NanoClaw’ı Docker sandbox’ında çalıştırmak

• NanoClaw ile Docker iş birliği sayesinde, her yapay zeka ajanı izole Docker sandbox’larında tek satırlık bir komutla çalıştırılabiliyor
• Her ajan, mikro VM içindeki bağımsız bir container içinde çalışıyor ve host sisteme erişim olmadan tamamen izole bir ortama sahip oluyor
• Çift güvenlik sınırı yapısı sayesinde container escape yaşansa bile VM katmanında engelleniyor; böylece host dosyaları, kimlik bilgileri ve uygulamalar korunuyor
• NanoClaw’ın güvenlik modeli, ‘güvensizliği varsayan tasarım’ anlayışına dayanıyor; ajanları potansiyel olarak kötü niyetli aktörler kabul edip zararı en aza indiren bir yapı benimsiyor
• Gelecekte bağlam paylaşımı kontrolü, kalıcı ajanlar, ayrıntılı yetki politikaları ve insan onay süreçleri gibi, büyük ölçekli ajan ekiplerinin yönetimine yönelik işlevlerin genişletilmesi hedefleniyor

---

Docker sandbox entegrasyonuna genel bakış

• NanoClaw, Docker ile iş birliği sayesinde tek satırlık komutla sandbox çalıştırmayı destekliyor
  • macOS (Apple Silicon) ve Windows (WSL) üzerinde destekleniyor; Linux desteği yakında eklenecek
  • Kurulum betiği clone, yapılandırma ve sandbox kurulumunu otomatik olarak gerçekleştiriyor
• Her ajan, mikro VM içindeki bağımsız bir container içinde çalışıyor
  • Ek donanım ya da karmaşık yapılandırma gerekmiyor
  • Her container kendi kernel’ine ve Docker daemon’una sahip; host erişimi engelleniyor

Nasıl çalışıyor?

• Docker sandbox’ları hypervisor düzeyinde izolasyon sağlıyor ve milisaniye seviyesinde hızlı başlangıç süresi sunuyor
• NanoClaw bu yapıya doğal şekilde eşleniyor
  • Her ajan bağımsız dosya sistemi, bağlam, araçlar ve oturumlara sahip oluyor
  • Örneğin satış ajanı kişisel mesajlara erişemezken, destek ajanı CRM verilerine erişemiyor
• Mikro VM katmanı ikinci güvenlik sınırını oluşturuyor
  • Container escape olsa bile VM duvarında durduruluyor ve host sistem korunuyor

Güvenlik modeli: güvensizlik temelli tasarım

• NanoClaw, yapay zeka ajanlarına güvenilmeyen bir yapı varsayımıyla tasarlandı
  • Prompt injection, model hatalı davranışı gibi öngörülemeyen riskler hesaba katılıyor
  • Ajan ortamına gizli bilgiler ya da kimlik bilgileri koymamaya yönelik bir tasarım izleniyor
• Güvenlik, ajanın dışında zorunlu kılınan bir yapı olarak ele alınıyor; doğru davranışa bağımlı değil
• OpenClaw’dan farklı olarak NanoClaw, ajanlar arasında tam izolasyon sağlıyor
  • OpenClaw aynı ortamı paylaştığı için kişisel ve iş verileri birbirine karışabiliyor
• Ajanları hem iş birliği yapılan varlıklar hem de potansiyel saldırganlar olarak gören güvenlik mühendisliği ilkeleri vurgulanıyor

Gelecek yol haritası

• Büyük ölçekli ajan ekiplerinin yönetimi için yeni altyapı ve runtime katmanlarına ihtiyaç olduğu ortaya konuyor
• NanoClaw, halihazırda birden fazla Slack kanalıyla bağlantı kurarak iş bazlı bağımsız ajan çalıştırmayı mümkün kılıyor
• Sonraki adım olarak dört temel işlev öne çıkarılıyor
  • Kontrollü bağlam paylaşımı: ekip içinde serbest bilgi paylaşımı ile ekipler arasında seçici paylaşımın birlikte yürütülmesi
  • Kalıcı ajan oluşturma: tek seferlik alt ajanlar yerine, kalıcı kimlik, ortam ve veri taşıyan ekip üyeleri biçiminde ajanlar
  • Ayrıntılı yetki politikaları: yalnızca e-posta okuma izni, belirli depolara erişim kısıtı, harcama limiti belirleme gibi ince ayarlı kontrol
  • İnsan onay süreci: geri döndürülemeyen işlemler yalnızca insan incelemesinden sonra yürütülüyor
• NanoClaw, güvenlik odaklı runtime ve orkestrasyon katmanı; Docker sandbox’ları ise kurumsal düzeyde altyapı temeli olarak sunuluyor
• Hedef, temel izolasyon, kontrollü iş birliği ve organizasyon düzeyinde görünürlük ile yönetişimi aynı anda sunan bir ajan çalıştırma yığını kurmak

