Terraform и песочница GitHub Copilot в VSCode

Проблема

Cтолкнулся с тем, что GitHub Copilot в VSCode, работая в песочнице, ругается на то, что terraform не установлен, хотя сам я его могу вызвать без проблем из терминала. 

Причина

Проблема в том, что в песочнице доступны все директории из PATH и выполнение любых исполняемых файлов в них. Однако, если исполняемый файл является символической ссылкой, смотрящей в директорию вне PATH - тут уже песочница блокирует выполнение. В моем случае это было именно так: в PATH была папка `/home/linuxbrew/.linuxbrew/bin`, а в ней файл `terraform`, являющийся ссылкой на `../Cellar/terraform/1.17.0/bin/terraform`. 

Решение

Я решил проблему добавлением директории `/home/linuxbrew/.linuxbrew/` в массив `readonlyPaths` внутри настройки `chat.agent.sandbox.fileSystem.userConfiguredPaths` в `settings.json`. Решение, конечно, не самое безопасное (агенты в песочнице теперь могут читать и выполнять что угодно из `/home/linuxbrew/.linuxbrew/`), но рабочее.

Claude Code network sandboxing и доступ на localhost

Проблема

У меня на localhost:2746 поднят http сервер. Есть Claude Code, запускаемый со включенной песочницей, включая network-песочницу. В настройках указан localhost и 127.0.0.1 как разрешенные хосты:

            "network": {

                "allowedDomains": ["127.0.0.1", "localhost"],

                "allowManagedDomainsOnly": True,

                "strictAllowlist": True,

            },

Однако, клод не может сделать curl на http://localhost:2746, падает "Could not connect to server".

Причина

См. баг https://github.com/anthropics/claude-code/issues/28018. Сетевая изоляция песочницы заключается в том, что весь HTTP(S) траффик должен идти через проксю, поднимаемую на порту 3128. Это прокся автоматически подставляется в переменные HTTP_PROXY/HTTPS_PROXY внутри песочницы. Однако, localhost и 127.0.0.1 также автоматически подставляются в NO_PROXY, что предписывает на localhost ходить напрямую, в обход прокси. И такое прямое подключение не работает.

Решение

Проинструктировать Claude Code сбрасывать NO_PROXY перед выполнением сетевого вызова на localhost, т.к. вот такой вызов из песочницы проходит:

NO_PROXY="" no_proxy="" curl -s http://127.0.0.1:2746/health

Либо для локальных сервисов, которые должны быть видны из песочницы, использовать альтернативный loopback адрес, скажем, 127.0.0.2.

Настройка mitmweb для учета HTTPS_PROXY и NO_PROXY

Задача

Нужно настроить mitmweb так, чтобы он перенаправлял исходящие запросы на другой прокси (корпоративный), учитывая HTTPS_PROXY и NO_PROXY переменные окружения.

Решение

Создаем py-скрипт для обработки NO_PROXY, называем его exclude_proxy.py:

import os

from mitmproxy import http

# Read the exclusions from the NO_PROXY environment variable

# Split the environment variable by commas to handle multiple hostnames

NO_PROXY = os.getenv("NO_PROXY", "").split(",")

def request(flow: http.HTTPFlow):

    # Check if the hostname matches any entry in NO_PROXY

    for hostname in NO_PROXY:

        # Ensure no leading/trailing whitespace in the hostname

        hostname = hostname.strip()

        # If the flow's request host matches an entry in NO_PROXY, bypass the proxy

        if hostname and hostname in flow.request.host:

            flow.server_conn.via = None

Запускаем mitmweb:

mitmweb --mode upstream:$HTTPS_PROXY -s exclude_proxy.py 

Claude отвечает пустым ответом

Согласно документации https://docs.anthropic.com/en/api/messages, при передаче Клоду нескольких сообщений в случае, когда последнее сообщение имеет role=assistant, модель будет дополнять это сообщение. Однако в случае, если это последнее сообщение с точки зрения модели выглядит законченным (не обрывается на полуслове или на середине мысли), модель может вернуть пустой ответ.

Google ADK + AWS Bedrock + Claude

Google ADK "из коробки" не поддерживает работу с AWS Bedrock. Можно его подключить через LiteLLM, но это может быть сопряжено с трудностями, например, из-за конфликта версий зависимостей. Есть вариант проще - подключить зависимость anthropic[bedrock], после чего отнаследоваться от класса модели Claude, входящего в ADK и использующего VertexAI, заменив клиента на Bedrock-клиента. Dirty, но работает:

import os

import httpx

from functools import cached_property

from typing_extensions import override

from google.adk.models.anthropic_llm import Claude

from google.adk.models.registry import LLMRegistry

from anthropic import AnthropicBedrock class ClaudeOnBedrock(Claude):

    @staticmethod

    @override

    def supported_models() -> list[str]:

        return [r".*anthropic.claude-3-.*", r".*anthropic.claude-.*-4.*"]

   

    @override

    @cached_property

    def _anthropic_client(self) -> AnthropicBedrock:

        proxy = os.getenv("HTTPS_PROXY")

        if proxy:

            return AnthropicBedrock(http_client=httpx.Client(proxy=proxy),

                aws_region="***")

        return AnthropicBedrock(aws_region="***")

# Register the custom model

LLMRegistry.register(ClaudeOnBedrock)

Google ADK + VertexAI + Claude: работа за HTTP прокси

Проблема

Пытаюсь запустить решение на Google ADK, использующее VertexAI и одну из моделей Claude, за HTTP прокси-сервером. Вызов идет мимо прокси, что приводит к ошибке, хотя прокси прописан в переменной окружения HTTPS_PROXY.

Решение

Вручную расширить класс ADK-модели Claude, добавив поддержку прокси:

from google.adk.agents import Agent

from google.adk.models.anthropic_llm import Claude

from google.adk.models.registry import LLMRegistry

from anthropic import AnthropicVertex

from functools import cached_property

import os

import httpx

class ClaudeWithProxySupport(Claude):

    @cached_property

    def _anthropic_client(self) -> AnthropicVertex:

        proxy = os.getenv("HTTPS_PROXY")

        if not proxy:

            return super()._anthropic_client

        if (

            "GOOGLE_CLOUD_PROJECT" not in os.environ

            or "GOOGLE_CLOUD_LOCATION" not in os.environ

        ):

            raise ValueError(

                "GOOGLE_CLOUD_PROJECT and GOOGLE_CLOUD_LOCATION must be set "

                "for using Anthropic on Vertex."

            )

        return AnthropicVertex(

            project_id=os.environ["GOOGLE_CLOUD_PROJECT"],

            region=os.environ["GOOGLE_CLOUD_LOCATION"],

            http_client=httpx.Client(proxy=proxy),

        )

# Register the custom model

LLMRegistry.register(ClaudeWithProxySupport) 

WSL и VPN

Проблема

Есть Windows хост с поднятым корпоративным VPN. Есть гостевой Linux в WSL (конкретно, WSL2). На Windows весь трафик идет через VPN, трафик в обход VPN заблокирован, доступ в интернет только через корпоративный прокси.

В Linux недоступна ни корпоративная сеть, ни интернет (т.к. недоступен корпоративный прокси, расположенный в корпоративной сети), т.к. трафик не заворачивается в VPN.

Решение

https://github.com/sakai135/wsl-vpnkit?tab=readme-ov-file - скачиваем, устанавливаем, запускаем по инструкции. Трафик из WSL начинает заворачиваться в VPN, в результате чего в Linux появляется доступ к корпоративной сети и интернету (через корпоративную проксю).