🛡️ Node9

Was hat dein KI-Agent eigentlich gemacht? Finde es heraus.

Node9 sitzt zwischen deinem KI-Agenten und den Tools, die er verwenden kann – entdecke, was er bereits getan hat, schütze in Echtzeit vor riskanten Aktionen und prüfe, was über einen beliebigen Zeitraum passiert ist.

Funktioniert mit Claude Code · Codex CLI · Antigravity (agy) · GitHub Copilot CLI · Gemini CLI · Cursor · Windsurf · VSCode · Claude Desktop · Opencode · Pi · Hermes Agent · jedem beliebigen MCP-Server.

Was Node9 macht

• 🔍 Entdecken – scanne jede vergangene KI-Sitzung auf Credential-Leaks, Agenten-Schleifen, blockierte Vorgänge und alle Geheimnisse auf der Festplatte, die ein Agent gerade erreichen könnte
• 🛡 Schützen – überprüfe oder blockiere riskante Befehle, bevor sie ausgeführt werden – rm -rf, git push --force, DROP TABLE, Credential-Lesevorgänge, curl | bash, AWS/GitHub/Stripe-Key-Leaks
• 📊 Prüfen – Bericht über einen bestimmten Zeitraum (heute / Woche / Monat / 90 Tage) – Kosten pro Agent, wichtigste Tools, ausgelöste Schutzschilde, Schadensradius

Retrospective Scan

Dies ist mein eigener Rechner – 90 Tage beim Bau von Node9. Bewertung 25/100, 5 Credential-Dateien, die ein KI-Agent sofort erreichen könnte.

npx node9-ai scan   # vor der Installation, läuft in ~10s, lädt nichts hoch
node9 scan          # nach der Installation, gleiche Ausgabe

Node9-Scan-Bewertungskarte

Sicherheits-Scorecard

node9 posture bewertet, wie exponiert dieser Rechner gegenüber einem kompromittierten Agenten ist – Isolation, Egress, Geheimnisse auf der Festplatte, Lieferkette, Privilegien – und reicht dir den genauen Befehl, um jeden Befund zu beheben.

node9 posture          # Scorecard mit dem #1-Risiko und einer Lösung für jeden Befund
node9 posture --ship   # sende eine geschwärzte Zusammenfassung an dein Node9-Dashboard (Fleet-Ansicht)

Die Befunde sind gruppiert nach wer sie beheben kann: 🔒 diejenigen, die Node9 reduziert (einfach den Befehl ausführen) und 🧱 diejenigen, die nur du beheben kannst. Jeder trägt eine verständliche Was / Warum / Wer-Erklärung und eine echte Abhilfe – z. B. verweist der Befund "Agent läuft ohne Sandbox auf dem Host" direkt auf node9 sandbox run (unten).

🛡️  Node9 Posture – Agent auf diesem Host        Score: 100/100  (Gut)
  2 Hinweise unten beeinflussen die Bewertung nicht – OS-Exposition, deine eigene Entscheidung.

  🟢 Node9 schützt dich bereits
  ✅ Geheimnisse    Node9 DLP blockiert dies
  ✅ Egress         Node9 Egress setzt auf Genehmigungspflicht
  ✅ Genehmigungs­tür  Node9 blockiert dies
  ✅ Privilegien    Node9 setzt auf Genehmigungspflicht

  🔒 Node9 reduziert diese – führe den Befehl aus, der Rest liegt bei dir
  ⚠️  Isolation     Läuft direkt auf dem Host – kein Container
                   Der Agent läuft lose auf deiner ganzen Maschine, nicht in einer Sandbox.
                   → node9 sandbox run <agent>   — kerkere ihn ein: Kernel-Egress + eingeschränkte Mounts + Node9 innen
                   → node9 shield enable project-jail   — oder verkleinere den Schadensradius, behalte Host-Zugriff
  ⚠️  Netzwerk-Exposition  4 Dienste auf 0.0.0.0 (node :3000/:4000, PostgreSQL :5432, Redis :6379)
                   Vom gesamten Netzwerk aus erreichbar, nicht nur von diesem Laptop.
                   → node9 shield enable postgres|redis   — Node9 blockiert DROP TABLE / FLUSHALL
                   → binde es an 127.0.0.1 / firewalle den Port   (dein Teil)

