nah v1.4.0

الأخطاء المكلفة تتوقف هنا
حارس يمنع إجراءات الوكيل الكارثية

nahguard.ai • ما الذي يمنعه • كيف يُقارَن • كيف يقرر • التثبيت • التوسيع • نموذج التهديد

claude code · codex · cursor · pi · + 11 أخرى

nah هو حارس يجلس في مسار الـ hook الخاص بوكيل البرمجة لديك ويقرأ استدعاءات الأدوات قبل تنفيذها. يمنع الاستدعاءات التي يمكنه إثبات أنها كوارث ولا يوافق على أي شيء أبدًا: كل ما عدا ذلك يذهب إلى أذونات بيئة التشغيل العادية لديك.

nah هو مجرد ملف Rust ثنائي واحد: الحكم حتمي ولا يحتاج إلى LLM. الإضافات مجرد برامج. وجّه وكيلك إلى وثائق nah واطلب منه بناء حارس nah مخصص.

يعرف الكارثة عندما يراها.

48 حارسًا، 30 مفعّلة افتراضيًا، تغطي ثماني فئات من الكوارث: اختطاف التنفيذ، سرقة الأسرار، تدمير نظام الملفات، كوارث git، تفكيك البنية التحتية والتخزين والنسخ الاحتياطي، الوصول الشبكي إلى مضيفين متشابهين، عمليات سجل الحزم، وإجراءات إيقاف تشغيل المضيف والخدمات.

