geiger

Счётчик Гейгера для ИИ-агентов.

Одна команда только для чтения, которая составляет опись всех ИИ-агентов, обвязок, MCP-серверов, плагинов и ИИ-расширений на машине — и простым языком сообщает, к чему каждое из них имеет доступ.

npx geiger-scan

Без установки. Без аккаунта. Без телеметрии. Читает конфиги и каталоги, ничего не записывает (если только вы не попросите --json yourfile.json).

Зачем это нужно

В августе 2026 года одна обвязка для агентов с открытым исходным кодом прошла путь от нуля до более чем 200 000 звёзд на GitHub за три недели. Её экосистема плагинов за тот же период превысила 13 000 репозиториев. Клиенты для десктопа с установкой в один клик появились в день запуска. Карусели в Instagram теперь учат офисных работников устанавливать всё это.

Каждая такая установка — это программа, которая может выполнять команды, читать файлы и хранить учётные данные, настроенная в dot-файлах, на которые никто не смотрит дважды. Задайте себе вопрос, на который отвечает этот инструмент: что на самом деле работает на этой машине и к чему оно имеет доступ? Большинство людей не могут ответить. Теперь это одна команда.

Как выглядит сканирование

  GEIGER  ·  a Geiger counter for AI agents
  machine dev-laptop  ·  2026-09-06 12:24 UTC  ·  read-only · no telemetry
  ──────────────────────────────────────────────────────────────

  9 findings across 3 ecosystems  ·  7 can execute code  ·  1 credential in config files

  claude-code  (6)
    Claude Code  agent
      [EXECUTES] [BROAD-FILESYSTEM] [NETWORK]
      origin: registry · @anthropic-ai/claude-code
    magic (Claude Code · global)  MCP server
      [EXECUTES] [HOLDS-SECRETS] [BROAD-FILESYSTEM]
      origin: registry · @21st-dev/magic@latest
      credential: "API_KEY" — opaque value under a credential-named key · ~/.claude.json
      note: wrapped by a policy agent (domainguard-agent.exe) — enforcement layer in front of the server
    hooks: UserPromptSubmit, PreToolUse  hook
      [EXECUTES]
      note: hooks execute without a prompt each time their event fires
  ...

Реальный вывод с реальной машины (значения отредактированы — см. ниже).

Что он обнаруживает

Каждая находка получает: что это, откуда взялось (реестр, магазин, git, локальный скрипт, удалённый сервер — или UNKNOWN-ORIGIN), что оно может делать (EXECUTES, HOLDS-SECRETS, BROAD-FILESYSTEM, BROAD-WEB, NETWORK) и путь к доказательству, чтобы вы могли проверить вручную.

Geiger также распознаёт политики-обёртки (агенты, которые ставят слой контроля перед MCP-серверами) и сообщает об обоих слоях, вместо того чтобы прятать реальный сервер за обёрткой.

Три обещания

1. Только чтение. Единственная запись, которую когда-либо выполняет geiger, — это файл --json, который вы явно указали.
2. Никакой телеметрии. Ничего не покидает вашу машину. Нет эндпоинта, куда что-либо можно отправить. (Это также означает, что мы понятия не имеем, сколько людей этим пользуются — на что мы согласны.)
3. Секреты только по форме. Когда в конфиге найдено значение, похожее на учётные данные, geiger сообщает имя ключа, файл и то, на какой тип секрета это похоже — но никогда ни одной части значения. По всему выводу проходит этап редактирования как дополнительный уровень защиты, и это проверяется набором тестов.

Использование

npx geiger-scan                        scan, print the report
npx geiger-scan --html report.html     self-contained HTML report with per-finding
                                       "what to do" remediation guidance
npx geiger-scan --json out.json        machine-readable findings (schemaVersion 1)
npx geiger-scan --path D:\repo1 --path E:\repo2
                                       also scan these project directories for
                                       project-level agent and MCP configs
npx geiger-scan --home C:\Users\other  scan a different home root (another user
                                       profile, a mounted image)
npx geiger-scan --strict               exit 2 if anything can execute code or
                                       holds secrets
npx geiger-scan --diff baseline.json   compare against an earlier --json
                                       snapshot: what appeared, disappeared,
                                       or escalated since then

Сигнал дрейфа: после того как вы проверили машину, сохраните базовый снимок (--json baseline.json) и поставьте geiger-scan --strict --diff baseline.json в cron или CI. Он завершается с кодом 2 только когда что-то новое может выполнять код или хранить секреты — постоянная, уже проверенная опись молчит. Та же ментальная модель, что и у lock-файла: принять то, что есть, и подавать сигнал при изменениях.

Нет npm? npx github:Atomburstofficial/geiger запускается прямо из репозитория.

Как выглядят отчёты

Прежде чем что-либо запускать, посмотрите, что именно вы получите: пример HTML-отчёта и пример вывода JSON лежат в этом репозитории, сгенерированные из тестового набора данных — синтетические данные, обобщённые пути, учётные данные показаны только по форме (как всегда). HTML-отчёт:

Каждая находка, требующая действий, сопровождается рекомендациями простым языком — в виде строк fix: в терминале и блоков «What to do» в HTML-отчёте.

Схема для парка машин (MSP, ИТ): запускайте с --json на каждой машине по расписанию (задача RMM или скрипт входа в систему, записывающий %COMPUTERNAME%.json в общую папку), храните базовый снимок каждой машины и позволяйте --diff сообщать о дрейфе по каждой машине. Схема версионирована и стабильна. Geiger никогда не звонит домой — JSON-файлы перемещаются только туда, куда вы их положите.

Ограничения

Изложены сразу, потому что сканер, которому вы слишком доверяете, хуже, чем отсутствие сканера:

• Geiger читает известные расположения конфигов. Агенты, установленные по нестандартным путям, в других учётных записях, контейнерах или WSL (со стороны Windows), не видны.
• Он читает конфигурацию, а не поведение во время выполнения. Он не может сказать, что плагин на самом деле сделал — только то, что позволяет его положение.
• Он не может судить, является ли пакет вредоносным — только откуда он взялся и к чему имеет доступ. Источник ≠ надёжность.
• Частично разбираемые форматы (конфиги TOML) сканируются по форме и помечаются пониженной уверенностью, а не пропускаются.
• Экосистема, которую проверяет этот инструмент, меняется еженедельно. Детекторы управляются данными и намеренно малы — см. CONTRIBUTING.md, чтобы добавить свой.

FAQ

Это аудит безопасности? Нет. Это опись с честными метками экспозиции — то, что нужно до того, как любой аудит будет что-то значить.

Почему я должен доверять бесплатному сканеру компании по безопасности? Прочитайте его. Это несколько сотен строк JavaScript без зависимостей, и то, что опубликовано, — это то, что выполняется: релизы публикуются из GitHub Actions с npm provenance, так что страница npm несёт подписанную ссылку на точный публичный коммит, из которого собрана каждая версия.

Что мне делать с тем, что он находит? По отдельности: удалите то, что не узнаёте, смените учётные данные, которым не место в конфигах. В компании: это применение политик, а это уже другой продукт — DomainGuard — так организации ставят слой политик перед этой поверхностью. Geiger в любом случае остаётся бесплатным и автономным.

Лицензия

MIT · создано Atomburst · ноль зависимостей во время выполнения, без этапа сборки — исходник, который вы читаете, и есть выполняемый код.