주요 특징

• 평문 영어로 쓴 헌법 문서를 주석 부여 → 컴파일 → 목록 해석 → 시나리오 생성 → 검증·보정 단계를 거쳐 결정적 규칙으로 바꾼다. 런타임 판정에는 LLM이 개입하지 않으므로 프롬프트 인젝션이나 대화 표류로 모델이 오염돼도 경계 자체는 흔들리지 않는다는 설계다.
• 에이전트에 파일시스템·자격증명·네트워크 권한을 직접 주는 대신 모든 상호작용을 MCP 서버로 통과시킨다. 도구 호출마다 정책 엔진이 허용·거부·사용자 승인 요청 중 하나를 고르고, 내장 에이전트가 작성한 TypeScript 코드는 호스트 접근 경로가 없는 V8 아이솔레이트 안에서만 실행된다.
• Docker 에이전트 모드는 Claude Code·Goose·Codex 같은 외부 에이전트를 공개 네트워크가 차단된 컨테이너에 넣고, LLM API 호출을 TLS 종료 MITM 프록시로 중계해 호스트 허용목록 검사와 가짜 키↔실제 키 치환을 수행한다. 패키지 설치도 검증 프록시를 거치게 한다.
• 권장 실행 방식인 mux 모드는 에이전트의 대화형 TUI를 그대로 쓰면서 승인 요청을 화면 위에 오버레이로 띄우고 a/d/w 단일 키로 승인·거부·화이트리스트 처리한다. Ctrl-A 커맨드 모드로 입력한 텍스트는 컨테이너 진입 전 호스트에서 가로채 신뢰된 의도 신호로 쓰여, 뒤따르는 git_push 승인 요청을 자동 승인하는 근거가 된다.
• 페르소나로 헌법·컴파일된 정책·작업공간·시맨틱 메모리를 묶어 역할별 권한 프로필을 운영하고 데몬 모드의 cron 작업에 배정할 수 있다. 웹 UI는 워크플로 상태 기계와 에이전트 메시지 타임라인을 보여주지만, 정책은 보안 경계이므로 --allow-policy-mutation 없이는 변경 조작이 읽기 전용으로 막힌다.