geiger

Ein Geigerzähler für KI-Agenten.

Ein einziger Read-only-Befehl, der jeden KI-Agenten, jedes Harness, jeden MCP-Server, jedes Plugin und jede KI-Erweiterung auf einem Rechner inventarisiert — und Ihnen in klarer Sprache sagt, worauf jedes einzelne zugreifen kann.

npx geiger-scan

Keine Installation. Kein Konto. Keine Telemetrie. Liest Konfigurationen und Verzeichnisse, schreibt nichts (es sei denn, Sie fordern --json yourfile.json an).

Warum es das gibt

Im August 2026 sprang ein Open-Source-Agent-Harness innerhalb von drei Wochen von null auf über 200.000 GitHub-Sterne. Sein Plugin-Ökosystem überschritt im selben Zeitraum 13.000 Repositories. Desktop-Clients mit Ein-Klick-Installation erschienen am Tag des Launches. Instagram-Karussells bringen Büroangestellten heute bei, all das zu installieren.

Jede dieser Installationen ist ein Programm, das Befehle ausführen, Dateien lesen und Credentials halten kann — konfiguriert in Dotfiles, die niemand zweimal ansieht. Stellen Sie sich die Frage, die dieses Tool beantwortet: Was läuft tatsächlich auf diesem Rechner, und worauf kann es zugreifen? Die meisten Menschen können sie nicht beantworten. Jetzt ist es ein Befehl.

Wie ein Scan aussieht

  GEIGER  ·  a Geiger counter for AI agents
  machine dev-laptop  ·  2026-09-06 12:24 UTC  ·  read-only · no telemetry
  ──────────────────────────────────────────────────────────────

  9 findings across 3 ecosystems  ·  7 can execute code  ·  1 credential in config files

  claude-code  (6)
    Claude Code  agent
      [EXECUTES] [BROAD-FILESYSTEM] [NETWORK]
      origin: registry · @anthropic-ai/claude-code
    magic (Claude Code · global)  MCP server
      [EXECUTES] [HOLDS-SECRETS] [BROAD-FILESYSTEM]
      origin: registry · @21st-dev/magic@latest
      credential: "API_KEY" — opaque value under a credential-named key · ~/.claude.json
      note: wrapped by a policy agent (domainguard-agent.exe) — enforcement layer in front of the server
    hooks: UserPromptSubmit, PreToolUse  hook
      [EXECUTES]
      note: hooks execute without a prompt each time their event fires
  ...

Echte Ausgabe von einem echten Rechner (Werte redigiert — siehe unten).

Was es erkennt

Jeder Befund erhält: was es ist, woher es stammt (Registry, Store, Git, lokales Skript, Remote-Server — oder UNKNOWN-ORIGIN), was es tun kann (EXECUTES, HOLDS-SECRETS, BROAD-FILESYSTEM, BROAD-WEB, NETWORK) und den Evidenzpfad, damit Sie es von Hand überprüfen können.

Geiger erkennt außerdem Policy-Wrapper (Agenten, die eine Durchsetzungsschicht vor MCP-Server setzen) und meldet beide Schichten, statt den echten Server hinter dem Wrapper zu verbergen.

Die drei Versprechen

1. Read-only. Die einzige Schreiboperation, die geiger jemals ausführt, ist die --json-Datei, die Sie explizit benennen.
2. Keine Telemetrie. Nichts verlässt Ihren Rechner. Es gibt keinen Endpunkt, an den irgendetwas gesendet werden könnte. (Das bedeutet auch, dass wir keine Ahnung haben, wie viele Menschen das nutzen — ein Tausch, mit dem wir zufrieden sind.)
3. Secrets nur nach Form. Wenn ein credential-förmiger Wert in einer Konfiguration gefunden wird, meldet geiger den Schlüsselnamen, die Datei und welche Art von Secret es zu sein scheint — niemals irgendeinen Teil des Werts. Ein Redaktionsdurchlauf läuft als Defense-in-Depth über alle Ausgaben, und die Testsuite erzwingt dies.