  ✅ Supply Chain   keine Probleme gefunden
  ✅ Abdeckung      keine Probleme gefunden

  Verfolge dies über deine Flotte & halte es grün → node9.ai

Ein Repository scannen – Agent-CI-Sicherheit

node9 scan-repo überprüft jedes Repository (oder einen lokalen Ordner) auf Möglichkeiten, wie ein KI-Agent, der in GitHub Actions eingebunden ist, von einem Außenstehenden gekapert werden könnte – injizierbare Workflows, für den Agenten erreichbare Geheimnisse, nicht fixierte MCP-Server, zu weit gefasste Agentenkonfiguration und vergiftete Anweisungsdateien. Statisch und nur parsend: Es liest nur die eingecheckte Konfiguration, führt niemals Repo-Code aus. Keine Installation oder Token für öffentliche Repos erforderlich.

npx node9-ai scan-repo <owner/repo>   # jedes öffentliche Repo, keine Installation
node9 scan-repo .                      # ein lokaler Checkout – kein Netzwerk
node9 scan-repo <owner/repo> --json    # maschinenlesbar

🛡️  node9 scan-repo · node9-ai/agent-security-demo · ⚠️ agent-security Risiko gefunden
   überprüft 2 Konfigurationsdatei(en), 2 Befund(e)

🔴 KRITISCH  Injizierbarer Agent-Workflow – nicht vertrauenswürdige Eingabe erreicht einen tool-verwendenden Agenten mit Geheimnissen
   .github/workflows/vulnerable-example.yml · CI-2
     • läuft mit Basis-Repo-Geheimnissen (pull_request_target)
     • checkt den nicht vertrauenswürdigen PR-Head in das Arbeitsbereichs-Root aus
     • allowed_non_write_users: "*" – jeder Benutzer kann den Agenten auslösen
     • keine effektive Akteur-Sperre

🔴 KRITISCH  Exfiltrierbare Geheimnisse, erreichbar durch einen injizierbaren Agenten
   .github/workflows/vulnerable-example.yml · CI-4
     • Agent hat beliebige Shell (reines Bash) → kann Umgebungsvariablen lesen und exfiltrieren

Was es prüft:

Jeden PR vorschalten – die gleiche Engine als GitHub Action, damit eine kaperbare Konfiguration nicht gemerged werden kann:

# .github/workflows/agent-security.yml
- uses: node9-ai/agent-security-action@v1
  with:
    fail-on: high # oder 'never' für nur Kommentar

Marketplace: Node9 Agent Security Check

Live-Überwachung

Node9-Monitor-Dashboard

node9 monitor öffnet ein interaktives Terminal-Dashboard mit zwei Ansichten:

• [1] Echtzeit – Live-Aktivität, Genehmigungen, Sicherheitswarnungen, aktueller Risikoscore
• [2] Bericht – Zusammenfassung über einen Zeitraum: Kosten, Top-Tools, ausgelöste Schutzschilde, Schadensradius

Bericht

Drücke im Monitor [2] für eine Zusammenfassung über einen Zeitraum. Wechsle den Zeitraum mit [T]oday · [W]eek · [M]onth · [N]inety – gleiche Panels wie der Scan oben, basierend auf deinem Audit-Log nach der Installation.

Node9-Monitor[2] Bericht

node9 monitor              # drücke [2] für Berichtsansicht
node9 report --period 7d   # CLI-Form, kein TUI

Installation

# macOS / Linux
brew tap node9-ai/node9 && brew install node9

# oder via npm (jede Plattform)
npm install -g node9-ai

node9 init       # verbindet automatisch alle erkannten Agenten + MCP-Server
node9 doctor     # überprüfe, ob alles korrekt verbunden ist

Erfordert Node.js 18+.

