Qu’est-ce que CC Safety Net ?
CC Safety Net s'accroche aux CLI d'agents de code et vérifie chaque commande shell avant son exécution. Il bloque les commandes Git et de système de fichiers destructrices comme git reset --hard, git push --force et rm -rf sur des cibles dangereuses, plus les tentatives de lecture de clés SSH, de fichiers .env et de ~/.aws.
Il analyse ce qu'une commande fait réellement, si bien que l'envelopper dans bash -c ou python -c, ou réordonner les flags, ne la cache pas. Des presets, un petit tableau de bord et des règles d'équipe committées dans le dépôt laissent une équipe partager une seule politique. Il prend en charge Claude Code, Codex, Cursor, Gemini CLI, GitHub Copilot CLI, OpenCode et une douzaine d'autres. Un seul développeur indépendant le maintient ; v2.6.19 est sortie le 24 octobre 2026.
CC Safety Net vaut-il le coup ?
Un bac à sable garde un agent à l'intérieur de votre projet. Il ne fait rien contre l'agent qui saccage le projet lui-même. Un seul git reset --hard malheureux peut effacer un après-midi de travail non committé, et c'est une commande qu'aucun bac à sable ne bloque.
CC Safety Net se place devant chaque commande shell. Contrairement à une simple liste de refus, il comprend ce que la commande fait vraiment, si bien que les astuces habituelles pour cacher rm -rf dans bash -c, ou pour mélanger les flags, ne passent pas. Il prend en charge environ 20 CLI d'agents, de Claude Code à Codex, et il refuse aussi la lecture de clés SSH, de fichiers .env et d'identifiants cloud. Les règles peuvent être committées dans le dépôt pour qu'une équipe entière les partage.
Le hic : le README dit clairement que ce n'est pas un bac à sable. Il ne contient pas les processus, ne règle pas les permissions de fichiers et ne surveille pas le trafic réseau. C'est le projet d'une seule personne (environ 1 800 étoiles, v2.6.19), et l'installation recommandée tire @latest à chaque fois, ce qu'une équipe devrait épingler.
Notre avis : un bac à sable plus ce garde couvre les deux moitiés du problème, ce que l'agent peut atteindre et ce qu'il peut détruire. Empiler une seconde collection de hooks de blocage de commandes par-dessus ne vous donne que deux jeux de règles qui se battent sur les mêmes commandes.
Là où il fait la différence
Un développeur qui laisse Claude Code approuver automatiquement les commandes shell
Ne jamais perdre de travail non committé à cause d'un hard reset ou d'un force-push
npx -y cc-safety-net@latest install, puis doctor pour confirmer. Les commandes Git destructrices sont refusées avant leur exécution ; ne coûte rien.
Un tech lead qui standardise les règles d'agent dans une équipe de 12 personnes
Donner à tous la même politique de commandes bloquées
Committez la config .cc-safety-net/ dans le dépôt et épinglez la version du paquet dans le guide de configuration de l'équipe.
Avant de vous engager
- Mise en route
- A besoin de Node.js 18+. npx -y cc-safety-net@latest install le câble dans chaque CLI pris en charge sur la machine ; doctor vérifie qu'il fonctionne.
- Intégrations
- Claude Code, Codex, Cursor, Gemini CLI, GitHub Copilot CLI, OpenCode, Amp, Devin CLI, Kimi Code et d'autres ; une API Node.js.
- Données et confidentialité
- Tourne en local comme un hook et n'envoie rien nulle part. Licence MIT.
- Coût à grande échelle
- Gratuit pour toute taille d'équipe ; il n'y a pas d'édition payante.
- Limites
- Ne voit que les commandes que l'agent lance via les outils accrochés ; aucun contrôle de réseau ou de permissions de fichiers.
Les points forts
- Analyse les commandes, si bien que bash -c et le réordonnancement des flags ne passent pas
- Bloque la lecture des clés SSH, des .env et des identifiants cloud
- Les règles d'équipe peuvent être committées dans git
- Prend en charge environ 20 CLI d'agents de code
Les points faibles
- Pas un bac à sable : aucun contrôle de processus, de permissions de fichiers ou de réseau
- Mainteneur unique
- L'installation par défaut tire @latest ; épinglez-la pour les équipes
Idéal pour
Quiconque laisse un agent de code lancer des commandes shell sans en approuver chacune.
Alternatives à CC Safety Net
CC Safety Net : questions fréquentes
- CC Safety Net vaut-il le coup ?
- La ceinture de sécurité pour les dégâts qu'un bac à sable autorise exprès : les force-push, les hard reset et rm -rf à l'intérieur de votre propre projet. Nous lui donnons 4.0 sur 5.
- Combien coûte CC Safety Net ?
- Gratuit et open source sous MIT.
- Quels sont les inconvénients de CC Safety Net ?
- Pas un bac à sable : aucun contrôle de processus, de permissions de fichiers ou de réseau; mainteneur unique; l'installation par défaut tire @latest ; épinglez-la pour les équipes.
- À qui s’adresse CC Safety Net ?
- Quiconque laisse un agent de code lancer des commandes shell sans en approuver chacune.
- Combien coûte CC Safety Net pour une équipe ou en production ?
- Gratuit pour toute taille d'équipe ; il n'y a pas d'édition payante.
- CC Safety Net est-il sûr pour les données de l’entreprise ?
- Tourne en local comme un hook et n'envoie rien nulle part. Licence MIT.
- Quelles sont les meilleures alternatives à CC Safety Net ?
- Les alternatives les plus proches que nous avons testées sont Anthropic Sandbox Runtime (srt) et security-guidance plugin (Claude Code).
Réponses vérifiées le 24 oct. 2026.