backbay-labs/clawdstrikeMotore delle policy ed EDR per flotte di agenti AI e postazioni di sviluppo. Monitora chiamate agli strumenti, accesso ai file, flussi di rete ed esecuzione dei processi con tracciati di audit firmati con Ed25519 e applicazione fail-closed.
EDR per l'età dello sciame.
Fail closed. Firma la verità.
Stato: beta pre-1.0. Le API pubbliche sono stabili; le impostazioni predefinite potrebbero ancora essere irrigidite prima della 1.0.
Clawdstrike è un motore di policy, un EDR e una catena di audit firmata tutto in un unico binario. Un tool_call di un agente AI si colloca nella stessa tassonomia degli eventi di un file_access, process_exec, network_flow, dylib_load o launch_persistence a livello kernel. Un unico motore di policy li valuta. Un grafo causale firmato con Ed25519 li registra. Le impostazioni predefinite falliscono in chiuso (fail closed).
Lo stesso motore è distribuito come crate Rust, SDK TypeScript, pacchetto Python, modulo Go, CLI, agente EDR desktop (macOS Endpoint Security + Network Extension; Linux Tetragon + Hubble) e un piano di controllo enterprise.
Avvio rapido · Guardie · Policy · Verifica formale · Enterprise · Design
Installa tramite il tuo gestore di pacchetti preferito:
brew install backbay-labs/tap/clawdstrike # macOS, Linux
npm install @clawdstrike/sdk # TypeScript
pip install clawdstrike # Python
cargo add clawdstrike # Rust
go get github.com/backbay-labs/clawdstrike-go
Crea uno scheletro di progetto e avvia il demone:
clawdstrike init --keygen
# scrive policy.yaml, config.toml, keys/clawdstrike.key{,.pub}
clawdstrike daemon start && clawdstrike daemon status
# Status: healthy | Version: 0.2.7 | Uptime: 2s
Tre negazioni, ciascuna firmata:
$ clawdstrike check --action-type file --ruleset strict ~/.ssh/id_rsa
BLOCKED [Critical]: Access to forbidden path: ~/.ssh/id_rsa
$ clawdstrike check --action-type egress --ruleset strict api.openai.com:443
BLOCKED [Error]: Egress to api.openai.com blocked by policy
$ clawdstrike check --action-type mcp --ruleset strict shell_exec
BLOCKED [Error]: Tool 'shell_exec' is blocked by policy
Verifica che la policy stessa venga compilata e sia internamente coerente:
$ clawdstrike verify --policy strict
Consistency: PASS (47 formulas, 0 conflicts)
Completeness: PASS (4/4 action types covered)
Inheritance: PASS (0 weakened prohibitions)
Esegui un agente reale sotto enforcement:
clawdstrike run --policy clawdstrike:strict -- python my_agent.py
L'agente funziona normalmente. Ogni chiamata a uno strumento (tool call) passa prima dal motore. Le negazioni sollevano un errore tipizzato nel tuo SDK ed emettono una ricevuta firmata.
Per distribuzioni fleet, installa il chart Helm. hushd e i firmatari Spine sono fail-closed e necessitano di chiavi al momento dell'installazione, quindi crea in anticipo i Secret e referenziali dal chart:
NS=clawdstrike-system
kubectl create namespace "$NS"
kubectl -n "$NS" create secret generic clawdstrike-hushd-auth \
--from-literal=CLAWDSTRIKE_API_KEY="$(openssl rand -hex 32)" \
--from-literal=CLAWDSTRIKE_ADMIN_KEY="$(openssl rand -hex 32)" \
--from-literal=CLAWDSTRIKE_AUTH_PEPPER="$(openssl rand -hex 32)"
kubectl -n "$NS" create secret generic clawdstrike-spine \
--from-literal=SPINE_LOG_SEED_HEX="$(openssl rand -hex 32)" \
--from-literal=SPINE_WITNESS_SEED_HEX="$(openssl rand -hex 32)"
helm install clawdstrike \
oci://ghcr.io/backbay-labs/clawdstrike/helm/clawdstrike --version 0.2.0 \
--namespace "$NS" \
--set hushd.auth.existingSecret=clawdstrike-hushd-auth \
--set spine.secrets.existingSecret=clawdstrike-spine
Questo avvia hushd, il checkpointer + witness Spine e NATS JetStream in bundle. L'API di controllo (enrollment, comandi di postura, bundle di completamento firmati di ritorno) e i bridge di telemetria Tetragon/Hubble sono opzionali.
Vedi il README del chart per l'intero set di parametri, e la guida all'enrollment Enterprise per l'onboarding end-to-end degli agenti.
flowchart LR
A[Agent / sensore] --> B[Evento canonico]
B --> C[Motore di policy + stack guardie]
C -->|allow| D[Azione eseguita]
C -->|deny| E[Bloccato, fail-closed]
C --> F[Ricevuta Ed25519]
F --> G[Grafo causale]
G -.->|enterprise| H[Catena di audit Spine]
Gli adattatori SDK e i sensori a livello OS inviano lo stesso evento canonico al motore di policy. Gli adattatori coprono le chiamate a strumenti degli agenti AI; i sensori kernel (macOS Endpoint Security e Network Extension, Linux Tetragon e Hubble) coprono gli eventi di file, processo, rete, dylib e persistenza. Lo stack delle guardie restituisce un verdetto, il verdetto include una ricevuta firmata Ed25519, e ogni ricevuta viene hash-aggiunta a un grafo causale per sessione che lega l'identità dell'agente agli eventi OS successivi.
Quando una decisione supera una soglia di risposta, il motore emette un effetto firmato: mettere in quarantena un file, limitare una destinazione di egree, sospendere un albero di processi, revocare un'approvazione precedentemente emessa. Gli effetti sono reversibili dove possibile. Le osservazioni passate rimangono su un registratore di volo su disco, così una policy più restrittiva può essere simulata sullo stato della settimana scorsa prima di essere distribuita. In modalità enterprise, la catena delle ricevute viene inviata su NATS al checkpointer Spine; un testimone indipendente co-firma ogni batch.
I log sono storie; la prova è una firma.
Ogni guardia è un controllo componibile al confine dello strumento. Restituisce un verdetto con evidenza. Fail-fast o aggregato; configurato per policy.