Bloquez les paquets npm et pip malveillants avant leur installation.
Une défense en profondeur pour les gestionnaires de paquets que vous utilisez déjà.

Pourquoi PMG ?

Les développeurs et les agents IA de codage installent des paquets chaque jour. Chaque npm install ou pip install exécute des milliers de lignes de code que personne ne vérifie.

Compromissions récentes dans les écosystèmes populaires :

• Mini Shai-Hulud - plus de 300 paquets populaires compromis
• litellm 1.82.8 - une bibliothèque IA proxy populaire compromise pour exfiltrer des identifiants
• telnyx 4.87.2 - un SDK de télécom légitime détourné sur PyPI
• pino-sdk-v2 - un paquet typosquat déguisé en logger pino populaire

PMG est gratuit, open source (Apache 2.0), et ne nécessite ni compte ni clé API. Il intercepte chaque installation de paquet et la vérifie auprès de l'API communautaire gratuite de SafeDep pour détecter les logiciels malveillants connus avant l'exécution du code. Installez-le une fois, et il couvre chaque npm install, pip install et poetry add par la suite.

Comment fonctionne PMG

PMG adopte une approche de défense en profondeur. Zéro configuration, compatible avec Zsh, Bash et Fish, et chaque installation passe par les couches de protection activées avant l'exécution du code, plus une piste d'audit après.

Comparaison de PMG

PMG est le seul pare-feu de paquets à l'installation, gratuit et open source, qui couvre à la fois les développeurs et les agents IA et qui est livré avec un bac à sable et une période de refroidissement intégrés.

Démarrage rapide

1. Installation

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

Voir Installation pour Homebrew, npm et d'autres méthodes d'installation.

2. Configuration

Intégrez PMG à votre shell afin qu'il intercepte les gestionnaires de paquets.

pmg setup install
# Redémarrez votre terminal pour appliquer les modifications

Astuce : Réexécutez pmg setup install après une mise à niveau de PMG pour récupérer les nouvelles options de configuration.

Linux pour tous les utilisateurs / images dorées : sudo pmg setup install --system — voir docs/system-install.md.

Validez votre installation et vérifiez que la protection fonctionne :

pmg setup doctor

Optionnel : PMG inspecte le trafic HTTPS avec une AC à la volée qu'il injecte dans les gestionnaires de paquets à chaque exécution. Pour conserver une AC unique entre les exécutions et lui faire confiance dans le magasin de confiance de votre système d'exploitation (nécessaire pour les outils qui ignorent les variables d'environnement CA, comme Go sur macOS et Windows), installez-la une fois :

root@kitploit:~

pmg setup cert install          # portée utilisateur, sans sudo
pmg setup cert status           # vérifier l'état de confiance et l'expiration

Voir Autorité de certification pour les portées, la rotation et la suppression.

3. Utilisation

Voyez PMG bloquer les menaces.

npm install --no-cache --prefer-online [email protected]

Remarque : safedep-test-pkg est un paquet de test bénin signalé comme malveillant dans la base de données de SafeDep à des fins de test et de vérification.

Continuez à utiliser vos gestionnaires de paquets comme d'habitude, ou laissez votre agent IA de codage les exécuter. PMG se place sur le chemin, bloquant les paquets malveillants.

npm install express
# ou
pip install requests

Gestionnaires de paquets pris en charge

PMG prend en charge les outils que vous utilisez déjà :

Installation

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

brew tap safedep/tap
brew install safedep/tap/pmg

npm install -g @safedep/pmg

# Assurez-vous que $(go env GOPATH)/bin est dans votre $PATH
go install github.com/safedep/pmg@latest

# Tirez la dernière image (ou épinglez une balise de version, ex. :v1.2.3)
docker pull ghcr.io/safedep/pmg:latest

# Exécutez n'importe quelle commande pmg
docker run --rm ghcr.io/safedep/pmg:latest version

GitHub Actions

Protégez les flux de travail CI avec une seule étape. PMG analyse chaque npm install, pip install, etc. dans le travail.

- uses: safedep/pmg@v1
  with:
    server-mode: true

# intercepté via HTTP_PROXY automatiquement
- run: npm ci

- name: Appliquer la politique PMG
  if: always()
  run: pmg proxy stop --fail-on-violation   # arrête le démon, fait échouer le travail en cas de blocage

Par défaut, vous bénéficiez du blocage des logiciels malveillants et de la période de refroidissement des dépendances. L'isolation par bac à sable est optionnelle via l'entrée sandbox. Ajustez le comportement via les entrées (paranoid, sandbox, cooldown-days, ...) ou pointez config-file vers un YAML dans le dépôt. Voir docs/github-action.md pour la référence complète.

Désinstallation

Supprimez l'intégration shell :

pmg setup remove

Pour supprimer également le fichier de configuration PMG :

pmg setup remove --config-file

Puis désinstallez PMG lui-même :

# Homebrew
brew uninstall safedep/tap/pmg

# NPM
npm uninstall -g @safedep/pmg

Confiance et sécurité

Les builds PMG sont reproductibles et signés.

• Attestations : Les attestations GitHub et npm garantissent l'intégrité des artefacts.
• Vérification : Vous pouvez prouver cryptographiquement que le binaire correspond au code source.
• Voir Faire confiance à PMG pour les étapes de vérification.

Guide de l'utilisateur

• Configuration
• Configuration des paquets de confiance
• Période de refroidissement des dépendances
• Mise en cache
• Architecture du mode proxy
• Serveur proxy persistant
• Autorité de certification
• Bac à sable

Support

Si PMG vous a sauvé d'un mauvais paquet, mettez une étoile à ce dépôt. Cela aide d'autres personnes à le trouver.

Contribution

Les contributions sont les bienvenues. Voir CONTRIBUTING.md pour les instructions de compilation et de test.

Merci à tous les contributeurs ❤️

Télémétrie

PMG collecte des données d'utilisation anonymes. Pour désactiver, soit :

• Définissez disable_telemetry: true dans votre fichier de configuration PMG, soit
• Exportez PMG_DISABLE_TELEMETRY=true.