Schutzschilde – kuratierte Regelpakete

Jeder Schutzschild ist ein kuratiertes Regelset für einen Dienst oder eine Domäne. Aktiviere nur, was du brauchst.

node9 shield list    # zeige alle Schutzschilde + Status

Immer an – keine Konfiguration nötig

• Git – fängt git push --force, git reset --hard, git clean -fd
• SQL – fängt DELETE / UPDATE ohne WHERE, DROP TABLE, TRUNCATE
• Shell – fängt curl | bash, nicht autorisiertes sudo
• DLP – markiert AWS-Keys, GitHub-Tokens, Stripe-Keys, PEM-Private-Keys in jedem Tool-Argument, Dateiinhalt oder Shell-Konfiguration (~/.zshrc, ~/.bashrc)
• Response DLP – Hintergrundscanner liest Claudes Konversationsverlauf und alarmiert dich, wenn Claude ein Geheimnis in seinen Antworttext geschrieben hat
• Auto-Undo – Git-Snapshot vor jeder KI-Dateibearbeitung → zum Rückgängigmachen

Überprüfungsaufforderungen – Freigabe inline, in deinem Agenten

Wenn Node9 eine Aktion zur Überprüfung markiert (z. B. git push --force, ein DROP TABLE), wird die Genehmigen/Ablehnen-Aufforderung inline in der Agentenkonversation angezeigt – kein eingefrorenes Session, kein separates Terminal, kein Hook-Timeout-Rennen. Node9 führt dennoch die vollständige Bewertung durch und trifft die Entscheidung; nur die Aufforderungs-Oberfläche wird zum Agenten verschoben.

• Standardmäßig aktiviert für Claude Code und GitHub Copilot CLI – die Agenten, deren Hook-Vertrag ein natives ask unterstützt. Jeder andere Agent (Codex, Gemini, Antigravity, Hermes, Cursor, OpenCode, Pi) verwendet Node9s eigenen Genehmiger.
• Steuere es mit reviewChannel in ~/.node9/config.json (oder --no-ask am Hook):

{
  "settings": {
    "reviewChannel": "ask", // "ask" = inline Agentenaufforderung (Standard) | "approver" = Node9s eigener Genehmiger
  },
}

• Team-Setups: Wenn ein Cloud/Team-Genehmiger konfiguriert ist (approvers.cloud: true), werden Überprüfungen dorthin weitergeleitet – Node9 lässt keine inline-Selbstgenehmigung zu, die eine weitergeleitete/zweiseitige Genehmigung umgeht.

Sandbox – einen Agenten in einem Gefängnis ausführen

Wenn Überwachen nicht ausreicht, führt node9 sandbox den Agenten in einem Einweg-Container mit einer kernel-erzwungenen Egress-Allowlist und eingeschränkten Mounts aus – während Node9s Hooks jeden Tool-Aufruf innerhalb der Kiste überwachen und auditieren. Die harte Version des Schutzes: Der Agent kann nur den Ordner berühren, den du mountest, und die Hosts erreichen, die du erlaubst; alles andere wird am Kernel verworfen.

cd ~/mein-projekt
node9 sandbox new        # schreibe node9.sandbox.yaml – was gemountet werden soll + welche Hosts erlaubt sind
node9 sandbox run        # baue + starte den eingekerkerten Agenten (dein Projekt unter /workspace)
node9 sandbox tail       # beobachte die Aktionen des Agenten live, vom Host aus

• Einweg – der Container wird beim Beenden zerstört; deine Projektbearbeitungen landen auf deiner echten Festplatte, nichts anderes bleibt erhalten.
• Gleiche Richtlinie – deine bestehenden Schutzschilde / Egress-Regeln / Genehmigungen gelten innerhalb der Kiste, werden an dasselbe Audit-Log und Dashboard gestreamt.
• Schließt die Posture-Überwachungsschleife – das Ausführen setzt die Befunde für Isolation / Egress auf grün.

