适用于 Claude Code · Codex CLI · Antigravity (agy) · GitHub Copilot CLI · Gemini CLI · Cursor · Windsurf · VSCode · Claude Desktop · Opencode · Pi · Hermes Agent · 任何 MCP 服务器。

Node9 的功能

• 🔍 发现 — 扫描过去每一次 AI 会话，查找凭据泄露、代理循环、被阻止的操作，以及代理当前可触及的磁盘上的每一个秘密
• 🛡 保护 — 在危险命令运行前进行审查或阻止——rm -rf、git push --force、DROP TABLE、凭据读取、curl | bash、AWS/GitHub/Stripe 密钥泄露
• 📊 审查 — 按时间段生成报告（今天 / 本周 / 本月 / 90 天）——每个代理的成本、最常用的工具、触发的防护、爆炸半径

回溯扫描

这是我自己的机器——构建 Node9 期间的 90 天。得分 25/100，AI 代理当前可触及 5 个凭据文件。```bash npx node9-ai scan # before installation, runs in ~10s, nothing uploads node9 scan # after installation, same output

发现结果按谁能修复它们分组：🔒 是 node9 能减少的（只需运行命令）和 🧱 是只有你能修复的。每项都附带通俗易懂的“是什么 / 为什么 / 谁”说明以及实际修复建议——例如，“代理在主机上无沙箱运行”这一发现直接指向 node9 sandbox run（见下文）。```text 🛡️ Node9 Posture — agent on this host Score: 100/100 (Good) 2 advisories below don't affect the score — OS-level exposure, yours to weigh.

🟢 node9 is already protecting you ✅ Secrets node9 DLP is blocking this ✅ Egress node9 egress is approval-gating this ✅ Approval gate node9 is blocking this ✅ Privilege node9 is approval-gating this

🔒 node9 reduces these — run the command, the rest is yours ⚠️ Isolation Running directly on the host — no container The agent runs loose on your whole machine, not in a sandbox. → node9 sandbox run — jail it: kernel egress + scoped mounts + node9 inside → node9 shield enable project-jail — or shrink the blast radius, keep host access ⚠️ Network exposure 4 services on 0.0.0.0 (node :3000/:4000, PostgreSQL :5432, Redis :6379) Reachable from your whole network, not just this laptop. → node9 shield enable postgres|redis — node9 blocks DROP TABLE / FLUSHALL → bind to 127.0.0.1 / firewall the port (your part)

✅ Supply chain no issues found ✅ Coverage no issues found

Track this across your fleet & keep it green → node9.ai

（未提供输入内容。请补充需要翻译的 Markdown 文本。）```text 🛡️ node9 scan-repo · node9-ai/agent-security-demo · ⚠️ agent-security risk found inspected 2 config file(s), 2 finding(s)

🔴 CRITICAL Injectable agent workflow — untrusted input reaches a tool-using agent with secrets .github/workflows/vulnerable-example.yml · CI-2 • runs with base-repo secrets (pull_request_target) • checks out the untrusted PR head into the workspace root • allowed_non_write_users: "*" — any user can trigger the agent • no effective actor gate

🔴 CRITICAL Exfiltratable secrets reachable by an injectable agent .github/workflows/vulnerable-example.yml · CI-4 • agent has arbitrary shell (bare Bash) → can read env and exfiltrate

Marketplace: node9 Agent Security

正在使用它？在你的 README 中添加 scanned by node9 徽章。

实时监控

Node9 监控仪表盘

node9 monitor 会打开一个交互式终端仪表盘，包含两个视图：

• [1] 实时 — 实时活动、审批、安全警报、当前风险评分
• [2] 报告 — 周期窗口汇总：成本、热门工具、触发的防护、爆炸半径

报告

在监控界面按 [2] 可查看周期窗口汇总。使用 [T]oday（今日）· [W]eek（本周）· [M]onth（本月）· [N]inety（九十天）切换窗口 — 面板与上述扫描相同，数据来自你的安装后审计日志。

Node9 监控 [2] 报告

or via npm (any platform)

npm install -g node9-ai

需要 Node.js 18+。

单独使用 init 即可获得完整的本地强制执行：规则、防护盾、DLP 和审批全部离线运行，就在这台机器上。

login 的作用是将这台机器接入你的仪表盘。它会打印一个代码，打开浏览器，然后你在那里审批这台机器；如果你还没有账户，在流程中注册后，会带着相同的代码返回到同一个审批页面。在你运行它之前，所有内容都在本地强制执行，但不会传送到 Mission Control，因此仪表盘保持为空。

node9 logout 可再次断开机器连接。它会吊销该机器的密钥；本地强制执行会继续运行。

防护盾 — 精选规则包

每个防护盾都是针对某个服务或领域的一套精选规则。只启用你需要的即可。

• 团队设置： 当配置了云/团队审批人（approvers.cloud: true）时，审查将路由到该审批人，而不是节点9——节点9不会让内联的自审批绕过路由/第二方审批。

沙箱——在隔离环境中运行代理

当仅监控不够时，node9 sandbox 会在一个一次性容器中运行代理，该容器具有内核强制的出口允许列表和作用域挂载——而节点9的钩子会治理并审计盒子内部的每一次工具调用。这是硬性保护版本：代理只能访问你挂载的文件夹并到达你允许的主机；其他一切都在内核层面被丢弃。```bash cd ~/my-project node9 sandbox new # write node9.sandbox.yaml — what to mount + which hosts to allow node9 sandbox run # build + boot the jailed agent (your project at /workspace) node9 sandbox tail # watch the agent's actions live, from the host

或者直接运行 node9 init —— 它会自动包装你现有的 MCP 服务器。