Agent Safehouse

译：本机 deny-first 沙箱——敢 YOLO 也不碰家目录

• Homebrew/safehouse.sh 包一层；默认只放行当前项目，挡 ~/.ssh 等

• 可生成静态 sandbox-exec 策略；上手快

• 对照 Ash——轻量 seatbelt 档；要动态 ES/NE 再上看