NanoClaw’a genel bakış

• NanoClaw, ekip düzeyinde yapay zeka ajanı işletimini destekleyen açık kaynaklı güvenlik runtime’ı ve orkestrasyon katmanı
• Proje GitHub üzerinden incelenebilir ve yıldız vererek destek olunabilir

[GN⁺]

Hacker News yorumları

• Küçük bir detay gibi görünse de birkaç yeni tasarım kararı sektör geneline yayılırsa dönüştürücü bir değişim yaratabilir
  Karpathy'nin de belirttiği gibi, Slack·Discord gibi entegrasyonları doğrudan uygulamak yerine, “entegrasyonların nasıl yazılacağına” dair bir beceri (spec) sunan yaklaşım burada kilit nokta
  Buna “Claude native development” denebilir; ekosistem sanki mevcut “batteries-included” çerçevelerden “fork and customize” yaklaşımına kayacak gibi görünüyor
  Yine de test·doğrulama·güvenlik gibi spec'lerin nasıl dağıtılacağı dahil çözülmesi gereken çok konu var
  Bunun OS seviyesinde de yaşanıp yaşanamayacağını merak ediyorum. Her instance güçlü bir bağışıklık sistemine sahip olursa saldırılara daha dayanıklı heterojen bir ekosistem ortaya çıkabilir

  • Her kullanıcının aynı işi tekrar tekrar yapması gerekeceği için verimlilik düşecek gibi görünüyor. Bir kez uygulanıp herkesin paylaşması daha iyi bence
  • Açık kaynağın gücü iş birliği ve doğrulama sürecidir. LLM'ler ilk başta çok hata ürettiği gibi insanlar da öyle. Ben doğrulanmış bir temel üzerinde özelleştirmenin daha iyi olduğunu düşünüyorum
  • Kod yerine Markdown spec dosyaları alışverişi yaparak işlevlerin geliştirildiği bir dünyaya gidebileceğimizi düşündüm

• Güvenlik araçları veya sandboxing tartışılırken tehdit modeli (threat model) mutlaka açıkça belirtilmeli
  Yapay zeka ajanının gizli verilerin bulunduğu bir host üzerinde rastgele kod çalıştırabilmesi riskli olan nokta
  Örneğin posta kutusunun silinmesi, takvimin sızdırılması, yanlış para transferleri gibi durumlar yalnızca sandbox ile engellenemez
  Bu yüzden sandboxing'in yanında iş bazlı·araç bazlı ayrıntılı yetki kontrolü de gerekir. Örn: “Bu istek yalnızca Gmail okuma yapabilsin, yazma·silme yapamasın”

  • Kesinlikle katılıyorum. Buna ek olarak araçlar arası veri akışı takibi (IFC) ve yetki zayıflatma (ocap) özellikleri de gerekli. Örneğin “veri, orijinal mail thread'inin dışına gönderilemez” gibi politikaları ifade edebilmek gerekir
  • “Don't Trust AI Agents” yazısında dendiği gibi, yapay zeka ajanları güvensizlik varsayımıyla tasarlanmalı. Hatalı çalışma veya prompt injection varsayılmalı ve zararı en aza indiren bir yapı kurulmalı
  • Politika kontrolü merkezli ajan çerçevesi smith-core ve ağ geçidi smith-gateway geliştirdim. Ama bu tür güvenlik tasarımı tartışmaları toplulukta neredeyse hiç ilgi görmüyor
  • İlginç bir yazı gördüm; OpenClaw Sandbox içinde de değinildiği gibi izinler ikili ama LLM davranışı olasılıksal, bu yüzden iki kavram temelde çatışıyor
  • Aslında IAM, WIF, Macaroons, Service Accounts gibi mevcut yetkilendirme sistemleri zaten var. Güvenlik ekibine sorarsanız şirket içinde de kullanılabilecek çözümler bulunabilir

• NanoClaw hoşuma gitti. OpenClaw fazla karmaşıktı ama NanoClaw çok daha sade
  Claude Code'u yapılandırma arayüzü olarak kullanan ilk proje bu; özellik eklemek de eğlenceli ve iyi çalışıyor

