hush

hushspec: "0.1.0"
name: production-agent

rules:
  forbidden_paths:
    patterns:
      - "**/.ssh/**"
      - "**/.aws/**"
      - "/etc/shadow"

  egress:
    allow:
      - "api.openai.com"
      - "*.anthropic.com"
      - "api.github.com"
    default: block

  tool_access:
    block: [shell_exec, run_command]
    require_confirmation: [file_write, git_push]
    default: allow

  secret_patterns:
    patterns:
      - name: aws_key
        pattern: "AKIA[0-9A-Z]{16}"
        severity: critical
    skip_paths: ["**/test/**"]

  shell_commands:
    forbidden_patterns:
      - "rm\\s+-rf\\s+/"
      - "curl.*\\|.*bash"

[dependencies]
hushspec = "0.1"

npm install @hushspec/core

pip install hushspec

go get github.com/backbay-labs/hush/packages/go@main

use hushspec::HushSpec;

let yaml_str = "hushspec: \"0.1.0\"\nname: example\n";
let spec = HushSpec::parse(yaml_str)?;
let result = hushspec::validate(&spec);
assert!(result.is_valid());

import { parseOrThrow, validate } from '@hushspec/core';

const yamlString = 'hushspec: "0.1.0"\nname: example\n';
const spec = parseOrThrow(yamlString);
const result = validate(spec);
console.log(result.valid); // true

from hushspec import parse_or_raise, validate

yaml_string = 'hushspec: "0.1.0"\nname: example\n'
spec = parse_or_raise(yaml_string)
result = validate(spec)
assert result.is_valid

import (
    "fmt"

    "github.com/backbay-labs/hush/packages/go/hushspec"
)

yamlString := "hushspec: \"0.1.0\"\nname: example\n"
spec, err := hushspec.Parse(yamlString)
if err != nil {
    panic(err)
}
result := hushspec.Validate(spec)
fmt.Println(result.IsValid())

import { parseOrThrow, evaluate } from '@hushspec/core';

const spec = parseOrThrow(policyYaml);
const result = evaluate(spec, { type: 'egress', target: 'api.openai.com' });
// result.decision === 'allow' | 'warn' | 'deny'
// result.matched_rule === 'egress'

from hushspec import parse_or_raise, evaluate

spec = parse_or_raise(policy_yaml)
result = evaluate(spec, {"type": "egress", "target": "api.openai.com"})
assert result.decision in ("allow", "warn", "deny")

import { HushGuard } from '@hushspec/core';

const guard = HushGuard.fromFile('./policy.yaml');
guard.enforce({ type: 'tool_call', target: 'bash' }); // lanza HushSpecDenied si se deniega

from hushspec import HushGuard

guard = HushGuard.from_file("./policy.yaml")
guard.enforce({"type": "tool_call", "target": "bash"})  # lanza HushSpecDenied si se deniega

# Validar una política contra el esquema HushSpec
h2h validate policy.yaml

# Ejecutar suites de prueba de evaluación
h2h test --fixtures ./tests/

# Evaluar una acción y explicar la decisión
h2h eval policy.yaml --type egress --target api.example.com
h2h explain policy.yaml --type egress --target api.example.com

# Análisis estático y linting
h2h lint policy.yaml

# Lint y corrección automática de problemas neutrales para la decisión
h2h lint policy.yaml --fix

# Comparar dos políticas y mostrar los cambios efectivos en las decisiones
h2h diff old.yaml new.yaml

# Formatear archivos de política de forma canónica
h2h fmt policy.yaml

# Crear la estructura de un proyecto de política nuevo
h2h init --preset default

# Firmar una política con Ed25519
h2h sign policy.yaml --key h2h.key

# Verificar una firma de política
h2h verify policy.yaml --key h2h.pub

# Generar un nuevo par de claves Ed25519
h2h keygen

# Anulación de emergencia (interruptor de apagado deny-all)
h2h panic activate --sentinel /tmp/hushspec.panic
h2h panic deactivate --sentinel /tmp/hushspec.panic

extensions:
  posture:
    initial: standard
    states:
      standard: { capabilities: [file_access, egress] }
      restricted: { capabilities: [file_access] }
    transitions:
      - { from: "*", to: restricted, on: critical_violation }
  detection:
    prompt_injection:
      block_at_or_above: high

// Detecta automáticamente el formato HushSpec vs Clawdstrike nativo
let policy = clawdstrike::Policy::from_yaml_auto(yaml)?;

// Convertir entre formatos
hush policy migrate policy.yaml --to hushspec

spec/              Especificación normativa, incluyendo documentos centrales y de extensión
schemas/           Definiciones de esquemas JSON
crates/            Crates Rust
  hushspec/          Biblioteca central: parse, validate, merge, resolve, evaluate, detect, sign
  hushspec-cli/      Herramienta CLI
  hushspec-testkit/  Ejecutor de pruebas de conformidad
packages/          SDK de lenguaje para TypeScript, Python y Go
rulesets/          Conjuntos de reglas de seguridad incorporados
fixtures/          Accesorios de conformidad y evaluación
docs/              Sitio de documentación mdBook
generated/         Artefactos de contrato de SDK compartido generados
scripts/          Generación de código y herramientas CI