Verwendung

npx geiger-scan                        scan, print the report
npx geiger-scan --html report.html     self-contained HTML report with per-finding
                                       "what to do" remediation guidance
npx geiger-scan --json out.json        machine-readable findings (schemaVersion 1)
npx geiger-scan --path D:\repo1 --path E:\repo2
                                       also scan these project directories for
                                       project-level agent and MCP configs
npx geiger-scan --home C:\Users\other  scan a different home root (another user
                                       profile, a mounted image)
npx geiger-scan --strict               exit 2 if anything can execute code or
                                       holds secrets
npx geiger-scan --diff baseline.json   compare against an earlier --json
                                       snapshot: what appeared, disappeared,
                                       or escalated since then

Drift-Alarm: Sobald Sie einen Rechner überprüft haben, speichern Sie eine Baseline (--json baseline.json) und legen Sie geiger-scan --strict --diff baseline.json in cron oder CI ab. Es beendet sich nur dann mit Exit-Code 2, wenn etwas Neues Code ausführen oder Secrets halten kann — das bestehende, bereits überprüfte Inventar bleibt still. Dasselbe mentale Modell wie bei einer Lockfile: Akzeptiere, was da ist, alarmiere bei Änderung.

Kein npm? npx github:Atomburstofficial/geiger läuft direkt aus dem Repo.

Wie die Berichte aussehen

Bevor Sie irgendetwas ausführen, sehen Sie genau, was Sie bekommen würden: ein Beispiel-HTML-Bericht und eine Beispiel-JSON-Ausgabe liegen in diesem Repo, generiert aus dem Test-Fixture — synthetische Daten, generische Pfade, Credentials nur nach Form dargestellt (wie immer). Der HTML-Bericht:

Jeder Befund, der Handlungsbedarf rechtfertigt, trägt Klartext-Remediation — als fix:-Zeilen im Terminal und "What to do"-Blöcke im HTML-Bericht.

Fleet-Muster (MSPs, IT): Führen Sie mit --json pro Rechner nach Zeitplan aus (eine RMM-Aufgabe oder ein Login-Skript, das %COMPUTERNAME%.json in eine Freigabe schreibt), behalten Sie die Baseline jedes Rechners und lassen Sie --diff den Drift pro Rechner melden. Das Schema ist versioniert und stabil. Geiger telefoniert nie nach Hause — die JSON-Dateien reisen nur dorthin, wo Sie sie hinlegen.

Einschränkungen

Vorab genannt, denn ein Scanner, dem Sie zu sehr vertrauen, ist schlimmer als kein Scanner:

• Geiger liest bekannte Konfigurationsorte. Agenten, die in nicht standardmäßigen Pfaden, anderen Benutzerkonten, Containern oder WSL (von der Windows-Seite aus) installiert sind, werden nicht gesehen.
• Es liest Konfiguration, nicht Laufzeitverhalten. Es kann Ihnen nicht sagen, was ein Plugin tatsächlich getan hat — nur, was seine Position erlaubt.
• Es kann nicht beurteilen, ob ein Paket bösartig ist — nur, woher es stammt und worauf es zugreifen kann. Herkunft ≠ Vertrauenswürdigkeit.
• Teilweise parsebare Formate (TOML-Konfigurationen) werden nach Form gescannt und mit reduzierter Konfidenz markiert, statt übersprungen.
• Das Ökosystem, das dieses Tool prüft, ändert sich wöchentlich. Detektoren sind datengetrieben und bewusst klein — siehe CONTRIBUTING.md, um einen hinzuzufügen.

FAQ

Ist das ein Security-Audit? Nein. Es ist ein Inventar mit ehrlichen Expositions-Labels — das, was Sie brauchen, bevor irgendein Audit etwas bedeutet.

Warum sollte ich dem kostenlosen Scanner eines Security-Unternehmens vertrauen? Lesen Sie ihn. Es sind ein paar hundert Zeilen abhängigkeitsfreies JavaScript, und was veröffentlicht ist, ist das, was läuft — Releases werden über GitHub Actions mit npm-Provenance veröffentlicht, sodass die npm-Seite einen signierten Link zu dem exakten öffentlichen Commit trägt, aus dem jede Version gebaut wurde.

Was mache ich mit dem, was es findet? Individuell: Entfernen Sie, was Sie nicht erkennen, rotieren Sie Credentials, die nicht in Konfigurationen liegen sollten. In einem Unternehmen: Das ist Policy-Durchsetzung, was ein anderes Produkt ist — DomainGuard ist, wie Organisationen eine Policy-Schicht vor diese Angriffsfläche setzen. Geiger bleibt in jedem Fall kostenlos und eigenständig.

Lizenz

MIT · erstellt von Atomburst · null Laufzeitabhängigkeiten, kein Build-Schritt — der Quellcode, den Sie lesen, ist der Code, der läuft.