hush

hushspec: "0.1.0"
name: production-agent

rules:
  forbidden_paths:
    patterns:
      - "**/.ssh/**"
      - "**/.aws/**"
      - "/etc/shadow"

  egress:
    allow:
      - "api.openai.com"
      - "*.anthropic.com"
      - "api.github.com"
    default: block

  tool_access:
    block: [shell_exec, run_command]
    require_confirmation: [file_write, git_push]
    default: allow

  secret_patterns:
    patterns:
      - name: aws_key
        pattern: "AKIA[0-9A-Z]{16}"
        severity: critical
    skip_paths: ["**/test/**"]

  shell_commands:
    forbidden_patterns:
      - "rm\\s+-rf\\s+/"
      - "curl.*\\|.*bash"

[dependencies]
hushspec = "0.1"

npm install @hushspec/core

pip install hushspec

go get github.com/backbay-labs/hush/packages/go@main

use hushspec::HushSpec;

let yaml_str = "hushspec: \"0.1.0\"\nname: example\n";
let spec = HushSpec::parse(yaml_str)?;
let result = hushspec::validate(&spec);
assert!(result.is_valid());

import { parseOrThrow, validate } from '@hushspec/core';

const yamlString = 'hushspec: "0.1.0"\nname: example\n';
const spec = parseOrThrow(yamlString);
const result = validate(spec);
console.log(result.valid); // true

from hushspec import parse_or_raise, validate

yaml_string = 'hushspec: "0.1.0"\nname: example\n'
spec = parse_or_raise(yaml_string)
result = validate(spec)
assert result.is_valid

import (
    "fmt"

    "github.com/backbay-labs/hush/packages/go/hushspec"
)

yamlString := "hushspec: \"0.1.0\"\nname: example\n"
spec, err := hushspec.Parse(yamlString)
if err != nil {
    panic(err)
}
result := hushspec.Validate(spec)
fmt.Println(result.IsValid())

import { parseOrThrow, evaluate } from '@hushspec/core';

const spec = parseOrThrow(policyYaml);
const result = evaluate(spec, { type: 'egress', target: 'api.openai.com' });
// result.decision === 'allow' | 'warn' | 'deny'
// result.matched_rule === 'egress'

from hushspec import parse_or_raise, evaluate

spec = parse_or_raise(policy_yaml)
result = evaluate(spec, {"type": "egress", "target": "api.openai.com"})
assert result.decision in ("allow", "warn", "deny")

import { HushGuard } from '@hushspec/core';

const guard = HushGuard.fromFile('./policy.yaml');
guard.enforce({ type: 'tool_call', target: 'bash' }); // lancia HushSpecDenied se negato

from hushspec import HushGuard

guard = HushGuard.from_file("./policy.yaml")
guard.enforce({"type": "tool_call", "target": "bash"})  # solleva HushSpecDenied se negato

# Valida una policy rispetto allo schema HushSpec
h2h validate policy.yaml

# Esegui suite di test di valutazione
h2h test --fixtures ./tests/

# Valuta un'azione e spiega la decisione
h2h eval policy.yaml --type egress --target api.example.com
h2h explain policy.yaml --type egress --target api.example.com

# Analisi statica e linting
h2h lint policy.yaml

# Lint e correzione automatica di problemi neutri per la decisione
h2h lint policy.yaml --fix

# Confronta due policy e mostra le modifiche effettive delle decisioni
h2h diff old.yaml new.yaml

# Formatta i file delle policy in modo canonico
h2h fmt policy.yaml

# Crea scaffolding di un nuovo progetto di policy
h2h init --preset default

# Firma una policy con Ed25519
h2h sign policy.yaml --key h2h.key

# Verifica la firma di una policy
h2h verify policy.yaml --key h2h.pub

# Genera una nuova coppia di chiavi Ed25519
h2h keygen

# Override di emergenza (kill switch nega-tutto)
h2h panic activate --sentinel /tmp/hushspec.panic
h2h panic deactivate --sentinel /tmp/hushspec.panic

extensions:
  posture:
    initial: standard
    states:
      standard: { capabilities: [file_access, egress] }
      restricted: { capabilities: [file_access] }
    transitions:
      - { from: "*", to: restricted, on: critical_violation }
  detection:
    prompt_injection:
      block_at_or_above: high

// Rileva automaticamente il formato HushSpec o Clawdstrike nativo
let policy = clawdstrike::Policy::from_yaml_auto(yaml)?;

# Converti tra formati
hush policy migrate policy.yaml --to hushspec

spec/              Specifica normativa, inclusi documenti principali e di estensione
schemas/           Definizioni JSON Schema
crates/            Crate Rust
  hushspec/          Libreria principale: analisi, validazione, unione, risoluzione, valutazione, rilevamento, firma
  hushspec-cli/      CLI tool
  hushspec-testkit/  Esecutore di test di conformità
packages/          SDK linguistici per TypeScript, Python e Go
rulesets/          Ruleset di sicurezza incorporati
fixtures/          Fixture di conformità e valutazione
docs/              Sito di documentazione mdBook
generated/         Artefatti di contratto SDK condiviso generati
scripts/           Generazione di codice e tooling CI