For the Skill, curl, and git-clone alternatives, plus PEP 668 systems and secret-cloaking setup, see the [full installation guide](https://github.com/prismorsec/prismor/blob/HEAD/docs/installation.md).

---

## Capabilities<a name="capabilities" />

![Prismor Architektur](https://assets.kitploit.com/production/public/readmes/13903/0e84c7211b3275de581182b7f69c44d8224142323b43220dd1234eee17616757.png)

- 🛡️ [Prismor](https://github.com/prismorsec/prismor/blob/HEAD/docs/prismor-runtime.md) deckt die Policy-Engine, Sitzungsprotokolle, das Sicherheitsaudit und die CLI-Referenz ab
- 📦 [Supply Chain](https://github.com/prismorsec/prismor/blob/HEAD/docs/supply-chain.md) deckt die Durchsetzung zur Installationszeit, IOC-Abgleich und Risikobewertung ab
- 🛜 [Network Isolation](https://github.com/prismorsec/prismor/blob/HEAD/docs/network-isolation.md) deckt richtliniengesteuerte Egress-Kontrolle, Erkennung roher IP-Adressen und Tunnel-Blockierung ab
- 🔍 [Skill Scanner](https://github.com/prismorsec/prismor/blob/HEAD/docs/skill-scanner.md) deckt das Risiko-Scanning von MCP-Servern und Skills in unterstützten Agenten ab
- 🚦 [MCP Guardrails](https://github.com/prismorsec/prismor/blob/HEAD/docs/prismor-runtime.md#custom-guardrails-for-mcp-tools) ermöglichen es dir, einen bestimmten MCP-Server oder ein bestimmtes Tool zu blockieren oder eine menschliche Freigabe zu verlangen, bevor der Agent es aufruft – mit einer Policy-Regel, die du selbst schreibst
- 🛰️ [MCP Gateway](https://github.com/prismorsec/prismor/blob/HEAD/docs/mcp-gateway.md) ist ein einzelner MCP-Connector, der allen anderen MCP-Servern vorgelagert ist, die du verwendest – jeder `tools/call` wird vor der Weiterleitung policy-mäßig ausgewertet und jede Antwort wird auf Injection gescannt, bevor das Modell sie sieht, sodass ein vergiftetes Tool-Ergebnis nie zum Kontext wird. `prismor mcp-gateway install` verschiebt eine vorhandene `.mcp.json` dahinter
- 🏷️ [Tool Tags](https://github.com/prismorsec/prismor/blob/HEAD/docs/tool-tags.md) klassifizieren Tools nach Fähigkeit (read, write, network, exec), sodass eine Regel sagen kann: „Nichts, das private Daten liest, darf auch das Netzwerk erreichen“, statt jedes Tool einzeln zu benennen – MCP-Tools deklarieren sich selbst über `_meta`, und `prismor tags` listet, testet und lintet die Regelausdrücke
- 🔐 [Sweep and Cloak](https://github.com/prismorsec/prismor/blob/HEAD/docs/sweep-and-cloak.md) deckt die Verhinderung von Geheimnislecks an Tool-Grenzen, praktische Einrichtung, Best Practices, Bedrohungsmodell und Bereinigung geleakter Geheimnisse ab
- 🦞 [OpenClaw Integration](https://github.com/prismorsec/prismor/blob/HEAD/docs/openclaw.md) deckt Laufzeit-Hooks, Prompt-Injection-Scanning und die Einrichtung auf Projekt- oder Benutzerebene für OpenClaw ab
- 🤖 [Hermes Agent Cloaking](https://github.com/prismorsec/prismor/blob/HEAD/docs/hermes.md) deckt Hermes-spezifisches Secret-Cloaking mit automatischer Erkennung von pip-Einstiegspunkten, Dateisystem-Installation und Einfügeschutz für `pre_gateway_dispatch` ab
- 🧠 [Semantic Guard](https://github.com/prismorsec/prismor/blob/HEAD/docs/semantic-guard.md): optionale Hybrid-Ebene, die eine LLM-gestützte Absichtsprüfung für umformulierte Prompt-Injection-Versuche hinzufügt, die die Regex-Regeln nicht erkennen können
- 🪤 [Canary](https://github.com/prismorsec/prismor/blob/HEAD/docs/canary.md) legt Honeytoken-Anmeldedateien aus, die in dem Moment einen CRITICAL-Befund auslösen, in dem ein Agent sie liest, und erkennt so Aufklärungsverhalten
- 🪪 [IAM](https://github.com/prismorsec/prismor/blob/HEAD/docs/iam.md) gibt jedem Agenten eine benannte Identität und ein Berechtigungsprofil mit geringsten Rechten, wenn mehrere Agenten sich einen Workspace teilen
