악성 npm 및 pip 패키지가 설치되기 전에 차단합니다.
이미 사용 중인 패키지 매니저를 위한 심층 방어.

왜 PMG인가?

개발자와 AI 코딩 에이전트는 매일 패키지를 설치합니다. 모든 npm install 또는 pip install은 아무도 검토하지 않는 수천 줄의 코드를 실행합니다.

인기 생태계에서 발생한 최근 침해 사례:

• Mini Shai-Hulud - 300개 이상의 인기 패키지가 손상됨
• litellm 1.82.8 - 인기 AI 프록시 라이브러리가 자격 증명을 유출하도록 손상됨
• telnyx 4.87.2 - 합법적인 통신 SDK가 PyPI에서 탈취됨
• pino-sdk-v2 - 인기 pino 로거로 위장한 오타 스쿼트 패키지

PMG는 무료이며 오픈 소스(Apache 2.0)이고, 계정이나 API 키가 필요 없습니다. 모든 패키지 설치를 가로채서 코드가 실행되기 전에 SafeDep의 무료 커뮤니티 API를 통해 알려진 악성코드를 확인합니다. 한 번 설치하면 이후의 모든 npm install, pip install, poetry add를 보호합니다.

PMG 작동 방식

PMG는 심층 방어 접근 방식을 취합니다. 설정이 필요 없으며 Zsh, Bash, Fish에서 작동하고, 각 설치는 코드가 실행되기 전에 활성화된 보호 계층을 통과하며, 이후 감사 추적도 제공합니다.

PMG 비교

PMG는 개발자와 AI 에이전트를 모두 보호하고 샌드박싱과 쿨다운을 기본 제공하는 유일한 무료 오픈 소스 설치 시점 패키지 방화벽입니다.

빠른 시작

1. 설치

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

Homebrew, npm 및 기타 설치 방법은 설치를 참조하세요.

2. 설정

패키지 매니저를 가로채도록 PMG를 셸에 연결합니다.

pmg setup install
# 변경 사항을 적용하려면 터미널을 다시 시작하세요

팁: PMG 업그레이드 후 pmg setup install을 다시 실행하여 새 구성 옵션을 적용하세요.

Linux 전체 사용자 / 골든 이미지: sudo pmg setup install --system — docs/system-install.md 참조.

설치를 검증하고 보호가 작동하는지 확인합니다:

pmg setup doctor

선택 사항: PMG는 실행 시 패키지 매니저에 주입하는 즉석 CA로 HTTPS 트래픽을 검사합니다. 여러 실행에 걸쳐 단일 CA를 유지하고 OS 신뢰 저장소에 신뢰하려면(CA 환경 변수를 무시하는 도구, 예: macOS 및 Windows의 Go에 필요), 한 번 설치하세요:

root@kitploit:~

pmg setup cert install          # 사용자 범위, sudo 불필요
pmg setup cert status           # 신뢰 상태 및 만료 확인

범위, 교체 및 제거는 인증 기관을 참조하세요.

3. 사용

PMG가 위협을 차단하는 모습을 확인합니다.

npm install --no-cache --prefer-online [email protected]

참고: safedep-test-pkg는 테스트 및 검증 목적으로 SafeDep 데이터베이스에서 악성으로 표시된 무해한 테스트 패키지입니다.

평소처럼 패키지 매니저를 계속 사용하거나 AI 코딩 에이전트가 실행하도록 하세요. PMG가 경로에 위치하여 악성 패키지를 차단합니다.

npm install express
# 또는
pip install requests

지원되는 패키지 매니저

PMG는 이미 사용 중인 도구를 지원합니다:

설치

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

brew tap safedep/tap
brew install safedep/tap/pmg

npm install -g @safedep/pmg

# $(go env GOPATH)/bin이 $PATH에 있는지 확인하세요
go install github.com/safedep/pmg@latest

# 최신 이미지 가져오기 (또는 버전 태그 고정, 예: :v1.2.3)
docker pull ghcr.io/safedep/pmg:latest

# 모든 pmg 명령 실행
docker run --rm ghcr.io/safedep/pmg:latest version

GitHub Actions

한 단계로 CI 워크플로를 보호하세요. PMG는 작업의 모든 npm install, pip install 등을 분석합니다.

- uses: safedep/pmg@v1
  with:
    server-mode: true

# HTTP_PROXY를 통해 자동으로 가로채짐
- run: npm ci

- name: PMG 정책 적용
  if: always()
  run: pmg proxy stop --fail-on-violation   # 데몬 중지, 차단 시 작업 실패

기본적으로 악성코드 차단과 의존성 쿨다운을 제공합니다. 샌드박스 격리는 sandbox 입력을 통해 선택적으로 활성화됩니다. 입력(paranoid, sandbox, cooldown-days, ...)으로 동작을 조정하거나 config-file을 저장소의 YAML 파일로 지정하세요. 전체 참조는 docs/github-action.md를 참조하세요.

제거

셸 통합 제거:

pmg setup remove

PMG 구성 파일도 제거하려면:

pmg setup remove --config-file

그런 다음 PMG 자체를 제거합니다:

# Homebrew
brew uninstall safedep/tap/pmg

# NPM
npm uninstall -g @safedep/pmg

신뢰 및 보안

PMG 빌드는 재현 가능하며 서명됩니다.

• 증명(Attestations): GitHub 및 npm 증명이 아티팩트 무결성을 보장합니다.
• 검증: 바이너리가 소스 코드와 일치함을 암호학적으로 증명할 수 있습니다.
• 검증 단계는 PMG 신뢰를 참조하세요.

사용자 가이드

• 구성
• 신뢰 패키지 구성
• 의존성 쿨다운
• 캐싱
• 프록시 모드 아키텍처
• 영구 프록시 서버
• 인증 기관
• 샌드박싱

지원

PMG가 나쁜 패키지로부터 여러분을 보호했다면, 이 저장소에 스타를 남겨주세요. 다른 사람들이 찾는 데 도움이 됩니다.

기여

기여를 환영합니다. 빌드 및 테스트 지침은 CONTRIBUTING.md를 참조하세요.

모든 기여자에게 감사드립니다 ❤️

텔레메트리

PMG는 익명 사용 데이터를 수집합니다. 비활성화하려면 다음 중 하나를 수행하세요:

• PMG 구성 파일에 disable_telemetry: true 설정, 또는
• PMG_DISABLE_TELEMETRY=true 내보내기.