Clawdstrike

EDR para la era del enjambre.
Cerrar en fallo. Firma la verdad.

Estado: beta pre-1.0. Las API públicas son estables; los valores predeterminados pueden endurecerse antes de 1.0.

Clawdstrike es un motor de políticas, un EDR y una cadena de auditoría firmada en un solo binario. Un tool_call de un agente de IA se encuentra en la misma taxonomía de eventos que un file_access, process_exec, network_flow, dylib_load o launch_persistence a nivel de kernel. Un motor de políticas los evalúa. Un gráfico causal firmado con Ed25519 los registra. Los valores predeterminados fallan en modo cerrado.

El mismo motor se distribuye como un crate de Rust, un SDK de TypeScript, un paquete de Python, un módulo de Go, una CLI, un agente EDR de escritorio (macOS Endpoint Security + Network Extension; Linux Tetragon + Hubble) y un plano de control empresarial.

Inicio rápido  ·  Guardas  ·  Políticas  ·  Verificación formal  ·  Empresarial  ·  Principios de diseño

Inicio rápido

Instala a través de tu gestor de paquetes preferido:

brew install backbay-labs/tap/clawdstrike   # macOS, Linux
npm  install @clawdstrike/sdk               # TypeScript
pip  install clawdstrike                    # Python
cargo add clawdstrike                       # Rust
go   get github.com/backbay-labs/clawdstrike-go

Crea un proyecto e inicia el daemon:

clawdstrike init --keygen
# escribe policy.yaml, config.toml, keys/clawdstrike.key{,.pub}

clawdstrike daemon start && clawdstrike daemon status
# Status: healthy | Version: 0.2.7 | Uptime: 2s

Tres denegaciones, cada una firmada:

$ clawdstrike check --action-type file --ruleset strict ~/.ssh/id_rsa
BLOQUEADO [Crítico]: Acceso a ruta prohibida: ~/.ssh/id_rsa

$ clawdstrike check --action-type egress --ruleset strict api.openai.com:443
BLOQUEADO [Error]: Salida a api.openai.com bloqueada por política

$ clawdstrike check --action-type mcp --ruleset strict shell_exec
BLOQUEADO [Error]: La herramienta 'shell_exec' está bloqueada por política

Verifica que la política misma compila y es internamente consistente:

$ clawdstrike verify --policy strict
Consistencia:  APROBADA  (47 fórmulas, 0 conflictos)
Completitud:   APROBADA  (4/4 tipos de acción cubiertos)
Herencia:      APROBADA  (0 prohibiciones debilitadas)

Ejecuta un agente real bajo cumplimiento:

clawdstrike run --policy clawdstrike:strict -- python my_agent.py

El agente se ejecuta con normalidad. Cada llamada a herramienta pasa primero por el motor. Las denegaciones generan un error tipado en tu SDK y emiten un recibo firmado.

Clúster: Helm chart y plano de control

Para despliegues de flota, instala el Helm chart. hushd y los firmantes Spine fallan en modo cerrado y necesitan claves en el momento de la instalación, así que crea previamente los Secretos y haz referencia a ellos desde el chart:

NS=clawdstrike-system
kubectl create namespace "$NS"

kubectl -n "$NS" create secret generic clawdstrike-hushd-auth \
  --from-literal=CLAWDSTRIKE_API_KEY="$(openssl rand -hex 32)" \
  --from-literal=CLAWDSTRIKE_ADMIN_KEY="$(openssl rand -hex 32)" \
  --from-literal=CLAWDSTRIKE_AUTH_PEPPER="$(openssl rand -hex 32)"

kubectl -n "$NS" create secret generic clawdstrike-spine \
  --from-literal=SPINE_LOG_SEED_HEX="$(openssl rand -hex 32)" \
  --from-literal=SPINE_WITNESS_SEED_HEX="$(openssl rand -hex 32)"

helm install clawdstrike \
  oci://ghcr.io/backbay-labs/clawdstrike/helm/clawdstrike --version 0.2.0 \
  --namespace "$NS" \
  --set hushd.auth.existingSecret=clawdstrike-hushd-auth \
  --set spine.secrets.existingSecret=clawdstrike-spine

Eso levanta hushd, el checkpoint+witness de Spine, y el NATS JetStream incluido. La API de Control (inscripción, comandos de postura, paquetes firmados de finalización devueltos) y los puentes de telemetría Tetragon/Hubble son opcionales.

