Covenant Guard

请为 Claude Code 配置 Covenant Guard：设置单次任务硬性支出上限为 20 美元，超过后立即停止执行，并输出可审计的签名凭证记录。

返回一套带支出上限的代理运行配置，并生成可审计的签名记录说明。

使用 Covenant Guard 让编码代理仅在受限 OS 沙箱内执行，禁止访问主机敏感目录和未授权网络连接，并保留每次操作凭证。

生成受限执行环境策略，说明访问控制规则与操作留痕方式。

帮我设计一套基于 Covenant Guard 的无人值守代理审计流程：要求记录任务支出、系统调用边界和签名回执，便于事后追踪。

输出一份代理审计流程建议，涵盖成本控制、沙箱边界和签名回执校验。