- 🧩 [Framework Agents](https://github.com/prismorsec/prismor/blob/HEAD/docs/frameworks-overview.md) schützt Produktionsagenten (OpenAI Agents SDK, LangChain/LangGraph in Python and JS, CrewAI, browser-use, Pydantic AI, AutoGen Core, Agno, Semantic Kernel, Google ADK, BeeAI, Claude Agent SDK, Vercel AI SDK, Mastra) mit einem einzigen Aufruf – umschließe jede Anfrage mit `use_subject("user:alice")`, und ein Multi-Tenant-Agent erhält pro Benutzer Zuordnung, IAM-Profile und Sperrung
- 🎯 [Scoped Agent](https://github.com/prismorsec/prismor/blob/HEAD/docs/scoped-agent.md) synthetisiert minimale, aufgabenspezifische Regeln pro Sitzung, sodass ein injizierter Wechsel weg von der Aufgabe blockiert wird
- 🧬 [Learning](https://github.com/prismorsec/prismor/blob/HEAD/docs/learning.md) durchsucht den Sitzungsverlauf, um neue Regeln vorzuschlagen, False Positives zu markieren und Umgehungen zu erkennen
- ⚖️ [Layered Policy & Exemptions](https://github.com/prismorsec/prismor/blob/HEAD/docs/policy-layers-and-exemptions.md) deckt pro Regel Beobachten/Durchsetzen, die nicht überschreibbare Untergrenze und von Administratoren gewährte, zeitlich begrenzte Ausnahmen über Organisations-, Projekt- und Repo-Ebenen ab
- 📡 [Live Telemetry](https://github.com/prismorsec/prismor/blob/HEAD/docs/live-telemetry.md) deckt die optionale Enterprise-Control-Plane-Verbindung ab – Geräte-Registrierung, signierte Remote-Policy und geschwärzte Telemetrie, die an ein selbst gehostetes Organisations-Dashboard gestreamt wird
- 📊 [Dashboard](https://github.com/prismorsec/prismor/blob/HEAD/docs/dashboard.md) deckt die Terminal- und lokalen Web-Dashboards sowie Sitzungs-Forensik ab, wobei `prismor tokens` aufschlüsselt, wohin Kontext und Token-Verbrauch einer Sitzung tatsächlich geflossen sind
- 🩺 [Health and Recovery](https://github.com/prismorsec/prismor/blob/HEAD/docs/cli-reference.md) – `prismor doctor` prüft die Gesundheit jedes Subsystems (Hooks, Policy-Signatur, Registrierung, Telemetrie-Senke, Chain-Zustand), und `prismor pause` / `pause-hard` setzt während eines Vorfalls *nur die Durchsetzung* für einen Menschen aus, während das Logging im Observe-Modus weiterläuft
- 🧾 [Signed Audit Trail](https://github.com/prismorsec/prismor/blob/HEAD/docs/audit-trail.md) verkettet jede Agentenaktion lokal per Hash-Chain und signiert sie mit Ed25519, sodass `prismor trail verify` beweist, dass der Verlauf nicht bearbeitet, gelöscht oder umgeschrieben wurde
- 📑 [Attestation Bundle](https://github.com/prismorsec/prismor/blob/HEAD/docs/attestation-bundle.md) bündelt Posture, Agenten-Inventar, Host-Erkennung, Framework-Control-Abdeckung (OWASP LLM/Agentic, NIST AI RMF, EU AI Act) und den Trail-Anker in einer einzigen Ed25519-signierten Datei, die ein Prüfer mit `prismor attest verify` erneut verifiziert
- 🔦 [Host Discovery](https://github.com/prismorsec/prismor/blob/HEAD/docs/attestation-bundle.md#host-discovery) durchsucht die Maschine mit `prismor discover` und markiert jeden KI-Agenten, der ohne Prismor-Hooks läuft (Shadow AI)
- ⏪ [Transcript Ingest](https://github.com/prismorsec/prismor/blob/HEAD/docs/transcript-ingest.md) rekonstruiert, was deine Agenten *vor* der Installation von Prismor getan haben – `prismor ingest --discover` spielt auf der Festplatte gespeicherte Sitzungstranskripte durch die Live-Policy-Engine ab, sodass das Dashboard ab dem ersten Tag befüllt ist und du genau sehen kannst, was das Umschalten einer Regel auf enforce blockiert hätte, plus `--coverage` für Sitzungen, die unbeaufsichtigt liefen
- 🗺️ [Agentic AI Architecture Review](https://github.com/prismorsec/prismor/blob/HEAD/docs/agentic-architecture-review.md) ist eine Designzeit-Checkliste für Multi-Agent-/Tool-nutzende Systeme – Berechtigungsumfang, Speicherintegrität, Vertrauen zwischen Agenten, Platzierung menschlicher Aufsicht – wobei jedes Element einer echten Control-ID und, wo vorhanden, der Prismor-Regel zugeordnet ist, die es absichert
- 🐳 [Docker and Containers](https://github.com/prismorsec/prismor/blob/HEAD/docs/docker.md) deckt Container-Härtung, Voraussetzungen und bekannte Einschränkungen ab

