Bloqueie pacotes npm e pip maliciosos antes da instalação.
Defesa em profundidade para os gerenciadores de pacotes que você já usa.

Por que PMG?

Desenvolvedores e agentes de IA que codificam instalam pacotes todos os dias. Cada npm install ou pip install executa milhares de linhas de código que ninguém revisa.

Compromissos recentes em ecossistemas populares:

• Mini Shai-Hulud - mais de 300 pacotes populares comprometidos
• litellm 1.82.8 - uma biblioteca proxy de IA popular comprometida para exfiltrar credenciais
• telnyx 4.87.2 - um SDK legítimo de telecomunicações sequestrado no PyPI
• pino-sdk-v2 - um pacote typosquat disfarçado como o popular logger pino

O PMG é gratuito, open source (Apache 2.0) e não requer conta ou chave de API. Ele intercepta cada instalação de pacote e a verifica na API comunitária gratuita do SafeDep em busca de malware conhecido antes da execução do código. Instale uma vez e ele cobre todo npm install, pip install e poetry add a partir de então.

Como o PMG Funciona

O PMG adota uma abordagem de defesa em profundidade. Zero configuração, funciona em Zsh, Bash e Fish, e cada instalação passa pelas camadas de proteção habilitadas antes da execução do código, além de um rastro de auditoria após.

Como o PMG se Compara

O PMG é o único firewall de pacotes gratuito e open source no momento da instalação que cobre tanto desenvolvedores quanto agentes de IA e já vem com sandbox e cooldown prontos para uso.

Início Rápido

1. Instalar

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

Veja Instalação para Homebrew, npm e outros métodos de instalação.

2. Configurar

Conecte o PMG ao seu shell para que ele intercepte os gerenciadores de pacotes.

pmg setup install
# Reinicie seu terminal para aplicar as alterações

Dica: Execute pmg setup install novamente após atualizar o PMG para obter novas opções de configuração.

Linux para todos os usuários / imagens golden: sudo pmg setup install --system — veja docs/system-install.md.

Valide sua instalação e verifique se a proteção está funcionando:

pmg setup doctor

Opcional: O PMG inspeciona o tráfego HTTPS com uma CA dinâmica que ele injeta nos gerenciadores de pacotes por execução. Para persistir uma única CA entre execuções e confiar nela no repositório de confiança do seu SO (necessário para ferramentas que ignoram variáveis de ambiente de CA, como Go no macOS e Windows), instale-a uma vez:

root@kitploit:~

pmg setup cert install          # escopo do usuário, sem sudo
pmg setup cert status           # verificar estado de confiança e validade

Veja Autoridade Certificadora para escopos, rotação e remoção.

3. Usar

Veja o PMG bloqueando ameaças.

npm install --no-cache --prefer-online [email protected]

Nota: safedep-test-pkg é um pacote de teste benigno sinalizado como malicioso no banco de dados do SafeDep para fins de teste e verificação.

Continue usando seus gerenciadores de pacotes normalmente, ou deixe seu agente de IA executá-los. O PMG fica no caminho, bloqueando pacotes maliciosos.

npm install express
# ou
pip install requests

Gerenciadores de Pacotes Suportados

O PMG suporta as ferramentas que você já usa:

Instalação

curl -fsSL https://raw.githubusercontent.com/safedep/pmg/main/install.sh | sh

brew tap safedep/tap
brew install safedep/tap/pmg

npm install -g @safedep/pmg

# Certifique-se de que $(go env GOPATH)/bin está no seu $PATH
go install github.com/safedep/pmg@latest

# Baixe a imagem mais recente (ou fixe uma tag de versão, ex.: :v1.2.3)
docker pull ghcr.io/safedep/pmg:latest

# Execute qualquer comando pmg
docker run --rm ghcr.io/safedep/pmg:latest version

GitHub Actions

Proteja fluxos de trabalho de CI com uma etapa. O PMG analisa cada npm install, pip install, etc. no job.

- uses: safedep/pmg@v1
  with:
    server-mode: true

# interceptado via HTTP_PROXY automaticamente
- run: npm ci

- name: Aplicar política do PMG
  if: always()
  run: pmg proxy stop --fail-on-violation   # para o daemon, falha o job em caso de bloqueio

Por padrão você obtém bloqueio de malware e cooldown de dependência. Isolamento com sandbox é opt-in via entrada sandbox. Ajuste o comportamento via entradas (paranoid, sandbox, cooldown-days, ...) ou aponte config-file para um YAML no repositório. Veja docs/github-action.md para a referência completa.

Desinstalação

Remova a integração com o shell:

pmg setup remove

Para também remover o arquivo de configuração do PMG:

pmg setup remove --config-file

Em seguida, desinstale o próprio PMG:

# Homebrew
brew uninstall safedep/tap/pmg

# NPM
npm uninstall -g @safedep/pmg

Confiança e Segurança

As builds do PMG são reproduzíveis e assinadas.

• Atestações: Atestações do GitHub e npm garantem a integridade do artefato.
• Verificação: Você pode provar criptograficamente que o binário corresponde ao código fonte.
• Veja Confiança no PMG para etapas de verificação.

Guia do Usuário

• Configuração
• Configuração de Pacotes Confiáveis
• Cooldown de Dependência
• Cache
• Arquitetura do Modo Proxy
• Servidor Proxy Persistente
• Autoridade Certificadora
• Sandbox

Suporte

Se o PMG te salvou de um pacote ruim, dê uma estrela neste repositório. Isso ajuda outras pessoas a encontrá-lo.

Histórico de Estrelas

Contribuindo

Contribuições são bem-vindas. Veja CONTRIBUTING.md para instruções de build e teste.

Obrigado a todos os contribuidores ❤️

Telemetria

O PMG coleta dados de uso anônimos. Para desativar, ou:

• Defina disable_telemetry: true no seu arquivo de configuração do PMG, ou
• Exporte PMG_DISABLE_TELEMETRY=true.