safedep/pmg

解決する課題

Package Manager Guard (PMG) は、ソフトウェア開発中の悪意のあるコード実行のリスクに対処します。開発者や AI コーディングエージェントは、npm や pip などのパッケージマネージャーを介して、手動レビューなしで数千行のコードを頻繁にインストールします。PMG は、これらのインストールをインターセプトし、悪意のあるパッケージがシステム上で実行される前にブロックすることで、サプライチェーン攻撃を防ぎます。

仕組み

PMG は、既存のパッケージマネージャーコマンドをラップする透過的なセキュリティレイヤーとして機能します。多層防御戦略を採用しています：

1. 脅威インテリジェンス：既知の悪意のある脅威のリアルタイムデータベースと照らし合わせて、すべてのパッケージをチェックします。
2. 依存関係のクールダウン：最近公開されたパッケージバージョンをブロックし、新しく侵害されたソフトウェアからのリスクを軽減します。
3. サンドボックス化：オプションで、OS ネイティブのサンドボックス（macOS Seatbelt や Linux Landlock など）内でインストールスクリプトを実行し、システムアクセスを制限できます。
4. 監査ログ：セキュリティの可視化のために、すべてのパッケージインストールアクティビティのローカルログを保持します。

対象ユーザー

個人の開発者、セキュリティ意識の高いチーム、および既存のワークフローを変更することなく依存関係管理を安全に自動化する必要がある AI コーディングエージェント向けに設計されています。

ハイライト

• ゼロコンフィグ統合：npm、pip、poetry、uv、cargo などの一般的なパッケージマネージャーとシームレスに連携します。
• 透過的な保護：既存のターミナルコマンドや AI エージェントのワークフローを変更する必要はありません。
• アカウント不要：無料のオープンソースであり、API キーや登録は必要ありません。
• 高度なセキュリティ：高セキュリティ環境向けに、オプションのカーネルレベルの強制実行と OS ネイティブのサンドボックス化が含まれています。