Blockiere bösartige npm- und pip-Pakete, bevor sie installiert werden.
Defense in Depth für die Paketmanager, die du bereits verwendest.

Warum PMG?

Entwickler und KI-Coding-Agents installieren jeden Tag Pakete. Jedes npm install oder pip install führt Tausende Zeilen Code aus, die niemand überprüft.

Aktuelle Kompromittierungen in populären Ökosystemen:

• Mini Shai-Hulud - über 300 populäre Pakete kompromittiert
• litellm 1.82.8 - eine populäre KI-Proxy-Bibliothek kompromittiert, um Anmeldedaten zu exfiltrieren
• telnyx 4.87.2 - ein legitimes Telekom-SDK auf PyPI gekapert
• pino-sdk-v2 - ein Typosquat-Paket, das sich als populärer pino-Logger ausgibt

PMG ist kostenlos, Open Source (Apache 2.0) und benötigt kein Konto und keinen API-Schlüssel. Es fängt jede Paketinstallation ab und prüft sie gegen SafeDeps kostenlose Community-API auf bekannte Malware, bevor Code ausgeführt wird. Einmal installiert, deckt es jedes npm install, pip install und poetry add danach ab.

Wie PMG funktioniert

PMG verfolgt einen Defense-in-Depth-Ansatz. Keine Konfiguration nötig, funktioniert mit Zsh, Bash und Fish, und jede Installation durchläuft die aktivierten Schutzschichten, bevor Code ausgeführt wird, plus einen Audit-Trail danach.

Details zu den Schichten

• Transparente Abfangung - PMG umhüllt npm, pip und andere Paketmanager. Entwickler und KI-Agents verwenden dieselben Befehle. Keine Workflow-Änderungen.
• Layer 1: Threat Intelligence - PMG prüft jedes Paket vor der Installation gegen SafeDeps Echtzeit-Threat-Intelligence. Bekannt bösartige Pakete werden blockiert. Kein Schlüssel, kein Login erforderlich.
• Layer 2: Policy (Dependency Cooldown) - PMG blockiert Paketversionen, die innerhalb eines konfigurierbaren Cooldown-Fensters veröffentlicht wurden, sodass kürzlich kompromittierte Versionen während des Fensters übersprungen werden.
• Layer 3: Opt-in-Sandbox - Wenn Sandboxing aktiviert und konfiguriert ist, führt PMG Installationen in OS-nativen Sandboxes aus (macOS Seatbelt, standardmäßig Linux Landlock oder Bubblewrap als Fallback), sodass Installationsskripte eingeschränkten Systemzugriff haben, selbst wenn eine Bedrohung die ersten beiden Schichten umgeht.
• Audit-Logging - PMG protokolliert jede Installation (was, wann, von wo) für einen überprüfbaren Audit-Trail.

Wie PMG im Vergleich abschneidet

PMG ist die einzige kostenlose, quelloffene Paket-Firewall zur Installationszeit, die sowohl Entwickler als auch KI-Agents abdeckt und Sandboxing sowie Cooldown von Haus aus mitbringt.

Fähigkeit	PMG	Socket	safe-chain	Snyk	Dependabot
OSS / öffentlich entwickelt	✓	✗	✓	✗	✗
Kein Konto oder API-Schlüssel	✓	✓	✓	✗	✗
Blockierung bösartiger Pakete zur Installationszeit	✓	✓	✓	✗	✗
Dependency-Cooldown-Richtlinie	✓	✗	✓	✗	✗
Runtime-Sandboxing	✓	✗	✗	✗	✗
Schützt KI-Coding-Agents transparent	✓	✗	✗	✗	✗
Lokale Audit-Logs	✓	✗	✗	✗	✗
Bekannte-CVE-Remediation-PRs	✗	✗	✗	✓	✓

Schnellstart

1. Installation

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

Siehe Installation für Homebrew, npm und andere Installationsmethoden.

2. Einrichtung

Binde PMG in deine Shell ein, damit es Paketmanager abfängt.

pmg setup install
# Terminal neu starten, um Änderungen anzuwenden

Tipp: Führe pmg setup install nach einem PMG-Upgrade erneut aus, um neue Konfigurationsoptionen zu übernehmen.

Alle Benutzer / Golden Images: sudo pmg setup install --system unter Linux oder pmg setup install --system als Administrator unter Windows — siehe docs/system-install.md.

Validiere deine Installation und überprüfe, ob der Schutz funktioniert:

pmg setup doctor

Optional: PMG inspiziert HTTPS-Verkehr mit einer On-the-fly-CA, die es pro Lauf in Paketmanager injiziert. Um eine einzelne CA über Läufe hinweg zu persistieren und sie in deinem OS-Trust-Store zu vertrauen (erforderlich für Tools, die CA-Umgebungsvariablen ignorieren, wie Go unter macOS und Windows), installiere sie einmal:

pmg setup cert install          # Benutzerbereich, kein sudo
pmg setup cert status           # Vertrauensstatus und Ablauf prüfen

Siehe Certificate Authority für Bereiche, Rotation und Entfernung.

3. Verwendung

Sieh, wie PMG Bedrohungen blockiert.

npm install --no-cache --prefer-online [email protected]

Hinweis: safedep-test-pkg ist ein harmloses Testpaket, das in SafeDeps Datenbank zu Test- und Verifizierungszwecken als bösartig markiert ist.