Uruchamianie osobnych instancji dla każdego pracownika, ręczne przydzielanie uprawnień, brak przejrzystości co do wykonywanych operacji oraz ryzyko ujawnienia produkcyjnych kluczy API sprawiały, że skalowanie takich rozwiązań stawało się chaotyczne. Odpowiedzią twórców stała się wersja OneCLI v2, która przekształciła narzędzie w platformę wieloosobową. W nowej architekturze każdy pracownik otrzymuje własnego, zabezpieczonego agenta, podczas gdy zespół IT zachowuje jednolitą kontrolę nad politykami dostępu w całym obszarze roboczym.

Architektura techniczna: Rust Gateway, izolowane piaskownice i Runner outbound-only

Architektura OneCLI została zaprojektowana modułowo z myślą o pełnej separacji odpowiedzialności pomiędzy interfejsem, warstwą kontrolną i środowiskiem wykonawczym:

• Web Dashboard: Aplikacja zbudowana w oparciu o framework Next.js, służąca do interakcji z agentami, podglądu i edycji ich pamięci (Memory) oraz definiowania zestawów umiejętności (Skills).
• API Server: Płaszczyzna kontrolna (control plane) korzystająca z bazy danych PostgreSQL, odpowiedzialna za zarządzanie stanem konwersacji oraz kolejką zadań.
• Rust Gateway: Wysokowydajna bramka sieciowa napisana w języku Rust. Działa jako serwer proxy przechwytujący ruch wychodzący HTTPS (poprzez mechanizm MITM) i wstrzykujący właściwe poświadczenia do nagłówków Proxy-Authorization na podstawie wzorców hosta i ścieżki.
• Runner: Proces zarządzający cyklem życia piaskownic — odpowiada za ich uruchamianie, parkowanie oraz usuwanie. Działa wyłącznie w trybie wychodzącym (outbound-only) i nie łączy się bezpośrednio z bazą danych, co pozwala na bezpieczne wdrożenie na stacjach roboczych, w środowiskach homelab lub chmurach VPC za NAT bez otwierania portów wejściowych.
• Sandbox Supervisor: Demon działający wewnątrz każdej piaskownicy, komunikujący się przez neutralny interfejs harnessu, co umożliwia wymianę silnika wykonawczego agenta.
• Secret Store: Magazyn poświadczeń szyfrowany w spoczynku algorytmem AES-256-GCM, deszyfrujący sekrety wyłącznie w momencie przetwarzania żądania sieciowego.

Kontrola uprawnień, integracje i zatwierdzenia Human-in-the-loop

Fundamentem bezpieczeństwa w OneCLI jest zasada, według której agenci AI nigdy nie mają bezpośredniego wglądu w rzeczywiste poświadczenia. Zamiast tego operują na tokenach zastępczych. Gdy agent wykonuje zapytanie HTTP do zewnętrznego API, bramka Rust Gateway weryfikuje nadane uprawnienia i wstrzykuje odszyfrowane dane uwierzytelniające w warstwie sieciowej. System współpracuje również z zewnętrznymi menedżerami haseł, takimi jak Bitwarden oraz 1Password, pobierając sekrety na żądanie bez konieczności ich trwałego składowania na serwerze.

Platforma integruje się bezpośrednio z firmowymi dostawcami tożsamości (IdP), co pozwala na automatyczne tworzenie instancji agentów powiązanych z tożsamością konkretnych pracowników. Każdy agent zyskuje także własny interfejs w komunikatorze Slack (osobna aplikacja z dedykowaną nazwą i awatarem), dzięki czemu może odpowiadać w kanałach i wiadomościach prywatnych.

Aby zapobiec nieodwracalnym błędom, OneCLI wprowadza deterministyczny mechanizm zatwierdzeń przez człowieka (human-in-the-loop). Przed wykonaniem operacji oznaczonych jako krytyczne — takich jak wysłanie wiadomości e-mail, usunięcie zgłoszenia w systemie Linear czy wyczyszczenie zasobnika w usłudze Amazon S3 — agent wstrzymuje działanie i prosi użytkownika o potwierdzenie bezpośrednio w oknie konwersacji.

Model licencyjny, wdrożenie i rozwój społeczności

Projekt OneCLI jest rozwijany na zasadach open source w oparciu o licencję Apache-2.0. Wyjątek stanowi katalog ee/, zawierający funkcje klasy Enterprise podlegające dedykowanej licencji OneCLI Enterprise License — bezpłatnej do celów deweloperskich i testowych, lecz wymagającej komercyjnej subskrypcji w środowiskach produkcyjnych. Cała pozostała część kodu może być bezpłatnie wdrażana na własnej infrastrukturze.

Lokalne uruchomienie projektu sprowadza się do sklonowania repozytorium z serwisu GitHub, zainstalowania zależności narzędziami mise oraz pnpm, a następnie wywołania polecenia pnpm dev lub pnpm run setup. Środowisko uruchamia instancję PostgreSQL, aplikuje migracje i udostępnia interfejs pod adresem http://localhost:10254. Dla zespołów preferujących infrastrukturę zarządzaną dostępna jest również wersja chmurowa pod adresem onecli.sh.

Projekt zgromadził na platformie GitHub ponad 3,2 tys. gwiazdek oraz 192 forki, stając się jednym z czołowych otwartoźródłowych rozwiązań adresujących problem bezpiecznego uruchamiania autonomicznych asystentów w środowiskach korporacyjnych.