Codex 校核（2026-10-09） Clawk 当前 README的隔离边界允许显式共享路径：代码/worktree 会挂载到 guest，agent 可以修改它，也可经转发的 ssh-agent 向已允许的 GitHub 推送。因此“主机文件系统从未挂载”“无法触及主机”应理解为未显式共享的部分隔离，不能覆盖挂载代码、传入凭据和允许的出站目标；密钥未进入 guest 不等于签名权限无法被使用。当前 Linux/Firecracker 仍标 experimental、项目 pre-1.0；本次未在 WSL 实装，不能将未来替换建议当作已验证部署结论。
🧠 知识消化: mimic + Clawk
来源: GitHub (mimic 204pts) + HN Show HN (Clawk) 消化时间: 2026-07-14
1. littledivy/mimic — Intercept any app, call from Python like a library
定位: 通过 mitmproxy 拦截任意 App 的 API 流量，提取认证上下文，AI 自动生成 Python 客户端。
核心价值: “Computer Use for APIs” — 不是像素级的 CUA（慢且脆弱），而是 API 级拦截。你可以在 60 秒内把任意 App 变成 Python 库。
技术架构
capture traffic → extract auth → generate client
(mitmproxy) (mimic.Session) (Claude reads endpoints)
- Capture: mitmproxy 拦截 HTTPS 流量 → JSON flow API
- Extract:
mimic.Session提取稳定 auth（bearer token, device IDs, cookies, session ID） - Generate: LLM 读取捕获的端点，生成类型化的 Python 客户端
- Replay: 生成客户端在
mimic.App上运行，401/403 自动从 mitmweb 重拉 auth
三种构建 Session 的方式
| 方式 | 用法 | 适用场景 |
|---|---|---|
| mitmproxy capture | Session.from_mitm("host") | iOS/Android App 流量 |
| cURL paste | Session.from_curl(text) | 浏览器 DevTools 复制 |
| Explicit | Session(base_url, headers=...) | 已知 API 配置 |
限制
- Certificate pinning: 银行 App、Instagram 等拒绝 mitmproxy 证书 → 需 Frida bypass
- DPoP: 每次请求携带新鲜私钥签名 → 无法重放，核心模型被击败
对 Hermes 的启发
mimic 的 Session.from_curl() 模式特别适合快速集成无 API 的服务。可以为 Hermes 添加一个工具获取模式：在浏览器中复制 cURL，粘贴后自动生成 Hermes 可调用的工具。节省大量编写 API 适配器的时间。
2. Clawk — Disposable Linux VMs for coding agents
定位: 一行命令 clawk → 启动一个可丢弃的 Linux VM，挂载你的代码，附着一个 AI 编码 Agent（Claude Code / Codex），网络白名单化，主机文件系统完全隔离。
为什么是 VM 不是容器？
- 独立内核: 主机文件系统从未挂载到 Guest
- 标准 Linux 环境: 完整 kernel + userland，工具按文档工作
- Guest 内 root: 可安装系统包、编辑
/etc、加载内核模块 - 可丢弃生命周期:
clawk destroy && clawk秒级重建 - 更强的隔离: 依赖 Hypervisor 边界而非进程沙箱策略
安全模型
你 ──▶ clawk CLI ──▶ per-sandbox daemon (detached; owns the VM)
├─ gvproxy: in-process TCP/IP stack —
│ DNS-aware outbound filter (guest 无法绕过)
├─ vsock bridge to in-guest pty-agent (no sshd)
├─ ssh-agent proxy (签名留在 host)
└─ VM: Virtualization.framework / Firecracker
├─ clawk-init, PID 1
├─ your repo, live-mounted over virtio-fs
└─ claude / codex / shell on a PTY
两个安全边界: VM 隔离 + 出站网络白名单。Agent 在 guest 内是 root，但 host 文件系统从未挂载。ssh-agent 转发让 git push 工作而不暴露密钥。
不保护的内容:
- 挂载的 worktree 可写入（agent 可以 push 坏代码）
- 传入的 secrets（env vars、Claude token）agent 可读
- Hypervisor 本身的安全漏洞
对 Hermes 的启发
当 Firecracker 提供者成熟后，Clawk 的模式可直接替换我们当前在 WSL 上直接运行 Claude Code / Codex 的方式。当前 --dangerously-skip-permissions 的行为可以被 VM 级隔离取代。
横向连接: Agent 安全与工具获取趋势
这两个项目从不同角度解决了 Agent 的核心问题：
| 维度 | mimic | Clawk |
|---|---|---|
| 问题 | Agent 如何获取工具 API | Agent 如何安全运行 |
| 方案 | API 级拦截 + AI 代码生成 | VM 级隔离 + 网络白名单 |
| 对 Agent 的影响 | 更多可调用的服务 | 更安全地让 Agent 执行 |
结合来看，一个理想的 Agent 基础设施应该是：
- Clawk 层: 每个 Agent 在隔离 VM 中运行，无法触及主机
- mimic 层: 通过 API 拦截自动发现和集成外部服务
- 组合效应: Agent 安全地拥有自己的机器，并能自动学习新的 API
行动建议
| # | 建议 | 优先级 | 难度 |
|---|---|---|---|
| 1 | 评估 Clawk Firecracker 提供者在 Linux 上的成熟度 | 🟡 P1 | 低 |
| 2 | 将 mimic 的 Session.from_curl() 模式记录为 Hermes 工具获取模式 | 🟢 P2 | 低 |
| 3 | 跟踪 Clawk 的 Linux/Firecracker 进展，在 1.0 后评估替换 | 🟢 P2 | 中 |