Security audit
Security checks for vulnerabilities and agentic risk
This safety guard has confirmed detection bypasses and can run a configured external checker even when you explicitly disable it.
Review before relying on this as a safety gate. Keep independent host permissions and approval checks until command parsing and verifier disablement are fixed. Remove verifier settings from configuration rather than relying on --no-verifier. Check the JSON allowed field because exit 1 can represent a strict-policy denial. Select the intended installation directory, pin a reviewed package version, and protect audit logs containing command excerpts. External verifier behavior and host enforcement were not verified.
scripts/yotta_guardian.pyShell-wrapped compound commands bypass dangerous-command analysis
A host relying on this gate can execute destructive commands without the expected denial or authorization escalation. Actual damage remains limited by the host process's filesystem permissions and independent host controls; the guardian itself does not execute the command.
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
安全修复：复合命令拆分，堵住分隔符后的危险段绕过。
- 背景：v0.1.5 只解决了包装命令（`sh -c` / `sudo` / `env` …）绕过，整条命令仍只按第一个词做 argv 分析——`echo ok && rm -rf /`、`ls; rm -rf /`、`true || rm -rf /` 里的危险段藏在分隔符之后，整条命令被判放行（本轮复现）。
- 修复：新增受控复合命令拆分（`;` `&&` `||` `|` `&` 换行，引号 / 转义内不拆）+ 命令替换展开（`$(...)` / 反引号），逐段跑同一套文本 / argv 规则；放行规则只对单一简单命令生效；引号未闭合时出 `CMD-UNPARSED`（medium，fail-closed）。
- 安装器加固：拒绝对符号链接目标写入、目标不是目录时拒绝、不做整目录删除。
- 回归：新增 11 项复合命令用例，测试 83/83 通过。
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
- 背景：此前 argv 级规则只看命令第一个词（`argv[0]`）。`bash -c "…"`、`cmd /c "…"`、
`powershell -Command "…"`、`sudo …`、`env …`、`nohup …`、`timeout 5 …` 这类包装会把真正的
动词藏在内层，导致包装后的危险命令被判为放行（例：裸 `rm -rf /` 拒绝，`bash -c "rm -rf /"` 却放行）。
- 修复：新增受控解包层（`_unwrap_argv` / `_shell_inner` / `_strip_wrapper`）——
识别 shell（sh/bash/zsh/dash/ksh/ash/busybox/cmd/powershell/pwsh）、提权与环境包装
（sudo/doas/env/nohup/setsid/stdbuf/nice/ionice/time/xargs/timeout/command/builtin/exec/chroot），
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
python3 scripts/yotta_guardian.py check exec --cmd "git status"
# Check a dangerous command (denied by default, exit code 3)
python3 scripts/yotta_guardian.py check exec --cmd "rm -rf /"
# Check a write (writing /etc/passwd is denied)
python3 scripts/yotta_guardian.py check write --path /etc/passwd --content "..."
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
python3 scripts/yotta_guardian.py check exec --cmd "git status"
# 检查危险命令（默认拒绝，退出码 3）
python3 scripts/yotta_guardian.py check exec --cmd "rm -rf /"
# 检查写操作（写入 /etc/passwd 被拒）
python3 scripts/yotta_guardian.py check write --path /etc/passwd --content "..."
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
python3 scripts/yotta_guardian.py check exec --cmd "git status"
# 检查危险命令（默认拒绝，退出码 3）
python3 scripts/yotta_guardian.py check exec --cmd "rm -rf /"
# 检查写操作
python3 scripts/yotta_guardian.py check write --path /etc/passwd --content "..."
