Skill、curl、git-clone による代替手段、および PEP 668 システムとシークレット秘匿のセットアップについては、[完全インストールガイド](https://github.com/prismorsec/prismor/blob/main/docs/installation.md)を参照してください。

---

## 機能<a name="capabilities" />

![Prismor Architecture](https://assets.kitploit.com/production/public/readmes/13903/0e84c7211b3275de581182b7f69c44d8224142323b43220dd1234eee17616757.png)

- 🛡️ [Prismor](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md) はポリシーエンジン、セッションログ、セキュリティ監査、CLI リファレンスを扱います
- 📦 [Supply Chain](https://github.com/prismorsec/prismor/blob/main/docs/supply-chain.md) はインストール時の強制、IOC マッチング、リスクスコアリングを扱います
- 🛜 [Network Isolation](https://github.com/prismorsec/prismor/blob/main/docs/network-isolation.md) はポリシー駆動の egress 制御、生 IP 検出、トンネルブロッキングを扱います
- 🔍 [Skill Scanner](https://github.com/prismorsec/prismor/blob/main/docs/skill-scanner.md) はサポート対象エージェント全体にわたる MCP サーバーとスキルのリスクスキャンを扱います
- 🚦 [MCP Guardrails](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md#custom-guardrails-for-mcp-tools) では、特定の MCP サーバーやツールをブロックしたり、エージェントがそれを呼び出す前に人間の承認を要求したりできます。ポリシールールは自分で記述します
- 🛰️ [MCP Gateway](https://github.com/prismorsec/prismor/blob/main/docs/mcp-gateway.md) は、使用する他のすべての MCP サーバーの前面に立つ単一の MCP コネクタです — 各 `tools/call` は転送前にポリシー評価され、各レスポンスはモデルが見る前にインジェクションスキャンされるため、汚染されたツール結果がコンテキストになることはありません。`prismor mcp-gateway install` は既存の `.mcp.json` をその背後に移動します
- 🛤️ [LLM Proxy](https://github.com/prismorsec/prismor/blob/main/docs/llm-proxy.md) は、Prismor がフックできないエージェントを、すべてのエージェントが持つ唯一のもの — モデルトラフィック — を通じて統治します。`ANTHROPIC_BASE_URL`、`OPENAI_BASE_URL`、または Google Gen AI SDK の `HttpOptions(base_url=...)` で `prismor proxy` を指定すれば、エージェントの他の部分は何も変わりません。モデルが*提案する*すべてのツール呼び出し — Anthropic の `tool_use`、OpenAI の `tool_calls`、Gemini の `functionCall` — は、`Bash` フックが生成するのと同じイベントに再形成され、同じルールで判定されます。ストリーミング呼び出しは判定できるまで保留されます
- [Claude Inference Hooks](https://github.com/prismorsec/prismor/blob/main/docs/inference-hook.md) は、Prismor を Claude Enterprise の背後にある AI セキュリティサーバーにします。Anthropic は claude.ai、Claude Code、Cowork からの統治対象プロンプトをすべて `prismor inference-hook serve` に送信し、これがトランスクリプトに対してポリシーを実行し、モデルが動く前に許可/拒否を返します — 署名済みリクエスト（Standard Webhooks）、フェイルクローズド、シャドウモード、ユーザーデバイスへのインストールは不要です。`prismor inference-hook test` は署名済みサンプルフレームを送信して配線を確認します
- 🏷️ [Tool Tags](https://github.com/prismorsec/prismor/blob/main/docs/tool-tags.md) はツールを機能（read、write、network、exec）で分類するため、ルールはすべてのツールを一つずつ名指しする代わりに「プライベートデータを読むものはネットワークにも到達してはならない」と言えます — MCP ツールは `_meta` を介して自己宣言し、`prismor tags` はルール式を一覧表示、テスト、リントします
