nah v0.11.0

الأخطاء المكلفة تتوقف هنا
حارس يمنع إجراءات الوكيل الكارثية

nahguard.ai • ما الذي يمنعه • كيف يُقارَن • كيف يقرر • التثبيت • التوسيع • نموذج التهديد

claude code · codex · cursor · pi · + 11 أخرى

nah هو حارس يجلس في مسار الـ hook الخاص بوكيل البرمجة لديك ويقرأ استدعاءات الأدوات قبل تنفيذها. يمنع الاستدعاءات التي يستطيع إثبات أنها كوارث ولا يوافق على أي شيء أبدًا: كل ما عدا ذلك يذهب إلى أذونات بيئة التشغيل الخاصة بك كالمعتاد.

nah مجرد ملف Rust ثنائي واحد: الحكم حتمي ولا يحتاج إلى LLM. الإضافات مجرد برامج. وجّه وكيلك إلى وثائق nah واطلب منه بناء حارس nah مخصص.

يعرف الكارثة حين يراها.

48 حارسًا، 30 مفعّلًا افتراضيًا، تغطي ثماني فئات من الكوارث: اختطاف التنفيذ، سرقة الأسرار، تدمير نظام الملفات، كوارث git، تفكيك البنية التحتية والتخزين والنسخ الاحتياطي، الوصول الشبكي إلى مضيفين متشابهين، عمليات سجل الحزم، وإجراءات طاقة المضيف وإيقاف الخدمات.