Ehrlicher Umfang (Phase 1): Einzelner Container, Claude zuerst (Codex als nächstes); der Agent behält im Container dennoch seine eigenen Anmeldedaten (die Egress-Mauer beschränkt sie auf die erlaubten Hosts) – "Der Agent hat nie ein Geheimnis" ist die Credential-Broker-Phase auf der Roadmap. Erfordert Docker.

MCP-Gateway

Wickle jeden MCP-Server transparent ein. Der Agent sieht denselben Server – Node9 fängt jeden Tool-Aufruf ab.

{
  "mcpServers": {
    "postgres": {
      "command": "node9",
      "args": ["mcp", "--upstream", "npx -y @modelcontextprotocol/server-postgres postgresql://..."]
    }
  }
}

Oder führe einfach node9 init aus – es wickelt deine vorhandenen MCP-Server automatisch ein.

node9 mcp pin list                # alle gepinnten Server und Hashes anzeigen
node9 mcp pin update <serverKey>  # Pin entfernen, bei nächster Verbindung neu pinnen
node9 mcp pin reset               # alle Pins löschen

Andere Befehle

Neben den drei Flussbefehlen oben (scan / monitor / report):

Außerdem ein Live-HUD in deiner Claude-Code-Statuszeile:

🛡 node9 | standard | [bash-safe] | ✅ 12 erlaubt  🛑 2 blockiert  🚨 0 dlp | ~$0,43
📊 claude-opus-4-7 | ctx [████████░░░] 54% | 5h [██░░░░░░░░] 12% | 7d [█░░░░░░░] 7%
🗂 2 CLAUDE.md | 8 Regeln | 3 MCPs | 4 Hooks

Die Daten lesen – was die Zahlen bedeuten

Node9 zeigt das Signal an. Hier sind die Muster, die es wert sind, bekannt zu sein:

Einmalige Signale sind normal; anhaltende Muster sind das, worauf du reagierst.

Python SDK – jeden Python-Agenten verwalten

from node9 import configure, protect

configure(agent_name="my-agent", policy="require_approval")

@protect("bash")
def run_command(cmd: str) -> str:
    ...

Python SDK → · CI-Code-Review-Agent-Beispiel →

Unter der Haube

• Scan liest rohe Agentenverläufe aus ~/.claude/projects/, ~/.gemini/tmp/, ~/.gemini/antigravity-*/brain/, ~/.copilot/session-state/, ~/.codex/sessions/ – keine API-Aufrufe, vollständig offline
• Laufzeit fängt Tool-Aufrufe über Pre-Execution-Hooks ab (Claude Code, Codex, Antigravity, GitHub Copilot CLI, Gemini CLI, Opencode, Pi) oder über das MCP-Gateway (Cursor, Windsurf, VSCode, Claude Desktop). Alle Entscheidungen landen atomar in ~/.node9/audit.log.
• MCP-Gateway ist ein stdio-Proxy; fängt tools/list + tools/call JSON-RPC ab, leitet den Rest weiter
• Policy-Engine verwendet mvdan-sh für Bash-AST-Analyse – besiegt Verschleierung durch Backslash-Escaping, Variablenersetzung, eval von Remote-Downloads
• Shadow-Repo für Auto-Undo befindet sich unter ~/.node9/snapshots/<hash16>/ – berührt niemals dein .git

Vollständige Dokumentation

Konfigurationsreferenz, intelligente Regeln, zustandsbehaftete Regeln, vertrauenswürdige Hosts, Genehmigungsmodi, CLI-Referenz – auf node9.ai/docs.

Ähnliche Projekte

• node9-python – Python SDK
• node9-pr-agent – GitHub Action, die PRs durch Node9 prüft

Enterprise

Node9 Pro fügt Governance-Sperren, SAML/SSO, zentralen Audit-Export und VPC-Bereitstellung hinzu. Siehe node9.ai.

Lizenz

Apache-2.0

_{Entwickelt mit ☕ und gesunder Paranoia.}