- 🔐 [Sweep and Cloak](https://github.com/prismorsec/prismor/blob/main/docs/sweep-and-cloak.md) はツール境界でのシークレット防止、実践的なセットアップ、ベストプラクティス、脅威モデル、漏洩したシークレットのクリーンアップを扱います
- 🦞 [OpenClaw Integration](https://github.com/prismorsec/prismor/blob/main/docs/openclaw.md) は OpenClaw 向けのランタイムフック、プロンプトインジェクションスキャン、プロジェクトまたはユーザースコープのセットアップを扱います
- 🤖 [Hermes Agent Cloaking](https://github.com/prismorsec/prismor/blob/main/docs/hermes.md) は pip エントリポイントの自動検出、ファイルシステムインストール、pre_gateway_dispatch ペーストガードを備えた Hermes 固有のシークレット秘匿を扱います
- ☁️ [Hosted Agent VMs](https://github.com/prismorsec/prismor/blob/main/docs/cloud-agents.md) は、あなたが決してログインしないマシン上で動くエージェント（Claude Code on the web、Cursor cloud agents、Copilot coding agent、OpenHands Cloud、Codex cloud、Replicas）を統治します。プラットフォームのセットアップスクリプトがバイナリをインストールし、`install-hooks --portable` がコミットしても安全なフック設定を書き込みます
- 🧠 [Semantic Guard](https://github.com/prismorsec/prismor/blob/main/docs/semantic-guard.md): 正規表現ルールでは捕捉できない言い換えられたプロンプトインジェクションの試みに対して、LLM 支援の意図チェックを追加するオプトインのハイブリッド層
- 🪤 [Canary](https://github.com/prismorsec/prismor/blob/main/docs/canary.md) は、エージェントが読んだ瞬間に CRITICAL 所見を発するハニートークン認証情報ファイルを仕込み、偵察行動を捕捉します
- 🪪 [IAM](https://github.com/prismorsec/prismor/blob/main/docs/iam.md) は、複数のエージェントがワークスペースを共有する際に、各エージェントに名前付き ID と最小権限の許可プロファイルを与えます
- 🧩 [Framework Agents](https://github.com/prismorsec/prismor/blob/main/docs/frameworks-overview.md) は、本番エージェント（OpenAI Agents SDK、Python と JS の LangChain/LangGraph、CrewAI、browser-use、Pydantic AI、AutoGen Core、Agno、Semantic Kernel、Google ADK、BeeAI、Claude Agent SDK、Vercel AI SDK、Mastra）を 1 回の呼び出しでガードします — 各リクエストを `use_subject("user:alice")` でラップすれば、マルチテナントエージェントはユーザーごとの帰属、ユーザーごとの IAM プロファイル、ユーザーごとの一時停止を得られます
- 🎯 [Scoped Agent](https://github.com/prismorsec/prismor/blob/main/docs/scoped-agent.md) はセッションごとに最小限のタスク固有ルールを合成し、注入されたタスク外へのピボットがブロックされるようにします
- 🧬 [Learning](https://github.com/prismorsec/prismor/blob/main/docs/learning.md) はセッション履歴をマイニングして新しいルールを提案し、誤検知にフラグを立て、回避を検出します
- ⚖️ [Layered Policy & Exemptions](https://github.com/prismorsec/prismor/blob/main/docs/policy-layers-and-exemptions.md) はルールごとの observe/enforce、上書き不可のフロア、org / project / repo レイヤーにわたる管理者付与の期間限定免除を扱います
- 🔐 [明示的な enforce 選択とアンロックウィンドウ](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md#choosing-what-blocks) — enforce セットアップは何もブロックしない状態から始まり、あなたがセットを選びます。`prismor allow` は狭い例外を作り、`prismor unlock` はエージェントがポリシーを編集できる（Prismor 自体を守る自己保護ルールは決して編集できない）パスワードで保護された期間限定のウィンドウを開きます
