Blocca i pacchetti npm e pip dannosi prima che vengano installati.
Difesa a profondità per i gestori di pacchetti che già utilizzi.

Perché PMG?

Gli sviluppatori e gli agenti AI di codifica installano pacchetti ogni giorno. Ogni npm install o pip install esegue migliaia di righe di codice che nessuno revisiona.

Compromissioni recenti in ecosistemi popolari:

• Mini Shai-Hulud - Oltre 300 pacchetti popolari compromessi
• litellm 1.82.8 - una popolare libreria proxy AI compromessa per esfiltrare credenziali
• telnyx 4.87.2 - un SDK legittimo di telecomunicazioni dirottato su PyPI
• pino-sdk-v2 - un pacchetto typosquat camuffato da popolare logger pino

PMG è gratuito, open source (Apache 2.0) e non richiede account o chiave API. Intercetta ogni installazione di pacchetti e la controlla tramite l'API community gratuita di SafeDep per malware noti prima che il codice venga eseguito. Installalo una volta e coprirà ogni npm install, pip install e poetry add successivo.

Come funziona PMG

PMG adotta un approccio di difesa a profondità. Zero configurazione, funziona con Zsh, Bash e Fish, e ogni installazione passa attraverso i livelli di protezione abilitati prima che il codice venga eseguito, più una traccia di audit successiva.

Confronto con PMG

PMG è l'unico firewall per pacchetti gratuito, open-source, al momento dell'installazione, che copre sia sviluppatori che agenti AI ed è fornito con sandboxing e cooldown pronti all'uso.

Avvio Rapido

1. Installazione

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

Vedi Installazione per Homebrew, npm e altri metodi di installazione.

2. Configurazione

Collega PMG al tuo shell in modo che intercetti i gestori di pacchetti.

pmg setup install
# Riavvia il terminale per applicare le modifiche

Suggerimento: Esegui di nuovo pmg setup install dopo aver aggiornato PMG per raccogliere nuove opzioni di configurazione.

Linux per tutti gli utenti / immagini golden: sudo pmg setup install --system — vedi docs/system-install.md.

Convalida la tua installazione e verifica che la protezione funzioni:

pmg setup doctor

Opzionale: PMG ispeziona il traffico HTTPS con una CA creata al volo che inietta nei gestori di pacchetti per ogni esecuzione. Per rendere persistente una singola CA tra le esecuzioni e fidarti di essa nel trust store del tuo sistema operativo (necessario per strumenti che ignorano le variabili d'ambiente CA, come Go su macOS e Windows), installala una volta:

root@kitploit:~

pmg setup cert install          # ambito utente, nessun sudo
pmg setup cert status           # verifica stato di fiducia e scadenza

Vedi Certificate Authority per ambiti, rotazione e rimozione.

3. Utilizzo

Guarda PMG bloccare le minacce.

npm install --no-cache --prefer-online [email protected]

Nota: safedep-test-pkg è un pacchetto di test benigno segnalato come dannoso nel database di SafeDep per scopi di test e verifica.

Continua a usare i tuoi gestori di pacchetti come al solito, o lascia che il tuo agente AI di codifica li esegua. PMG si trova nel percorso, bloccando i pacchetti dannosi.

npm install express
# oppure
pip install requests

Gestori di Pacchetti Supportati

PMG supporta gli strumenti che già utilizzi:

Installazione

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

brew tap safedep/tap
brew install safedep/tap/pmg

npm install -g @safedep/pmg

# Ensure $(go env GOPATH)/bin is in your $PATH
go install github.com/safedep/pmg@latest

# Pull the latest image (or pin a version tag, e.g. :v1.2.3)
docker pull ghcr.io/safedep/pmg:latest

# Run any pmg command
docker run --rm ghcr.io/safedep/pmg:latest version

GitHub Actions

Proteggi i flussi di lavoro CI con un solo passaggio. PMG analizza ogni npm install, pip install, ecc. nel job.

- uses: safedep/pmg@v1
  with:
    server-mode: true

# intercepted via HTTP_PROXY automatically
- run: npm ci

- name: Enforce PMG policy
  if: always()
  run: pmg proxy stop --fail-on-violation   # stops the daemon, fails the job on a block

Per impostazione predefinita ottieni il blocco del malware e il cooldown delle dipendenze. L'isolamento sandbox è opzionale tramite l'input sandbox. Regola il comportamento tramite input (paranoid, sandbox, cooldown-days, ...) o punta config-file a un YAML nel repository. Vedi docs/github-action.md per il riferimento completo.

Disinstallazione

Rimuovi l'integrazione con la shell:

pmg setup remove

Per rimuovere anche il file di configurazione di PMG:

pmg setup remove --config-file

Poi disinstalla PMG stesso:

# Homebrew
brew uninstall safedep/tap/pmg

# NPM
npm uninstall -g @safedep/pmg

Fiducia e Sicurezza

Le build di PMG sono riproducibili e firmate.

• Attestazioni: Le attestazioni di GitHub e npm garantiscono l'integrità degli artefatti.
• Verifica: Puoi provare crittograficamente che il binario corrisponde al codice sorgente.
• Vedi Fiducia in PMG per i passaggi di verifica.

Guida Utente

• Configurazione
• Configurazione dei Pacchetti Fidati
• Cooldown delle Dipendenze
• Caching
• Architettura della Modalità Proxy
• Server Proxy Persistente
• Certificate Authority
• Sandboxing

Supporto

Se PMG ti ha salvato da un pacchetto dannoso, metti una stella a questo repository. Aiuta altri a trovarlo.

Cronologia Stelle

Contribuire

I contributi sono benvenuti. Vedi CONTRIBUTING.md per le istruzioni di build e test.

Grazie a tutti i contributori ❤️

Telemetria

PMG raccoglie dati di utilizzo anonimi. Per disabilitarli, puoi:

• Imposta disable_telemetry: true nel tuo file di configurazione PMG, oppure
• Esporta PMG_DISABLE_TELEMETRY=true.