Consulta el README del chart para el conjunto completo de parámetros, y la Inscripción empresarial para la incorporación de agentes de extremo a extremo.

Cómo funciona

flowchart LR
    A[Agente / sensor] --> B[Evento canónico]
    B --> C[Motor de políticas + pila de guardas]
    C -->|permitir| D[La acción se ejecuta]
    C -->|denegar| E[BLOQUEADO, fallo cerrado]
    C --> F[Recibo Ed25519]
    F --> G[Gráfico causal]
    G -.->|empresarial| H[Cadena de auditoría Spine]

Los adaptadores SDK y los sensores a nivel de SO alimentan el mismo evento canónico al motor de políticas. Los adaptadores cubren las llamadas a herramientas de los agentes de IA; los sensores del kernel (macOS Endpoint Security y Network Extension, Linux Tetragon y Hubble) cubren eventos de archivos, procesos, red, dylib y persistencia. La pila de guardas devuelve un veredicto, el veredicto se envía con un recibo Ed25519, y cada recibo se hashea por contenido en un gráfico causal por sesión que vincula la identidad del agente a través de los eventos del SO posteriores.

Cuando una decisión cruza un umbral de respuesta, el motor emite un efecto firmado: poner en cuarentena un archivo, restringir un destino de salida, suspender un árbol de procesos, revocar una aprobación emitida previamente. Los efectos son reversibles cuando es posible. Las observaciones pasadas permanecen en un registrador de vuelo respaldado en disco, de modo que una política endurecida se puede simular contra el estado de la semana pasada antes de enviarse. En modo empresarial, la cadena de recibos se envía a través de NATS al checkpoint Spine; un testigo independiente co-firma cada lote.

Los registros son historias; la prueba es una firma.

Guardas

Cada guarda es una comprobación componible en el límite de la herramienta. Devuelve un veredicto con evidencia. Fallo rápido o agregado; configurado por política.

Fuente de verdad: crates/libs/clawdstrike/src/guards/.

Políticas

Políticas como código versionadas y deterministas. Esquema 1.5.0 (compatible hacia atrás con 1.1.0+). Soporta extends desde incorporados, archivos locales, URLs remotas y referencias git. extends remoto está en lista permitida de hosts y fijado por integridad mediante #sha256=<64-hex>.

Conjuntos de reglas incorporados: permissive · default · strict · ai-agent · ai-agent-posture · cicd · remote-desktop · remote-desktop-permissive · remote-desktop-strict · spider-sense.

El bucle operativo (observar, sintetizar, endurecer):

# Genera un candidato de privilegios mínimos a partir de eventos observados
clawdstrike policy synth run.events.jsonl \
  --extends clawdstrike:default --out candidate.yaml

# Reproduce los eventos contra el candidato
clawdstrike policy simulate candidate.yaml run.events.jsonl --fail-on-deny

# Diferencia el candidato con la línea base
clawdstrike policy diff clawdstrike:default candidate.yaml

Consulta el esquema de política, el esquema de postura y la guía observar, sintetizar, endurecer.

Verificación formal

La lógica central de decisión del motor de políticas está especificada en Lean 4 y probada diferencialmente contra la implementación en Rust a través del pipeline de traducción Aeneas.

Probado en Lean (5 propiedades en 44 de 45 funciones centrales):

• Monotonicidad de denegación: cualquier denegación de guarda deniega el veredicto general
• Orden total de severidad: el orden es consistente y transitivo
• Rechazo de ciclos: las cadenas extends circulares siempre se detectan
• Roundtrip de firma: firmar luego verificar con Ed25519 tiene éxito
• Permitir guarda deshabilitada: una guarda deshabilitada no puede producir una denegación fantasma

Fuera del alcance de la prueba: guardas más allá de la lógica central de decisión, E/S, red y las primitivas criptográficas en sí mismas (confiamos en ed25519-dalek).

clawdstrike verify --policy strict       # Análisis de políticas Z3
cargo test -p formal-diff-tests          # Pruebas diferenciales nocturnas
cd formal/lean4/ClawdStrike && lake build

Consulta la guía de verificación formal.