- 📡 [Live Telemetry](https://github.com/prismorsec/prismor/blob/main/docs/live-telemetry.md) はオプションのエンタープライズコントロールプレーンリンクを扱います — デバイス登録、署名済みリモートポリシー、セルフホストの org ダッシュボードにストリーミングされる秘匿化済みテレメトリ
- 🔌 [Telemetry Sinks](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-sinks.md) はすべての所見を、あなたがすでに運用しているもの — OpenTelemetry コレクタ（OTLP/HTTP ログ）、Splunk HEC、Datadog、syslog、webhook、または JSON/CEF/OCSF のローカルファイル — に転送します。ブロッキング決定の前にディスパッチされ、ツール呼び出しを停滞させることは決してできません
- 📊 [Dashboard](https://github.com/prismorsec/prismor/blob/main/docs/dashboard.md) はターミナルとローカル Web ダッシュボード、およびセッションフォレンジックを扱い、`prismor tokens` がセッションのコンテキストとトークン消費が実際にどこへ行ったかを分解します
- 🩺 [Health and Recovery](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md) — `prismor doctor` はすべてのサブシステム（フック、ポリシー署名、登録、テレメトリシンク、チェーン状態）をヘルスチェックし、`prismor pause` / `pause-hard` はインシデント中に人間のために*強制のみ*を一時停止し、observe モードのログは動き続けます
- 🧾 [Signed Audit Trail](https://github.com/prismorsec/prismor/blob/main/docs/audit-trail.md) はすべてのエージェントアクションをローカルでハッシュチェーン化し Ed25519 署名するため、`prismor trail verify` は履歴が編集、削除、書き換えされていないことを証明します
- 🔖 [Signed Telemetry Receipts](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-receipts.md) はデバイスが報告するレコードのワイヤスキーマです — 正規バイト、2 つの完全性レイヤー、依存関係のない参照検証器により、SIEM や監査人が Prismor なしでレシートを検証できます
- 📑 [Attestation Bundle](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md) はポスチャ、エージェントインベントリ、ホストディスカバリ、フレームワーク制御カバレッジ（OWASP LLM/Agentic、NIST AI RMF、EU AI Act）、およびトレイルアンカーを 1 つの Ed25519 署名済みファイルにパッケージ化し、監査人が `prismor attest verify` で再検証します
- 🔦 [Host Discovery](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md#host-discovery) は `prismor discover` でマシンをスイープし、Prismor フックなしで動いている AI エージェント（シャドウ AI）にフラグを立てます
- ⏪ [Transcript Ingest](https://github.com/prismorsec/prismor/blob/main/docs/transcript-ingest.md) は Prismor がインストールされる*前に*エージェントが何をしたかを再構築します — `prismor ingest --discover` はディスク上のセッショントランスクリプトをライブポリシーエンジンで再生するため、ダッシュボードは初日から populated され、ルールを enforce に切り替えると何がブロックされたかを正確に確認できます。さらに監視なしで実行されたセッション用の `--coverage` もあります
- 🗺️ [Agentic AI Architecture Review](https://github.com/prismorsec/prismor/blob/main/docs/agentic-architecture-review.md) はマルチエージェント/ツール使用システムの設計時チェックリストです — 権限スコープ、メモリ完全性、エージェント間信頼、人間の監督の配置 — 各項目は実際の制御 ID にマッピングされ、存在する場合はそれをバックストップする Prismor ルールにもマッピングされます
- 🐳 [Docker and Containers](https://github.com/prismorsec/prismor/blob/main/docs/docker.md) はコンテナハードニング、前提条件、既知の制限を扱います

すべての機能にわたる完全なコマンドマップ: [CLI Reference](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md)。

これらの機能は [OWASP Top 10 for LLM Applications](https://genai.owasp.org/llm-top-10/) に対応します — プロンプトインジェクション（LLM01）、機密情報の開示（LLM02）、サプライチェーン（LLM03）、不適切な出力処理（LLM05）、過剰なエージェンシー（LLM06）をカバーします。

---

## シナリオとユースケース<a name="scenarios-and-use-cases" />

それらを機能させるコマンドと設定を伴う実際のワークフロー — observe モードでのチームのオンボーディング、マルチエージェントおよびフレームワークパイプライン向けのユーザーごとの IAM 帰属、シャドウ AI ディスカバリ、高リスク操作のためのステップアップ承認、コンプライアンス監査用の署名済みアテステーションバンドルの生成。[USE_CASES.md](https://github.com/prismorsec/prismor/blob/main/USE_CASES.md) を参照してください。

---

## 設定<a name="configuration" />

### コマンドリファレンス

完全なコマンドマップ: [docs/cli-reference.md](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md)。

### ガバナンスモード

`prismor setup` は、6 つのポリシー軸を手動で設定する代わりに、1 つのポスチャを選ぶよう求めます。それぞれが `.prismor/policy.yaml` にコンパイルされます — 強制、egress、ツールアクセス、タグルール、サンドボックス、データ境界が一体となって。

![Prismor governance modes](https://raw.githubusercontent.com/prismorsec/prismor/main/assets/prismor-modes.png)

| モード | 対象 | カバレッジ | 摩擦 |
|---|---|---|---|
| `dev-safe` | 読んでいないコードの機能開発 | 31% | 9% |
| `trusted-workspace` | 信頼された内部リポジトリ、ローカル Docker 作業 | 34% | 9% |
| `regulated-airgap` | PII/PHI、SOC 2、EU AI Act — ネットワークなし、シェルなし | 100% | 90% |```bash
prismor mode list                            # compare the three
prismor mode explain dev-safe                # the trade, including what it does NOT stop
prismor mode apply dev-safe                  # compile it into this workspace
prismor mode apply regulated-airgap --observe   # what it would block, blocking nothing

### 単一のポリシーエンジン、あらゆる強制適用面

ステージ1には複数の入口があり、それは意図的なものです。単一の介在ポイントですべてのエージェントをカバーできるものはありません。フックは最も広範囲ですが、すべてのホストが提供しているわけではありません。MCPは、一部のエージェントをそもそも傍受できる唯一の場所です。本番環境のフレームワークエージェントは、フックをかけるホストが存在しない場所で動作します。

そこで各サーフェスは、見たものを1つの正規イベントに正規化し、同じ評価器に判定を求めます。一度書かれたルールは、どのように届いても同じアクションをカバーします。

| サーフェス | 統制対象 | 拒否 | 入力の書き換え | 出力の秘匿化 |
|---|---|:--:|:--:|:--:|
| コーディングエージェントフック | エージェントのツールサーフェス全体 | はい | Claude/Qwen | いいえ |
| MCPゲートウェイ | 1つのコネクタ背後のすべてのMCPサーバー | はい | はい | はい |
| ミラーリングされた組み込み機能 | エージェント自身のBash/Read/Write、MCP経由 | はい | はい | はい |
| フレームワークSDKアダプタ | インプロセスエージェント（13フレームワーク） | はい | いいえ | いいえ |
| `prismor eval-server` | 非Python呼び出し元、外部プロキシ | はい | はい | はい |
| 推論フックチャネル | ホスト型トランスクリプトターンWebhook | はい | いいえ | いいえ |

「出力の秘匿化」こそがミラーが存在する理由です。アクション前のフックはファイル読み取りを*拒否*することしかできませんが、レスポンスを運ぶサーフェスは、認証情報をマスクした状態でファイルを返すことができます。

これは主張ではなく検証されています — `tests/test_surface_conformance.py` は、1つのアクションを各サーフェス自身のノーマライザーを通して再生し、判定またはルールについて不一致があれば失敗します。

イベントの形状と判定の語彙については[決定コントラクト](https://github.com/prismorsec/prismor/blob/main/docs/decision-contract.md)を、エージェントごとにどのサーフェスを使うべきかについては[ガバナンスサーフェス](https://github.com/prismorsec/prismor/blob/main/docs/governance-surfaces.md)を参照してください。

---

## 選りすぐりの機能の解説<a name="selected-capabilities-walked-through" />

[機能](#capabilities)から3つのモジュールを、セットアップ、出力、結果とともに紹介します。

### ハイブリッド意味論的プロンプトインジェクション防御<a name="hybrid-semantic-prompt-injection-defense" />

正規表現ルールは既知のインジェクションパターンを捕捉します。意味論的ガードは意図を認識する層を追加します。ヒューリスティックな事前スクリーニングが明白なケースを1ms未満で処理し、不確実な入力はLLMジャッジへエスカレーションされ、どちらの場合でも判定を握ります — 正規表現が半分しか捉えられなかった言い換え攻撃を確認し、権威主張シグナルに引っかかった無害なテキストをクリアにします。800以上のケースでテスト済み — 偽陽性を増やすことなく**再現率+30%**、正規表現を回避する言い換えやファイル内インジェクションを含みます。

![Semantic Guard Results](https://assets.kitploit.com/production/public/readmes/13903/a32297d3549c5ff60690c8dca14490f1d53a17a253d912bcb2187414dea3d018.png)

ジャッジはすでにお持ちのログインで動作します — APIキーは不要です。`prismor setup` はその**LLM judge**ステップで尋ねます。スクリプト化すると:```bash
prismor setup --non-interactive --judge claude   # Claude Code CLI, your Claude login
prismor setup --non-interactive --judge codex    # Codex CLI, your ChatGPT login
prismor setup --non-interactive --judge api --judge-model gpt-4o-mini   # any litellm model + key

git clone https://github.com/yourusername/mcp-scanner.git
cd mcp-scanner
pip install -r requirements.txt

# インストール済みのすべてのMCPサーバーをスキャン
python mcp_scanner.py

# 特定の設定ファイルをスキャン
python mcp_scanner.py --config /path/to/config.json

# 詳細出力でスキャン
python mcp_scanner.py --verbose

# JSON形式で出力
python mcp_scanner.py --format json

# 特定の重大度しきい値でスキャン
python mcp_scanner.py --severity high

usage: mcp_scanner.py [-h] [--config CONFIG] [--verbose] [--format {text,json}]
                      [--severity {low,medium,high,critical}] [--output OUTPUT]

MCPサーバーセキュリティスキャナー

オプション:
  -h, --help            このヘルプメッセージを表示して終了します
  --config CONFIG       スキャンする特定の設定ファイル
  --verbose, -v         詳細出力を有効にします
  --format {text,json}  出力形式（デフォルト: text）
  --severity {low,medium,high,critical}
                        報告する最小重大度レベル
  --output OUTPUT       出力をファイルに書き込みます

MCPサーバーセキュリティスキャン結果
=====================================

検出されたサーバー: 3

[1] filesystem-server
    コマンド: npx -y @modelcontextprotocol/server-filesystem /home/user
    リスクレベル: MEDIUM
    検出結果:
      - [MEDIUM] 過度に許可されたファイルシステムアクセス
        パス: /home/user
        推奨事項: アクセスを特定のディレクトリに制限してください

[2] github-server
    コマンド: npx -y @modelcontextprotocol/server-github
    リスクレベル: HIGH
    検出結果:
      - [HIGH] 環境変数にハードコードされた認証情報
        変数: GITHUB_TOKEN
        推奨事項: シークレット管理システムを使用してください

[3] custom-server
    コマンド: python /path/to/server.py --debug
    リスクレベル: CRITICAL
    検出結果:
      - [CRITICAL] デバッグモードが有効
        推奨事項: 本番環境ではデバッグモードを無効にしてください
      - [HIGH] 認証なし
        推奨事項: 認証を実装してください

スキャン完了: 3件のサーバー、5件の検出結果

name: MCPセキュリティスキャン

on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]

jobs:
  security-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      
      - name: Pythonのセットアップ
        uses: actions/setup-python@v4
        with:
          python-version: '3.10'
      
      - name: MCPスキャナーの実行
        run: |
          python mcp_scanner.py --severity high --format json --output results.json
      
