SIwithin: Chạy Claude Code không cần giám sát trong 'hàng rào' với ngân sách dưới 1 USD

Một dự án mã nguồn mở mới có tên SIwithin đang thu hút sự chú ý trên Hacker News với cách tiếp cận thực dụng cho bài toán vận hành các tác nhân AI tự động: chạy CLI agent mà không cần người ngồi canh, nhưng vẫn kiểm soát được cả phạm vi truy cập lẫn ngân sách chi tiêu.

Bài toán: trao quyền cho AI mà vẫn giữ được kiểm soát

Các công cụ như Claude Code hay OpenAI Codex cho phép lập trình viên giao việc cho AI ngay trên dòng lệnh. Nhưng khi chạy ở chế độ không giám sát, hai rủi ro lớn xuất hiện: agent có thể chạm vào những thư mục mà nó không nên đọc hoặc ghi, và chi phí gọi API có thể vượt xa dự tính chỉ sau vài phút.

SIwithin giải quyết cả hai bằng ba cam kết được hiện thực hóa bằng công cụ thay vì "hy vọng":

• Hàng rào thư mục: mỗi lần chạy chỉ được chạm vào những thư mục được khai báo trước; toàn bộ thư mục home bị từ chối cả đọc lẫn ghi.
• Trần chi phí: mỗi lần chạy có ngân sách riêng, cộng với mức trần tổng và bộ đếm thời gian. Với Claude Code, một proxy cục bộ là "cửa duy nhất" dẫn tới API và đo đếm từng request.
• Nhật ký bất biến: mỗi lần chạy để lại một dòng ghi rõ chi phí và trạng thái hoàn thành.

Hàng rào hoạt động thế nào?

SIwithin sinh ra một profile sandbox-exec của macOS cho từng lần chạy. Bên trong profile này:

• Thư mục home bị chặn hoàn toàn cho cả đọc và ghi.
• Chỉ những thư mục được chỉ định (mặc định là thư mục đầu tiên có quyền ghi, trừ khi dùng --readonly) cùng binary của CLI, cache, file keychain và cấu hình git mới được phép truy cập.
• Các thư mục như /private/tmp, /usr/local, /Applications hay /Volumes đều bị chặn ghi.
• Một số chương trình nguy hiểm như open, screencapture, osascript, crontab hay at bị cấm khởi chạy.
• Biến môi trường của shell cha không được kế thừa — chỉ một danh sách ngắn các biến được truyền vào.

Từ phiên bản 0.4.0, công cụ còn có thêm bức tường mạng: mọi kết nối socket, DNS đều bị từ chối, trừ cổng loopback của proxy. Nhờ vậy, một agent bị lỗi hay bị "thao túng" qua nội dung đọc được cũng không thể âm thầm gửi dữ liệu ra ngoài.

Ngân sách: "một cửa, mọi request đều bị đếm"

Điểm kỹ thuật đáng chú ý nhất là proxy đo lường. Thay vì đưa API key thật vào môi trường của agent, SIwithin cấp cho mỗi lần chạy một token riêng. Mọi request đều phải đi qua proxy cục bộ, nơi:

• Token lạ bị trả về 401 và không đi đâu cả.
• Chỉ các đường dẫn được khai báo trước (mặc định /v1/messages) mới được chuyển tiếp; đường dẫn khác nhận 403.
• Proxy gắn key thật vào, chuyển tiếp phản hồi dạng stream và tính giá từng phản hồi theo bảng giá cấu hình.
• Khi tổng chi phí chạm ngân sách, mọi request tiếp theo nhận 402, tiến trình của lần chạy bị kill ngay từ lần từ chối đầu tiên.

Claude Code còn bị giới hạn ở ba tầng: cờ --max-budget-usd của chính CLI, tính toán từ stream sự kiện, và proxy. Ngay cả khi một tầng bị lọt, hai tầng còn lại vẫn chặn.

Sổ cái và hóa đơn xác thực

Mỗi lần chạy ghi một dòng vào ledger.md với đầy đủ thông tin: thời gian, tên phiên, số lượt, thời lượng, chi phí do CLI báo, chi phí thực theo bảng giá, số token vào/ra và trạng thái.

Đi kèm là một receipt.json chứa mã băm sha256 của từng file trong thư mục chạy, được móc xích với receipt trước đó và với sổ cái. Lệnh --verify --expect cho phép kiểm chứng toàn bộ chuỗi, phát hiện bất kỳ sửa đổi nào đối với brief, kết quả hay chi phí.

Ngoài ra còn có --reconcile, đối chiếu hóa đơn của nhà cung cấp API với sổ cái theo từng khung thời gian, nhằm phát hiện khoản chi không do lần chạy nào gánh — dấu hiệu của việc API key bị lộ hoặc bị dùng bởi nguồn thứ hai.

Giới hạn cần biết

Dự án khá thẳng thắn về những gì chưa làm được:

• Chỉ chạy trên macOS. Trên Linux và Windows, công cụ từ chối chạy thay vì chạy không có hàng rào.
• Bức tường mạng hiện chỉ áp dụng cho adapter Claude; adapter Codex phải dùng chế độ --network open.
• Phát hiện ngân sách giữa lượt với các CLI báo usage muộn vẫn chưa có.
• Reconcile trực tiếp với Admin API chưa được thử nghiệm thực tế.
• Những gì hàng rào không chặn: nội dung gửi trong body request (proxy chuyển tiếp mà không đọc), các file script agent tự ghi rồi người dùng chạy sau đó, hay mọi thứ CLI làm trong sandbox đám mây của chính nó.

Đánh giá

SIwithin không phải công cụ dành cho số đông. Nó hướng tới những đội ngũ muốn đưa agent AI vào quy trình công việc thực tế nhưng chưa sẵn sàng trao quyền tuyệt đối. Triết lý "cam kết bằng công cụ, không bằng hy vọng" là điểm mạnh đáng ghi nhận, đặc biệt trong bối cảnh các vụ rò rỉ API key của công cụ AI đang ngày càng phổ biến.

Với người dùng Việt Nam đang thử nghiệm Claude Code hay Codex, công cụ này có thể là một lớp bảo vệ đáng cân nhắc — nhất là khi chi phí API tính bằng USD và một lần chạy lỡ đà có thể "đốt" vài chục đô chỉ trong vài phút.

Dự án phát hành theo giấy phép Apache 2.0, viết bằng một file Python duy nhất, không gọi mạng riêng và không gửi telemetry.