  • Benim OpenClaw instance'ım yakın zamanda bozuldu. Bir güncelleme OpenRouter entegrasyonunu bozdu ve kod gereğinden fazla karmaşık
    Güvenlik modeli de benim rootless Kubernetes ortamım ile uyumlu değil, bu yüzden sürekli sorun çıkarıyor
    Bu yüzden Nullclaw'a geçtim. Zig dilini öğrenirken debug edebilmek, öğrenme açısından da ilginç
  • Nanoclaw'da Claude ile bile kolayca oluşturulamayan hangi workflow'ların olduğunu merak ediyorum

• Docker sandbox, Apple'ın container framework'üne benziyor
  macOS'ta Docker'dan çok daha hafif, yerel bir runtime olarak uygun
  Ama Linux'ta hypervisor kullanmak istemiyorum. Linux namespace tek başına da yeterli izolasyon sağlayabilir
  OpenClaw veya NanoClaw'ın neden düzgün yapılandırılmış resmi Docker image sunmadığını merak ediyorum

  • Ben macOS'ta Apple Container, diğer OS'lerde ise Podman kullanıyorum
    Container'ın bazı ağ bug'ları var ama yine de değerli. Sadece DNS ayarını düzeltmek yetiyor
    Claude Code veya Node.js'i host'a kurmak zorunda kalmamak hoşuma gidiyor

• Önemli olan container olup olmaması değil, neyi yapmaya çalıştığın
  Yararlı işlere token harcamanın yolunu bulana kadar runtime ikincil mesele
  Güvenlik açısından LLM'i bir container içine koymak tek başına yeterli değil. Esas mesele erişilebilen bilginin kapsamı
  Ajan tüm verilere erişebiliyorsa asıl tehlike bu

  • Docker sandbox, ek bir izolasyon katmanı olarak MicroVM kullanıyor. Yani sadece basit bir container değil

• İnce ayarlı yetkiler ve politika kontrolü asıl mesele
  Mesele yalnızca hangi aracın kullanılabildiği değil, nelerin yapılabildiğinin de tanımlanması
  Örn: sadece e-posta okuma, yalnızca belirli depolara erişim, harcama limiti belirleme vb.
  Yalnızca Docker sandboxing ile mesajlaşma hesabı gibi hassas varlıkları LLM'e emanet etmek güvensiz hissettiriyor

• Docker sandbox her ajan için özel bir MicroVM ve Docker daemon başlatıyor, ayrıca esnek bir egress proxy de yapılandırıyor
  Reverse engineering yaptım; oldukça ilginç bir uygulama

• NanoClaw hemen kullanıma hazır, tam bir ürün değil
  iMessage benzeri işlevleri bir coding agent aracılığıyla doğrudan kendin eklemen gerekiyor
  Yani bir bakıma Claude derleyici rolünü üstleniyor

  • Eskiden derleyicinin ürettiği assembly'yi doğrudan incelediğimiz zamanlar vardı
    Coding agent'lar da hâlâ o seviyede. Son dönemde “coding agent'lar çok daha iyi oldu” denmesi biraz abartı
    Hâlâ Claude'a “bu çözülmedi, tekrar dene” demeyi defalarca tekrarlamak gerekiyor

• Ben de “claws”a benzer bir fikir üzerinde çalışıyorum
  Mesajlaşma uygulaması entegrasyonları yerine uçtan uca şifreli bir TUI sunan bir yaklaşım
  wingthing.ai / GitHub deposu bakılabilir
  Docker desteğini nasıl ele alacağımı düşünüyorum, bu yüzden bu projeye de göz atacağım

• Nano/Open-Claw için net kullanım senaryosu nedir, merak ediyorum. Dijital hayatımı benim yerime mi yönetiyor?

  • Aslında basit. Ya bir LLM cron job'ı ya da Telegram·e-posta gibi sohbet bağlayıcıları. İlki normal cron ile, ikincisi de elle yazılmış kodla veya Gemini Gems ile yapılabilir
  • E-posta özetleri, takvim hatırlatmaları, brifing dokümanları gibi tekrarlayan bilgi işlerini otomatikleştirmede faydalı
  • Bir yapılacaklar uygulamasına bağlayıp bota mesajla yönettirmek gibi. Verimlilik artışı sağlıyor
  • Ben NanoClaw'ı beslenme·egzersiz koçu olarak kullanıyorum. Hedef takibi, öğün planlama, alışveriş listesi, egzersiz kaydı gibi işleri üstleniyor
    Apple Container'a taşıdım ve LanceDB tabanlı uzun süreli bellek özelliği de ekledim. Artık aynı şeyi tekrar tekrar söylemem gerekmiyor