      - name: 結果のアップロード
        uses: actions/upload-artifact@v3
        if: always()
        with:
          name: mcp-scan-results
          path: results.json

{
  "scan_paths": [
    "~/.config/mcp",
    "./mcp.json"
  ],
  "exclude_patterns": [
    "*.test.json",
    "test-*"
  ],
  "severity_threshold": "medium",
  "custom_rules": [
    {
      "name": "カスタムルール",
      "pattern": "dangerous-pattern",
      "severity": "high",
      "message": "危険なパターンが検出されました"
    }
  ]
}

## 主な機能

- **自動スキャン**: 指定されたディレクトリを再帰的にスキャンし、すべての `.md` ファイルを検出します。
- **包括的な検出**: プロンプトインジェクション、データ漏洩、コマンド実行、難読化、サプライチェーン攻撃など、10 のカテゴリにわたる 40 以上の検出ルール。
- **エンタープライズグレードの検出**: 隠しテキスト、ゼロ幅文字、Unicode タグ、HTML コメント、Base64 エンコードされたペイロード、ホモグリフ攻撃を検出します。
- **リスクスコアリング**: 重大度に基づく重み付けスコアリング（0～100）と明確なリスクレベル（CRITICAL、HIGH、MEDIUM、LOW、SAFE）。
- **複数の出力形式**: ターミナル、JSON、Markdown、SARIF 形式での出力。
- **CI/CD 統合**: 設定可能なしきい値に基づく終了コードにより、パイプラインのゲートとして使用可能。
- **カスタムルール**: 独自の検出ルールを定義するための YAML 設定ファイル。
- **ゼロ依存**: 純粋な Python 標準ライブラリのみ。外部依存なし。

