احظر الحزم الخبيثة قبل تثبيتها.

لماذا PMG؟

يثبّت المطورون ووكلاء البرمجة بالذكاء الاصطناعي الحزم كل يوم. كل أمر npm install أو pip install ينفّذ آلاف الأسطر من الشيفرة التي لا يراجعها أحد.

اختراقات حديثة في أنظمة بيئية شائعة:

• Mini Shai-Hulud - اختراق أكثر من 300 حزمة شائعة
• litellm 1.82.8 - اختراق مكتبة وسيط ذكاء اصطناعي شائعة لتسريب بيانات الاعتماد
• telnyx 4.87.2 - اختطاف SDK اتصالات شرعي على PyPI
• pino-sdk-v2 - حزمة typosquat متنكّرة في هيئة مسجّل pino الشائع

PMG مجاني ومفتوح المصدر (Apache 2.0)، ولا يتطلب حسابًا أو مفتاح API. يعترض كل عملية تثبيت حزمة ويتحقق منها مقابل واجهة SafeDep المجتمعية المجانية بحثًا عن برمجيات خبيثة معروفة قبل تنفيذ الشيفرة. أما البرمجيات الخبيثة غير المعروفة، فيستخدم لها فترة تهدئة للاعتماديات (dependency cooldown) وصندوق رمل اختياري (opt-in sandbox) للدفاع الأمني الاستباقي.

كيف يعمل PMG

يعتمد PMG نهج الدفاع متعدد الطبقات. بلا إعدادات، ويعمل عبر Zsh وBash وFish وPowerShell على Windows. تمر كل عملية تثبيت معترضة عبر طبقات الحماية المنطبقة عليها قبل تنفيذ الشيفرة، مع سجل تدقيق.

تفاصيل الطبقات

• اعتراض شفاف - يغلّف PMG أدوات إدارة الحزم مثل npm وpip وغيرها. يستخدم المطورون ووكلاء الذكاء الاصطناعي الأوامر نفسها. دون أي تغييرات في سير العمل.
• الطبقة 1: استخبارات التهديدات - يفحص PMG كل حزمة مقابل استخبارات التهديدات الفورية من SafeDep قبل التثبيت. تُحظر الحزم الخبيثة المعروفة. لا حاجة إلى مفتاح أو تسجيل دخول.
• الطبقة 2: السياسة (فترة تهدئة التبعيات) - يحظر PMG إصدارات الحزم المنشورة داخل نافذة تهدئة قابلة للتهيئة، بحيث يتم تجاوز الإصدارات المخترقة حديثًا خلال تلك النافذة.
• الطبقة 3: صندوق رمل اختياري - عند تفعيل صندوق الرمل وتهيئته، يشغّل PMG عمليات التثبيت داخل صناديق رمل أصلية في نظام التشغيل (macOS Seatbelt، وLinux Landlock افتراضيًا، أو Bubblewrap كبديل) بحيث تكون لدى سكربتات التثبيت صلاحية وصول مقيّدة إلى النظام حتى لو تسلّل تهديد من الطبقتين الأوليين.
• تسجيل التدقيق - يسجّل PMG كل عملية تثبيت (ماذا، ومتى، ومن أين) للحصول على سجل تدقيق قابل للتحقق.

كيف يُقارَن PMG

يجمع PMG بين حظر البرمجيات الخبيثة وقت التثبيت، وفترة تهدئة التبعيات، وصندوق رمل أصلي في نظام التشغيل ضمن أداة واحدة مجانية ومفتوحة المصدر، للمطورين ووكلاء البرمجة بالذكاء الاصطناعي على حد سواء.

القدرة	PMG	Socket	safe-chain	Snyk	Dependabot
مفتوح المصدر / يُبنى علنًا	✓	✗	✓	✗	✗
دون حساب أو مفتاح API	✓	✓	✓	✗	✗
حظر الحزم الخبيثة وقت التثبيت	✓	✓	✓	✗	✗
سياسة فترة تهدئة التبعيات	✓	✗	✓	✗	✗
عزل وقت التشغيل	✓	✗	✗	✗	✗
يحمي وكلاء البرمجة بالذكاء الاصطناعي بشفافية	✓	✗	✗	✗	✗
سجلات تدقيق محلية	✓	✗	✗	✗	✗
طلبات سحب لإصلاح ثغرات CVE المعروفة	✗	✗	✗	✓	✓

ملاحظة: هذه المقارنة دقيقة اعتبارًا من أكتوبر 2026.

البدء السريع

1. التثبيت

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

راجع التثبيت لمعرفة طرق التثبيت عبر Homebrew وnpm وغيرها.

2. الإعداد

اربط PMG بالـ shell الخاص بك حتى يعترض مديري الحزم.

pmg setup install
# Restart your terminal to apply changes

نصيحة: أعد تشغيل pmg setup install بعد ترقية PMG لالتقاط خيارات التكوين الجديدة.

جميع المستخدمين / الصور الذهبية: sudo pmg setup install --system على Linux، أو pmg setup install --system كمسؤول على Windows — راجع docs/system-install.md.

تحقق من تثبيتك وتأكد من أن الحماية تعمل:

pmg setup doctor

اختياري: يفحص PMG حركة مرور HTTPS باستخدام CA يُنشأ في الوقت الفعلي ويُحقن في مديري الحزم في كل تشغيل. للحفاظ على CA واحد عبر عمليات التشغيل والوثوق به في مخزن الثقة في نظام التشغيل (وهو أمر مطلوب للأدوات التي تتجاهل متغيرات بيئة CA، مثل Go على macOS وWindows)، ثبّته مرة واحدة:

pmg setup cert install          # user scope, no sudo
pmg setup cert status           # check trust state and expiry

راجع Certificate Authority للنطاقات والتدوير والإزالة.

3. الاستخدام

شاهد PMG وهو يحظر التهديدات.

npm install --no-cache --prefer-online [email protected]
# or
pip install --no-cache-dir safedep-test-pkg==0.0.4

ملاحظة: safedep-test-pkg (على npm وPyPI) هو حزمة اختبار غير ضارة مصنّفة كخبيثة في قاعدة بيانات SafeDep لأغراض الاختبار والتحقق.

واصل استخدام مديري الحزم لديك كالمعتاد، أو دع وكيل البرمجة بالذكاء الاصطناعي لديك يشغّلها. يقع PMG في المسار، فيحجب الحزم الخبيثة.

npm install express
# or
pip install requests

مديرو الحزم المدعومون

يدعم PMG الأدوات التي تستخدمها بالفعل: