Kann ich Windsurf vibecoden?

Baue mir einen abgesicherten Befehlsläufer für einen Coding-Agenten, die Schutzschicht statt des Agenten. Anforderungen:

- Ein Rust-Kommandozeilenwerkzeug. Es steht zwischen einem beliebigen Agenten und der Shell und entscheidet, was ausgeführt werden darf.
- Eine Datei regeln.yaml enthält erlaubte Befehle als exakte Muster mit erlaubten Argumenten, etwa npm test oder git status. Alles, was nicht ausdrücklich erlaubt ist, wird abgelehnt.
- Jeder abgelehnte Befehl wird vollständig angezeigt, mit der Frage einmal erlauben, dauerhaft erlauben oder ablehnen. Dauerhaft erlauben schreibt ein exaktes Muster, nie einen Platzhalter.
- Vor jedem erlaubten Befehl, der schreiben kann, legt das Werkzeug einen git stash oder einen Commit auf einem Arbeitszweig an. Ein Befehl zurück stellt den Stand davor wieder her.
- Jeder Lauf bekommt ein Zeitlimit und ein Ausgabelimit aus der Konfiguration. Ein Befehl, der eine Stunde läuft oder ein Gigabyte ausgibt, wird abgebrochen.
- Netzwerkzugriff ist standardmäßig abgeschaltet, indem der Befehl in einem Namensraum ohne Netz läuft. Braucht ein Befehl das Netz, muss die Regel es ausdrücklich erlauben.
- Ein Protokoll als JSONL: Zeitpunkt, Befehl, Entscheidung, Rückgabewert, Dauer, geänderte Dateien. Das ist die Antwort auf die Frage, was der Agent heute Nacht getan hat.
- Ein Befehl bericht fasst eine Sitzung zusammen: ausgeführte Befehle, abgelehnte, geänderte Dateien, Netto-Diff.
- Deutsch sind Ausgaben, Kommentare und README. Alle Bezeichner bleiben englisch: Befehle, Optionen, YAML-Schlüssel, Protokollfelder.

Bewusst weglassen:

- Den Agenten selbst und ein eigenes Modell.
- Eine Editor-Integration.
- Eine vollständige Sandbox. Das hier begrenzt Schaden, es verhindert ihn nicht.