## インストール

```bash
# ソースからインストール
git clone https://github.com/yourusername/skill-scan.git
cd skill-scan
pip install -e .

# または直接実行
python skill_scan.py /path/to/skills

# ディレクトリをスキャン
skill-scan ./skills

# 単一ファイルをスキャン
skill-scan ./SKILL.md

# 詳細出力
skill-scan ./skills --verbose

# ターミナル出力（デフォルト）
skill-scan ./skills

# JSON 出力
skill-scan ./skills --format json

# Markdown レポート
skill-scan ./skills --format markdown --output report.md

# SARIF 出力（GitHub Code Scanning 用）
skill-scan ./skills --format sarif --output results.sarif

# リスクスコアが 50 以上の場合に失敗
skill-scan ./skills --fail-on 50

# 重大な検出が存在する場合に失敗
skill-scan ./skills --fail-on critical

# カスタムルール設定を使用
skill-scan ./skills --config custom-rules.yaml

# スキャン設定
scan:
  exclude_patterns:
    - "*.test.md"
    - "node_modules/**"
  max_file_size: 1048576  # 1MB

# カスタムルール
rules:
  - id: "CUSTOM-001"
    name: "Custom Detection"
    severity: "HIGH"
    pattern: "dangerous-pattern"
    description: "Detects dangerous pattern"
    category: "custom"

# 出力設定
output:
  format: "terminal"
  verbose: false
  show_safe: false

name: Skill Security Scan

on: [push, pull_request]

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Set up Python
        uses: actions/setup-python@v5
        with:
          python-version: '3.11'

      - name: Install skill-scan
        run: pip install -e .

      - name: Run security scan
        run: skill-scan ./skills --format sarif --output results.sarif --fail-on 50

      - name: Upload SARIF
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: results.sarif

security-scan:
  stage: test
  script:
    - pip install -e .
    - skill-scan ./skills --format json --output report.json --fail-on 50
  artifacts:
    reports:
      json: report.json

🔍 Skill Security Scanner v1.0.0
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

📄 Scanning: ./skills/example/SKILL.md

⚠️  Found 3 issues:

  [CRITICAL] PROMPT-001: Instruction Override
  Line 42: "Ignore all previous instructions and..."
  → Attempts to override system instructions

  [HIGH] EXFIL-003: SSH Key Access
  Line 78: "cat ~/.ssh/id_rsa"
  → Attempts to read SSH private keys

  [MEDIUM] OBFUSC-002: Zero-Width Characters
  Line 95: Detected 12 zero-width characters
  → Hidden text may contain malicious instructions

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
📊 Summary:
  Files scanned: 1
  Issues found: 3
  Risk score: 70/100
  Risk level: CRITICAL

❌ Scan failed: Risk score 70 exceeds threshold 50

判定: `< 30` 許可 · `30–59` 警告 · `≥ 60` ブロック。IOC 一致は常にブロック。パッケージマネージャーをエイリアス化して、すべてのインストールを自動的にゲートする。

`prismor supplychain harden` はロックダウン設定を `.npmrc` / `.yarnrc.yml` / `pip.conf` / `.cargo/config.toml` に書き込み、エイリアスがバイパスされた場合（CI、IDE プラグイン）でもパッケージマネージャーがそれらを強制するようにする。```bash
prismor supplychain harden           # apply to current directory
prismor supplychain harden --dry-run

`--scope` のデフォルトは `project` です。**プロジェクトスコープとユーザースコープは異なるファイルを編集します** — `--scope user` のみを実行してもワークスペースのローカルフックには*触れず*、その逆も同様です:

| エージェント | プロジェクトスコープ | ユーザースコープ |
|---|---|---|
| Claude Code | `<workspace>/.claude/settings.json` | `~/.claude/settings.json` |
| Cursor | `<workspace>/.cursor/hooks.json` | `~/.cursor/hooks.json` |
| Windsurf | `<workspace>/.windsurf/hooks.json` | `~/.codeium/windsurf/hooks.json` |
| OpenClaw | `<workspace>/.openclaw/plugins.json` | `~/.openclaw/config.json` |
| Hermes | `<workspace>/.hermes/plugins.json` | `~/.hermes/config.json` |
| Codex | `<workspace>/.codex/hooks.json` | `~/.codex/hooks.json` |
| Copilot | `<workspace>/.github/copilot/hooks.json` | `~/.copilot/hooks.json` |
| Grok Build | `<workspace>/.grok/hooks/prismor.json` | `~/.grok/hooks/prismor.json` |
| Kiro CLI | `<workspace>/.kiro/agents/kiro_default.json` | `~/.kiro/agents/kiro_default.json` |
| Crush | `<workspace>/crush.json` | `~/.config/crush/crush.json` |
| OpenHands | `<workspace>/.openhands/hooks.json` | `~/.openhands/hooks.json` |
| Qwen Code | `<workspace>/.qwen/settings.json` | `~/.qwen/settings.json` |
| Continue CLI | `<workspace>/.continue/settings.json` | `~/.continue/settings.json` |
| Goose | `<workspace>/.agents/plugins/prismor/hooks/hooks.json` | `~/.agents/plugins/prismor/hooks/hooks.json` |

片方のスコープのみを実行した場合、もう片方のフック（インストールされている場合）は発火し続けます。エージェントから Prismor を完全に排除したい場合は、両方を実行してください。

実行中のセッションはすでにフック設定を読み込んでいます — セッションの途中でアンインストールしても、新しいセッションを開始するまで効果はありません。

`prismor uninstall-hooks` が成功を報告してもフックがまだ発火している場合、古いインストールを実行している可能性が高いです — 例えば、開発チェックアウトの古いスナップショットである `pipx` インストール版などです。`which immunity` を確認し、それが `pipx` の venv 内を指している場合は、アンインストールを再実行する前に現在のソースから再インストールしてください（`pipx install --force <path-or-package>`）。最後の手段として、フック設定ファイルを直接手で編集してください。

### 2. ソフト無効化: オブザーブモード + ドライラン

フックはインストールしたまま、ブロックを停止させます:```bash
prismor install-hooks --agent all --scope project --mode observe
PRISMOR_LOCAL_DRY_RUN=1   # set in your shell/session env