Clawndom: Um Gancho de Segurança para o Código Claude para Bloquear Pacotes npm Vulneráveis
Um desenvolvedor lançou o Clawndom, uma ferramenta de segurança de código aberto para o Claude Code que aborda preocupações sobre agentes de IA instalarem pacotes npm vulneráveis. A ferramenta foi criada em resposta a incidentes de segurança como o ataque axios, que destacou riscos incluindo instalação de malware, uso não autorizado de chaves de API, envio de código comprometido e danos à reputação.
Como o Clawndom Funciona
O Clawndom implementa um hook no Claude Code que se conecta ao OSV.dev, um banco de dados de vulnerabilidades de código aberto apoiado pelo Google. Quando um agente tenta instalar um pacote, o hook verifica automaticamente no banco de dados do OSV. Pacotes limpos passam silenciosamente, enquanto pacotes vulneráveis acionam um alerta onde o agente é informado sobre por que o pacote é inseguro e solicitado a selecionar uma versão mais segura.
Detalhes Principais de Implementação
- O hook é executado no lado do servidor contra o OSV.dev, impedindo que os agentes "alucinem" para contornar vulnerabilidades
- Os custos de token são insignificantes, pois é executado como um hook em vez de uma chamada de ferramenta
- A abordagem bloqueia milhares de pacotes conhecidamente ruins no npm, embora não capture ataques de dia zero
- Mantém a autonomia do agente sem exigir que os desenvolvedores supervisionem cada instalação ou desativem recursos de pular permissões
Contexto de Fundo
O desenvolvedor observa que o npm raramente remove pacotes com vulnerabilidades conhecidas, deixando-os instaláveis apesar dos problemas de segurança. Isso cria riscos particulares com agentes de IA que podem instalar pacotes sem a devida verificação. A ferramenta aborda a tensão entre preocupações de segurança e a manutenção da funcionalidade autônoma que torna os agentes valiosos.
Disponibilidade
O código completo está disponível no GitHub em https://github.com/reid1b/Clawndom. Os desenvolvedores podem copiar a implementação diretamente ou pedir que seus agentes examinem e implementem.
📖 Read the full source: r/ClaudeAI
👀 See Also
PolyRange: Benchmark de IA Ofensiva Resistente a Contaminação com Alvos Gerados por LLM
PolyRange v1.0 é um benchmark auto-hospedável sob licença MIT que gera novos alvos web a cada execução para evitar contaminação de dados de treinamento. Inclui 84 classes derivadas do WSTG em todas as categorias OWASP, duas camadas de defesa e backends reais.
Sieve: Scanner Secreto Local para Históricos de Chat de Ferramentas de Codificação de IA
Sieve escaneia históricos de conversas do Cursor, Claude Code, Copilot e outros assistentes de codificação com IA em busca de chaves de API e tokens vazados. Toda a varredura é local, com ocultação e cofre do macOS Keychain.
OpenObscure: Firewall de Privacidade de Código Aberto para Agentes de IA em Dispositivos
OpenObscure é um firewall de privacidade de código aberto e no dispositivo que fica entre agentes de IA e provedores de LLM. Ele usa Criptografia de Preservação de Formato FF1 com AES-256 para criptografar valores de PII antes que as solicitações saiam do seu dispositivo, mantendo a estrutura dos dados enquanto protege a privacidade.
Sistema de IA Descobre 12 Vulnerabilidades Zero-Day no OpenSSL, Curl Cancela Programa de Recompensas por Bugs Devido a Spam de IA
O sistema de IA da AISLE descobriu todas as 12 vulnerabilidades de dia zero na recente atualização de segurança do OpenSSL, marcando a primeira demonstração em grande escala de cibersegurança baseada em IA. Enquanto isso, o curl cancelou seu programa de recompensa por bugs devido a envios de spam gerados por IA.