الحاجز	ما يحجبه
exec-remote	تنفيذ حمولة تم الحصول عليها بشكل مرئي من الشبكة.
exec-decoded	تنفيذ تم الوصول إليه من مرحلة فك ترميز مرئية.
exec-obfuscated	تنفيذ مُرمَّز أو مُنتقى بنمط أو غير محلول، والأحرف المخفية في الأوامر.
exec-network-shell	الأصداف المرتبطة باتصال شبكي، بما في ذلك netcat وsocat وإعادة توجيه الصدفة.
secrets-env	قراءات ملفات .env والأسماء الأساسية الحساسة، بما في ذلك المحتويات من تاريخ Git، بالإضافة إلى الإخراج المباشر لمتغيرات بيئة بيانات الاعتماد المفهرسة.
secrets-credentials	قراءات أو كتابات مسارات المفاتيح الخاصة ومخازن بيانات الاعتماد، بما في ذلك قراءات المحتوى من تاريخ Git؛ حذف المفاتيح الخاصة أو نقلها بعيدًا؛ قراءات البيانات الوصفية أو القيم من سلسلة مفاتيح macOS.
secrets-exfil	تدفق مرئي من مصدر حساس إلى مرحلة شبكية.
secrets-store-delete	حذف مخزن أسرار مُراجَع متبقٍ بدلالات قابلة للاسترداد أو معتمدة على السياق. معطّل افتراضيًا.
secrets-store-destroy	تدمير دائم مُثبت لمخزن الأسرار: إزالة إصدار/بيانات وصفية/محرك Vault، وحذف AWS القسري وSSM، وحذف Google للسر بالكامل، وتطهير Azure، وحذف مشروع/تكوين Doppler، وحذف خزنة 1Password.
secrets-store-read	قراءات قيم مُراجَعة عبر واجهات سطر أوامر مديري الأسرار الشائعة.
fs-system-tree	الحذف، أو نقل إدخال الجذر المُثبت، أو تغييرات الأذونات العودية، أو الكتابة فوق كل ملف، باستهداف جذر نظام الملفات أو شجرة نظام.
fs-home	الحذف، أو تغييرات الأذونات العودية، أو الكتابة فوق كل ملف، باستهداف جذر المجلد الرئيسي أو مجلد شخصي مثل ~/Documents.
fs-outside-workspace-delete	الحذف العودي خارج المشروع النشط، باستثناء الجذور المؤقتة المُ راجَعة. معطّل افتراضيًا.
fs-permission-weaken	أوضاع chmod التي تمنح بشكل مُثبت إذن الكتابة للجميع أو setuid/setgid. معطّل افتراضيًا.
fs-project-root	حذف عودي ملموس محدد النطاق بالمشروع، أو تغييرات أذونات عودية معروفة يمكنها قفل المالك خارجًا، أو الكتابة فوق كل ملف، باستهداف جذر المشروع بالضبط أو أنماطه الجذرية الدقيقة * أو .* أو {*,.*}. find -delete بدون مسار بداية صريح ليس له هدف مُنمذج.
fs-raw-device	الكتابات المرئية على أجهزة التخزين الخام، وتدمير الجهاز بالكامل، ومُشغِّل sysrq.
fs-volume-destroy	تدمير مؤكد لوحدات التخزين المنطقية ومجمعات التخزين ومجموعات بيانات ZFS الحية.
fs-forkbomb	أنماط قنابل الشوكة (fork-bomb) في الصدفة المعروفة هيكليًا.
fs-auth-identity	تعديل أو حذف ملفات مصادقة المضيف والهوية وسياسة الامتيازات المُ راجَعة، بما في ذلك الحذف العودي لمجلداتها الأصلية.
fs-shell-profile	التغييرات على مسارات ملف تعريف صدفة المستخدم المُ راجَعة. معطّل افتراضيًا.
fs-startup-management	أوامر إدارة systemctl وlaunchctl وcrontab المستمرة المُ راجَعة. معطّل افتراضيًا.
fs-startup-persistence	التغييرات على مسارات بدء التشغيل للخدمات والجداول وتسجيل الدخول والبدء التلقائي والمُحمِّل المُ راجَعة.
git-clean-force	تنظيف Git قسري فعّال يستهدف جذر المشروع.
git-force-push	عمليات دفع Git القسرية بدون حماية الإيجار، وعمليات الدفع القسرية المؤجَّرة التي تستهدف صراحةً main أو master.
git-hard-reset	عمليات إعادة الضبط الصلبة في Git.
git-history-rewrite	إعادة كتابة تاريخ Git غير القسرية المحددة، بما في ذلك rebases والتصفية وانتهاء صلاحية الاسترداد وجمع القمامة العدواني أو التقليمي وعمليات الدفع القسرية المؤجَّرة، بما في ذلك refspecs الثابتة الصريحة التي تستهدف main أو master. معطّل افتراضيًا.
git-rewrite-force	إعادة كتابة التاريخ التي تتجاوز صراحةً فحوصات الأمان أو النسخ الاحتياطي.
git-metadata	الكتابات التدميرية أو الحذف الذي يستهدف بيانات وصفية دائمة لتاريخ Git.
git-path-discard	الكتابة فوق مسار مسمى محدد عبر checkout وrestore وgit show لنفس المسار. معطّل افتراضيًا.
git-protected-push	عمليات الدفع التي يستهدف refspec الثابت الصريح الخاص بها main أو master. تبقى عمليات الدفع المجردة خارج هذا الحاجز. معطّل افتراضيًا.
git-recovery-destroy	مسح مجموعة stash الكاملة أو التدمير الفوري على مستوى المستودع بالكامل لتاريخ استرداد Git.
git-ref-delete	حذف مرجع محلي وبعيد تمت مراجعته، وإدخال stash، وworktree، وحذف worktree الخاص بـ submodule. معطّل افتراضيًا.
git-remote-repo-delete	حذف المستودع بالكامل عبر GitHub وGitLab وAzure DevOps من خلال واجهات سطر الأوامر الخاصة بها ومسارات REST.
git-remote-resource-delete	حذف الموارد المستضافة على GitHub وGitLab وAzure DevOps بشكل مستهدف ثابتًا من خلال أوامر CLI ومسارات REST التي تمت مراجعتها. معطّل افتراضيًا.
git-worktree-discard	checkout أو استعادة على مستوى المشروع، وتغييرات الفروع القسرية المُثبتة، والإزالة القسرية لـ worktree أو إلغاء تهيئة submodule.
db-destroy	إسقاط أو اقتطاع أو تفريغ أو إعادة تعيين أو الكتابة فوق بيانات قاعدة بيانات حية، وحذف قواعد البيانات المُدارة. معطّل افتراضيًا.
infra-container-reset	أوامر Podman التي تعيد تعيين حالة وقت التشغيل المحلية الكاملة أو المحددة.
infra-container-volume-delete	تنظيف واسع للـ volumes غير المستخدمة من خلال أوامر prune المُدقّقة لـ Docker وPodman، وإزالة volumes عبر Compose down -v/rm -v. معطّل افتراضيًا.
infra-iac-destroy	تدمير كامل للمكدس عبر Terraform وOpenTofu وPulumi بشكل مرئي بالكامل، وحذف مُدقّق للموارد السحابية والموارد المستضافة على المنصات المُجهّزة من خلال aws وgcloud وaz وdoctl وFly.io وHeroku وRailway وModal وKamal وWrangler وFastly وSupabase وواجهات CLI لقواعد البيانات المُدارة. معطّل افتراضيًا.
infra-k8s-delete	حذف namespace ثابت، وحذف موارد الكتلة المُدقّق، وحذف جماعي مُدقّق لموارد namespaced من خلال kubectl. معطّل افتراضيًا.
storage-backup-destroy	حذف مستودع النسخ الاحتياطي بالكامل أو جميع النسخ الاحتياطية من خلال أوامر Borg وRestic وVelero المُدقّقة.
storage-recursive-delete	حذف بعيد واسع ومزامنة تحذف الوجهة من خلال واجهات CLI السحابية والمزامنة المُدقّقة. معطّل افتراضيًا.
storage-snapshot-delete	حذف مُدقّق للـ snapshot والأرشيف والـ volume والاحتفاظ. معطّل افتراضيًا.
net-lookalike-host	الوصول الشبكي إلى مضيف يخلط تسمية DNS الخاصة به بين نصوص Unicode، مثل gіthub.com بحرف і سيريلي، بما في ذلك صيغته punycode.
registry-publish	أوامر نشر الحزم المُدقّقة. معطّل افتراضيًا.
registry-unpublish	إلغاء نشر الحزم المُدقّق، وyank غير القابل للتراجع في RubyGems، وتغييرات مالك الاسم المنشور.
sys-power	إجراءات إيقاف التشغيل وإعادة التشغيل والتوقف والتعليق للمضيف المحلي بشكل مرئي بالكامل.