Recibos

Cada veredicto se envía con una atestación firmada con Ed25519 que contiene la decisión, la política que la tomó y la evidencia. Los recibos se canonizan con la Canonización JSON RFC 8785, por lo que una firma se verifica de manera idéntica byte a byte en Rust, TypeScript y Python.

Los despliegues empresariales reenvían los recibos a través de Spine, un registro de sobres encadenados por hash y firmados con Ed25519. Manipula cualquier registro y todos los registros posteriores fallan en la verificación.

SDKs

TypeScript

npm install @clawdstrike/sdk

import { HushEngine, loadPolicy } from "@clawdstrike/sdk";

const engine = new HushEngine(await loadPolicy("clawdstrike:strict"));
const verdict = await engine.check({
  actionType: "file",
  target: "~/.ssh/id_rsa",
});
// verdict.decision === "deny"
// verdict.receipt is Ed25519-signed

Python

pip install clawdstrike

from clawdstrike import HushEngine, load_policy

engine = HushEngine(load_policy("clawdstrike:strict"))
verdict = engine.check(action_type="file", target="~/.ssh/id_rsa")
# verdict.decision == "deny"

Rust

[dependencies]
clawdstrike = "0.2"

use clawdstrike::{HushEngine, Policy, Action, Decision};

let policy = Policy::load_builtin("strict")?;
let engine = HushEngine::new(policy);
let verdict = engine.check(&Action::file("~/.ssh/id_rsa"))?;
assert_eq!(verdict.decision, Decision::Deny);

Go

go get github.com/backbay-labs/clawdstrike-go

engine, _ := clawdstrike.NewEngine(clawdstrike.LoadBuiltin("strict"))
verdict, _ := engine.Check(clawdstrike.FileAction{Target: "~/.ssh/id_rsa"})
// verdict.Decision == clawdstrike.Deny

Plugins

Empresarial

El mismo motor más un plano de control gestionado: API de Control, transporte NATS JetStream, cadena de auditoría Spine y una Consola de Control para el flujo de trabajo del SOC. Inscripción a través de mTLS, comandos de postura con acuses de solicitud/respuesta, paquetes firmados de finalización devueltos a la API.

Consulta la inscripción empresarial y la arquitectura adaptativa.

Cumplimiento normativo

Clawdstrike no es un producto certificado. Produce evidencia que se asigna a marcos de control estándar: atestaciones de acción firmadas, pistas de auditoría encadenadas por integridad, evaluación determinista de políticas.

Los mapeos de cumplimiento son borradores. Abre un issue si necesitas formalizar un marco.

Principios de diseño

Cerrar en fallo. Las políticas inválidas se rechazan al cargarse. Los errores de evaluación deniegan el acceso. La configuración faltante predetermina a restrictiva. La degradación de seguridad requiere una acción explícita y auditable.

Prueba, no registros. Los recibos Ed25519 son atestaciones criptográficas, no líneas de registro que alguien pueda editar. JSON canónico (RFC 8785) asegura que las firmas se verifiquen de manera idéntica en Rust, TypeScript y Python.

Mismo sobre, cualquier conducto. Un sobre Spine firmado es idéntico byte a byte ya sea que viaje a través de NATS a 100K msg/s, gossipsub de libp2p sobre internet residencial o una radio LoRa a 1200 bps. El transporte es invisible para la capa de verdad.

Solo atenuación. Los agentes delegan subconjuntos de sus capacidades, nunca las escalan. Los tokens de delegación llevan límites de capacidad criptográficos. La escalada de privilegios no se previene con políticas; se previene con matemáticas.

Domina tu pila. Apache-2.0. Autoalojable. Sin dependencia de proveedores para infraestructura crítica de seguridad. El mismo motor se ejecuta en un portátil de desarrollador, una flota empresarial y una Raspberry Pi en una malla de radio.

Documentación

Seguridad

Si descubres una vulnerabilidad:

• Sensible: envía un correo a [email protected]. Respuesta en 48 horas.
• No sensible: abre un issue de GitHub con la etiqueta security.

Consulta SECURITY.md y THREAT_MODEL.md.

Contribuciones

Consulta CONTRIBUTING.md.

cargo fmt --all && cargo clippy --workspace -- -D warnings && cargo test --workspace

Licencia

Licencia Apache 2.0. Consulta LICENSE.