الحارس	ما يمنعه
exec-remote	تنفيذ حمولة تم الحصول عليها بشكل مرئي من الشبكة.
exec-decoded	تنفيذ وصل من مرحلة فك ترميز مرئية.
exec-obfuscated	تنفيذ مُرمَّز أو مُنتقى بنمط أو غير محلول، وأحرف مخفية في الأوامر.
exec-network-shell	صدفات مرتبطة باتصال شبكي، بما في ذلك netcat وsocat وإعادة توجيه الصدفة.
secrets-env	قراءات ملفات .env والأسماء الأساسية الحساسة، بما في ذلك المحتويات من تاريخ Git، بالإضافة إلى الإخراج المباشر لمتغيرات بيئة بيانات الاعتماد المفهرسة.
secrets-credentials	قراءات أو كتابات مسارات المفاتيح الخاصة ومخازن بيانات الاعتماد، بما في ذلك قراءات المحتوى من تاريخ Git؛ حذف أو نقل المفاتيح الخاصة بعيدًا؛ قراءات البيانات الوصفية أو القيم من سلسلة مفاتيح macOS.
secrets-exfil	تدفق مرئي من مصدر حساس إلى مرحلة شبكية.
secrets-store-delete	حذف مخزن أسرار مُراجَع متبقٍ بدلالات قابلة للاسترداد أو معتمدة على السياق. معطّل افتراضيًا.
secrets-store-destroy	تدمير دائم مُثبَت لمخزن الأسرار: إزالة إصدار/بيانات وصفية/محرك Vault، حذف AWS القسري وSSM، حذف Google للسر بالكامل، تطهير Azure، حذف مشروع/إعداد Doppler، وحذف خزنة 1Password.
secrets-store-read	قراءات قيم مُراجَعة عبر واجهات سطر أوامر مديري الأسرار الشائعة.
fs-system-tree	الحذف، أو نقل مدخل جذر مُثبَت، أو تغييرات الأذونات التعاودية، أو الكتابة فوق كل ملف، مع اختيار جذر نظام الملفات أو شجرة نظام.
fs-home	الحذف، أو تغييرات الأذونات التعاودية، أو الكتابة فوق كل ملف، مع اختيار جذر المجلد الرئيسي.
fs-outside-workspace-delete	الحذف التعاودي خارج المشروع النشط، باستثناء الجذور المؤقتة المُ راجَعة. معطّل افتراضيًا.
fs-permission-weaken	أوضاع chmod التي تمنح بشكل مُثبَت إذن الكتابة للجميع أو setuid/setgid. معطّل افتراضيًا.
fs-project-root	حذف تعاودي ملموس محدد النطاق بالمشروع، أو تغييرات أذونات تعاودية معروفة، أو الكتابة فوق كل ملف، مع اختيار جذر المشروع بالضبط أو أنماطه الجذرية الدقيقة * أو .* أو {*,.*}. find -delete بدون مسار بداية صريح ليس له هدف مُنمذَج.
fs-raw-device	الكتابات المرئية إلى أجهزة التخزين الخام وتدمير الجهاز بالكامل، ومُشغِّل sysrq.
fs-volume-destroy	تدمير مؤكد لوحدات التخزين المنطقية ومجمعات التخزين ومجموعات بيانات ZFS الحية.
fs-forkbomb	أنماط قنابل الشوكة (fork-bomb) في الصدفة المعروفة بنيويًا.
fs-auth-identity	تعديل أو حذف ملفات مصادقة المضيف والهوية وسياسة الامتيازات المُ راجَعة، بما في ذلك الحذف التعاودي لمجلداتها الأصلية.
fs-shell-profile	التغييرات على مسارات ملف تعريف صدفة المستخدم المُ راجَعة. معطّل افتراضيًا.
fs-startup-management	أوامر إدارة systemctl وlaunchctl وcrontab الدائمة المُ راجَعة. معطّل افتراضيًا.
fs-startup-persistence	التغييرات على مسارات بدء تشغيل الخدمات والجداول وتسجيل الدخول والتشغيل التلقائي والمُحمِّل المُ راجَعة.
git-clean-force	أمر Git clean قسري فعّال يختار جذر المشروع.
git-force-push	عمليات Git force push بدون حماية lease وعمليات force push المحمية بـ lease التي تستهدف main أو master صراحةً.
git-hard-reset	عمليات Git hard reset.
git-history-rewrite	إعادة كتابة تاريخ Git غير القسرية المختارة، بما في ذلك rebases والتصفية وانتهاء صلاحية الاسترداد وجمع المهملات العدواني أو التقليمي وعمليات force push المحمية بـ lease، بما في ذلك refspecs الثابتة الصريحة التي تستهدف main أو master. معطّل افتراضيًا.
git-rewrite-force	إعادة كتابة التاريخ التي تتجاوز صراحةً فحوصات الأمان أو النسخ الاحتياطي.
git-metadata	كتابات مدمرة أو حذف يختار بيانات وصفية دائمة لتاريخ Git.
git-path-discard	عمليات checkout وrestore المؤكدة لمسار مسمى، وكتابة git show فوق نفس المسار. معطّل افتراضيًا.
git-protected-push	عمليات push التي يستهدف refspec الثابت الصريح فيها main أو master. تبقى عمليات push المجردة خارج هذا الحارس. معطّل افتراضيًا.
git-recovery-destroy	مسح مجموعة stash بالكامل أو التدمير الفوري على مستوى المستودع لتاريخ استرداد Git.
git-ref-delete	حذف المرجع المحلي والبعيد ومدخل stash وشجرة العمل وشجرة عمل الوحدة الفرعية المُ راجَع. معطّل افتراضيًا.
git-remote-repo-delete	حذف المستودع بالكامل على GitHub وGitLab عبر واجهات سطر الأوامر ومسارات REST الخاصة بهما.
git-remote-resource-delete	حذف الموارد المستضافة على GitHub وGitLab المستهدفة بشكل ثابت عبر أوامر سطر الأوامر ومسارات REST المُ راجَعة. معطّل افتراضيًا.
git-worktree-discard	checkout أو restore على مستوى المشروع، وتغييرات الفروع القسرية المُثبَتة، والإزالة القسرية لشجرة العمل أو إلغاء تهيئة الوحدة الفرعية.
db-destroy	إسقاط أو اقتطاع أو تفريغ أو إعادة تعيين أو الكتابة فوق بيانات قاعدة بيانات حية، وحذف قواعد البيانات المُدارة. معطّل افتراضيًا.
infra-container-reset	أوامر Podman التي تعيد تعيين حالة بيئة التشغيل المحلية الكاملة أو المختارة.
infra-container-volume-delete	تنظيف واسع للمجلدات غير المستخدمة عبر أوامر prune المُ راجَعة في Docker وPodman، وإزالة المجلدات عبر Compose down -v/rm -v. معطّل افتراضيًا.
infra-iac-destroy	تدمير كامل للمكدس المرئي بالكامل في Terraform وOpenTofu وPulumi، وحذف مُ راجَع للموارد السحابية والمنصات المستضافة المُهيَّأة عبر واجهات aws وgcloud وaz وRailway وModal وKamal وWrangler وFastly وSupabase وقواعد البيانات المُدارة. معطّل افتراضيًا.
infra-k8s-delete	حذف مساحة الأسماء الثابتة، وموارد المجموعة المُ راجَعة، والحذف الجماعي لموارد مساحة الأسماء المُ راجَعة عبر kubectl. معطّل افتراضيًا.
storage-backup-destroy	حذف مستودع النسخ الاحتياطي بالكامل أو كل النسخ الاحتياطية عبر أوامر Borg وRestic وVelero المُ راجَعة.
storage-recursive-delete	حذف بعيد واسع ومزامنة تحذف الوجهة عبر واجهات السحابة والمزامنة المُ راجَعة. معطّل افتراضيًا.
storage-snapshot-delete	حذف اللقطات والأرشيفات والمجلدات والاحتفاظ المُ راجَع. معطّل افتراضيًا.
net-lookalike-host	الوصول الشبكي إلى مضيف يخلط تسمية DNS الخاصة به نصوصًا يونيكودية، مثل gіthub.com بحرف і سيريلي، بما في ذلك صيغته punycode.
registry-publish	أوامر نشر الحزم المُ راجَعة. معطّل افتراضيًا.
registry-unpublish	أوامر إلغاء نشر الحزم المُ راجَعة، وسحب RubyGems غير القابل للتراجع، وتغييرات مالك الاسم المنشور.
sys-power	إجراءات إيقاف التشغيل وإعادة التشغيل والتوقف والتعليق المرئية بالكامل للمضيف المحلي.
sys-service-stop	إيقاف الخدمة المُ راجَع، وعزل الهدف، وإيقاف أو قتل كل شيء في Podman، وdocker stop أو docker kill لكل حاوية مدرجة. معطّل افتراضيًا.