Vollständige Befehlsübersicht über alle Fähigkeiten hinweg: [CLI Reference](https://github.com/prismorsec/prismor/blob/HEAD/docs/cli-reference.md).

Diese Fähigkeiten sind auf die [OWASP Top 10 for LLM Applications](https://genai.owasp.org/llm-top-10/) abgebildet – sie decken Prompt Injection (LLM01), Offenlegung vertraulicher Informationen (LLM02), Lieferkette (LLM03), unsachgemäße Ausgabebehandlung (LLM05) und übermäßige Handlungsbefugnis (LLM06) ab.

---

## Configuration<a name="configuration" />

### Command Reference

Full command map: [docs/cli-reference.md](https://github.com/prismorsec/prismor/blob/HEAD/docs/cli-reference.md).

### Observe / Enforce (pro Regel, policy-autoritativ)

Die Durchsetzung wird **pro Regel durch deine Policy** entschieden, nicht durch einen einzigen globalen Schalter. Jede Regel trägt einen `mode`, und `settings.default_mode` (Standard: `observe`) gilt für jede Regel, die keinen eigenen setzt:

| Modus | Verhalten |
|---|---|
| `observe` (Standard) | Protokolliert den Tool-Aufruf und den Befund. Blockiert nie. Sicher für Onboarding und Auditing. |
| `enforce` | Blockiert die Aktion in Echtzeit, bevor der Agent sie ausführt. |

Standardmäßig **beobachtet alles** – nichts wird blockiert, bis du Regeln (oder `default_mode`) in deiner Policy auf `enforce` umstellst:```yaml
# .prismor/policy.yaml
settings:
  default_mode: observe        # global default for rules without their own mode
rules:
  - id: destructive-rm-rf
    mode: enforce              # this rule blocks; the rest still just observe

## 使用 PyScript 的主要优势

* **无需服务器**: 一切都在浏览器中运行。无需后端服务器。
* **易于部署**: 只需在 GitHub Pages 或任何静态主机上托管 HTML/JS 文件。
* **安全性**: 在浏览器沙箱中运行 Python 代码，与系统隔离。
* **交互式**: 可直接操作 DOM 并响应网页事件。
* **基于标准**: 基于 WebAssembly (WASM) 构建，运行速度接近原生。

