ElebobaandClaude Opus 5.5
c443190bf4
CI / ruff · mypy · pytest (pull_request) Successful in 4m3s
- infra/runner/tgit-runner: deploy/restart/remove/list по SSH forced command; аргументы не исполняются и не глобятся; архив — только файлы и папки, без «..», ≤ 20 МБ, есть main.py; health_url — только localhost - песочница: uid 10001, read-only, tmpfs noexec, cap-drop ALL, no-new-privileges, 128 МБ без swap, 0.25 CPU, 64 PID, --network none (сеть — только по egress-allow админа), лимит 10 сервисов, 2 образа - новая версия стартует рядом (-next) и заменяет старую, только став healthy; иначе удаляется, старая работает, exit 3 - бот: после push git archive изменённых services/<name>/ → runner; автору — «🚀 работает» или «⛔ не развёрнут» с логом, команде — алерт ⛔; удалённая папка → remove; «♻️ Перезапустить» в «Статусе» для админа (S-5) - examples/escape_attempts: все попытки выбраться — BLOCKED на живом Docker - install.sh, authorized_keys.example; CD бота обновляет runner на хосте Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
34 lines
2.4 KiB
Markdown
34 lines
2.4 KiB
Markdown
# examples/
|
|
|
|
Демо-данные для проверки бота руками и для защиты.
|
|
|
|
## Сервисы — «🩺 Статус», «📜 Логи», «🚨 Алерты»
|
|
|
|
Поднимаются рядом с ботом: `make demo-up`, остановить — `make demo-down`.
|
|
|
|
| Файл | Контейнер | Что видно в боте |
|
|
|---|---|---|
|
|
| `hello_service.py` | `demo-hello` | 🟢, все проверки ✅, включая HTTP-пробу `/health`; в логе запросы, предупреждения и раз в минуту `ERROR connection refused` — материал для grep и агента |
|
|
| `crash.py` | `demo-crash` | через 30 с падает с traceback → 💥 «Краш», после трёх рестартов → 🔁 «Цикл рестартов»; в алерте — хвост лога с traceback |
|
|
| `cpu_hog.py` | `demo-cpu-hog` | CPU ~100 % → примерно через минуту 🔥 «Перегрузка»; в «Статусе» ❌ «CPU ниже порога» |
|
|
| `unhealthy.py` | `demo-unhealthy` | процесс жив, health-check — нет → 🔴, 🩺 «Unhealthy», ❌ «Docker health» в проверках |
|
|
|
|
После `make demo-down` открытые алерты закрываются сообщением «✅ Восстановлено».
|
|
|
|
## Песочница — `tgit-runner`
|
|
|
|
[`escape_attempts/`](escape_attempts/) — сервис, который пробует выбраться: запись в код и `/etc`, сеть, DNS,
|
|
docker.sock, `setuid(0)`, raw-сокет, 200 процессов, запуск из `/tmp`. Положите его в `services/escape/` репозитория
|
|
загрузок — в «📜 Логи» каждая строка должна быть `BLOCKED`.
|
|
|
|
## Коммит — «📝 Коммит»
|
|
|
|
| Файл | Что показывает |
|
|
|---|---|
|
|
| `syntax_error.py` | бот проверяет синтаксис до черновика и предлагает исправить или всё равно добавить |
|
|
| `lint_fail.py` | валидный Python — бот принимает, но CI репозитория загрузок (ruff) его отклонит |
|
|
|
|
## Агент — «🤖 Спросить агента»
|
|
|
|
[`agent_prompts.md`](agent_prompts.md) — обычные вопросы и попытки атак с ожидаемой реакцией.
|