## 安装与使用

### 安装

**目前尚不能通过 Windows 自带的 Python 直接安装。** 您需要手动将 `writeup-helper` 文件夹复制到您的 `site-packages` 目录，或者使用支持它的包管理器（如 `uv`）进行安装。

```bash
# 使用 uv（推荐）
uv pip install writeup-helper

# 或者，只需复制文件夹
cp -r writeup-helper /path/to/your/site-packages/

import writeup_helper

# 初始化一个带有默认模板的 Writeup Helper
helper = writeup_helper.WriteupHelper(template="basic")

import writeup_helper

# 使用自定义配置
helper = writeup_helper.WriteupHelper(
    template="custom",
    config={
        "author": "您的名字",
        "company": "您的公司",
        "default_language": "en"
    }
)

Standardmäßig deaktiviert. Siehe [docs/semantic-guard.md](https://github.com/prismorsec/prismor/blob/HEAD/docs/semantic-guard.md) für die vollständige Einrichtung.

### Selbstgehostetes Dashboard<a name="self-hosted-dashboard" />```bash
prismor dashboard            # opens http://127.0.0.1:7070 in your browser
prismor dashboard --port 8080
prismor dashboard --no-open  # headless server only (was: prismor serve)

Bewertungen: `< 30` erlauben · `30–59` warnen · `≥ 60` blockieren. Ein IOC-Treffer blockiert immer. Lege Aliase für deine Paketmanager an, um jede Installation automatisch zu kontrollieren.

`prismor supplychain harden` schreibt Lockdown-Einstellungen in `.npmrc` / `.yarnrc.yml` / `pip.conf` / `.cargo/config.toml`, damit der Paketmanager sie durchsetzt, auch wenn der Alias umgangen wird (CI, IDE-Plugins).```bash
prismor supplychain harden           # apply to current directory
prismor supplychain harden --dry-run

`--scope` wird standardmäßig auf `project` gesetzt. **Projekt- und Benutzerbereich bearbeiten unterschiedliche Dateien** – wenn nur `--scope user` ausgeführt wird, werden die lokalen Hooks des Workspace *nicht* angefasst, und umgekehrt:

| Agent | Projektbereich | Benutzerbereich |
|---|---|---|
| Claude Code | `<workspace>/.claude/settings.json` | `~/.claude/settings.json` |
| Cursor | `<workspace>/.cursor/hooks.json` | `~/.cursor/hooks.json` |
| Windsurf | `<workspace>/.windsurf/hooks.json` | `~/.codeium/windsurf/hooks.json` |
| OpenClaw | `<workspace>/.openclaw/plugins.json` | `~/.openclaw/config.json` |
| Hermes | `<workspace>/.hermes/plugins.json` | `~/.hermes/config.json` |
| Codex | `<workspace>/.codex/hooks.json` | `~/.codex/hooks.json` |
| Copilot | `<workspace>/.github/copilot/hooks.json` | `~/.copilot/hooks.json` |
| Grok Build | `<workspace>/.grok/hooks/prismor.json` | `~/.grok/hooks/prismor.json` |
| Kiro CLI | `<workspace>/.kiro/agents/kiro_default.json` | `~/.kiro/agents/kiro_default.json` |
| Crush | `<workspace>/crush.json` | `~/.config/crush/crush.json` |
| OpenHands | `<workspace>/.openhands/hooks.json` | `~/.openhands/hooks.json` |
| Qwen Code | `<workspace>/.qwen/settings.json` | `~/.qwen/settings.json` |
| Continue CLI | `<workspace>/.continue/settings.json` | `~/.continue/settings.json` |
| Goose | `<workspace>/.agents/plugins/prismor/hooks/hooks.json` | `~/.agents/plugins/prismor/hooks/hooks.json` |

Wenn du nur einen Bereich ausführst, werden die Hooks des anderen Bereichs (falls installiert) weiterhin ausgelöst. Führe beide aus, wenn du Prismor für einen Agenten vollständig aus dem Spiel haben möchtest.

Eine laufende Sitzung hat ihre Hook-Konfiguration bereits geladen – ein Deinstallieren mitten in der Sitzung wird erst wirksam, wenn du eine neue Sitzung startest.

Wenn `prismor uninstall-hooks` Erfolg meldet, die Hooks aber weiterhin ausgelöst werden, läuft bei dir wahrscheinlich eine veraltete Installation – z. B. eine `pipx`-installierte Kopie, die ein veralteter Snapshot eines Dev-Checkouts ist. Prüfe `which immunity` und, falls es in eine `pipx`-venv auflöst, installiere aus der aktuellen Quelle neu (`pipx install --force <path-or-package>`), bevor du die Deinstallation erneut ausführst. Als letzte Option kannst du die Hook-Konfigurationsdatei direkt von Hand bearbeiten.

### 2. Weiche Deaktivierung: Beobachtungsmodus + Dry-Run

Hooks installiert lassen, aber verhindern, dass sie blockieren:```bash
prismor install-hooks --agent all --scope project --mode observe
PRISMOR_LOCAL_DRY_RUN=1   # set in your shell/session env