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
安全修复：复合命令拆分，堵住分隔符后的危险段绕过。
- 背景：v0.1.5 只解决了包装命令（`sh -c` / `sudo` / `env` …）绕过，整条命令仍只按第一个词做 argv 分析——`echo ok && rm -rf /`、`ls; rm -rf /`、`true || rm -rf /` 里的危险段藏在分隔符之后，整条命令被判放行（本轮复现）。
- 修复：新增受控复合命令拆分（`;` `&&` `||` `|` `&` 换行，引号 / 转义内不拆）+ 命令替换展开（`$(...)` / 反引号），逐段跑同一套文本 / argv 规则；放行规则只对单一简单命令生效；引号未闭合时出 `CMD-UNPARSED`（medium，fail-closed）。
- 安装器加固：拒绝对符号链接目标写入、目标不是目录时拒绝、不做整目录删除。
- 回归：新增 11 项复合命令用例，测试 83/83 通过。
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
安全修复：复合命令拆分，堵住分隔符后的危险段绕过。
- 背景：v0.1.5 只解决了包装命令（`sh -c` / `sudo` / `env` …）绕过，整条命令仍只按第一个词做 argv 分析——`echo ok && rm -rf /`、`ls; rm -rf /`、`true || rm -rf /` 里的危险段藏在分隔符之后，整条命令被判放行（本轮复现）。
- 修复：新增受控复合命令拆分（`;` `&&` `||` `|` `&` 换行，引号 / 转义内不拆）+ 命令替换展开（`$(...)` / 反引号），逐段跑同一套文本 / argv 规则；放行规则只对单一简单命令生效；引号未闭合时出 `CMD-UNPARSED`（medium，fail-closed）。
- 安装器加固：拒绝对符号链接目标写入、目标不是目录时拒绝、不做整目录删除。
- 回归：新增 11 项复合命令用例，测试 83/83 通过。
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
安全修复:复合命令拆分,堵住分隔符后的危险段绕过。
- 背景:v0.1.5 只解决了包装命令(`sh -c` / `sudo` / `env` ...)绕过,整条命令仍只按第一个词做 argv 分析——`echo ok && rm -rf /`、`ls; rm -rf /`、`true || rm -rf /` 里的危险段藏在分隔符之后,整条命令被判放行(本轮复现)。
- 修复:新增受控复合命令拆分(`;` `&&` `||` `|` `&` 换行,引号 / 转义内不拆)+ 命令替换展开(`$(...)` / 反引号),逐段跑同一套文本 / argv 规则;放行规则只对单一简单命令生效;引号未闭合时出 `CMD-UNPARSED`(medium,fail-closed)。
- 安装器加固:拒绝对符号链接目标写入、目标不是目录时拒绝、不做整目录删除。
- 回归:新增 11 项复合命令用例,测试 83/83 通过。
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
安全修复：复合命令拆分，堵住分隔符后的危险段绕过。
- 背景：v0.1.5 只解决了包装命令（`sh -c` / `sudo` / `env` …）绕过，整条命令仍只按第一个词做 argv 分析——`echo ok && rm -rf /`、`ls; rm -rf /`、`true || rm -rf /` 里的危险段藏在分隔符之后，整条命令被判放行（本轮复现）。
- 修复：新增受控复合命令拆分（`;` `&&` `||` `|` `&` 换行，引号 / 转义内不拆）+ 命令替换展开（`$(...)` / 反引号），逐段跑同一套文本 / argv 规则；放行规则只对单一简单命令生效；引号未闭合时出 `CMD-UNPARSED`（medium，fail-closed）。
- 安装器加固：拒绝对符号链接目标写入、目标不是目录时拒绝、不做整目录删除。
- 回归：新增 11 项复合命令用例，测试 83/83 通过。
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
安全修复：复合命令拆分，堵住分隔符后的危险段绕过。
- 背景：v0.1.5 只解决了包装命令（`sh -c` / `sudo` / `env` …）绕过，整条命令仍只按第一个词做 argv 分析——`echo ok && rm -rf /`、`ls; rm -rf /`、`true || rm -rf /` 里的危险段藏在分隔符之后，整条命令被判放行（本轮复现）。
- 修复：新增受控复合命令拆分（`;` `&&` `||` `|` `&` 换行，引号 / 转义内不拆）+ 命令替换展开（`$(...)` / 反引号），逐段跑同一套文本 / argv 规则；放行规则只对单一简单命令生效；引号未闭合时出 `CMD-UNPARSED`（medium，fail-closed）。
- 安装器加固：拒绝对符号链接目标写入、目标不是目录时拒绝、不做整目录删除。
- 回归：新增 11 项复合命令用例，测试 83/83 通过。
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
- 背景：此前 argv 级规则只看命令第一个词（`argv[0]`）。`bash -c "…"`、`cmd /c "…"`、
`powershell -Command "…"`、`sudo …`、`env …`、`nohup …`、`timeout 5 …` 这类包装会把真正的
动词藏在内层，导致包装后的危险命令被判为放行（例：裸 `rm -rf /` 拒绝，`bash -c "rm -rf /"` 却放行）。
- 修复：新增受控解包层（`_unwrap_argv` / `_shell_inner` / `_strip_wrapper`）——
识别 shell（sh/bash/zsh/dash/ksh/ash/busybox/cmd/powershell/pwsh）、提权与环境包装
（sudo/doas/env/nohup/setsid/stdbuf/nice/ionice/time/xargs/timeout/command/builtin/exec/chroot），
Tool calls are chained to bypass individual safety checks or escalate capabilities beyond what any single tool call would allow.
安全修复：复合命令拆分，堵住分隔符后的危险段绕过。
- 背景：v0.1.5 只解决了包装命令（`sh -c` / `sudo` / `env` …）绕过，整条命令仍只按第一个词做 argv 分析——`echo ok && rm -rf /`、`ls; rm -rf /`、`true || rm -rf /` 里的危险段藏在分隔符之后，整条命令被判放行（本轮复现）。
- 修复：新增受控复合命令拆分（`;` `&&` `||` `|` `&` 换行，引号 / 转义内不拆）+ 命令替换展开（`$(...)` / 反引号），逐段跑同一套文本 / argv 规则；放行规则只对单一简单命令生效；引号未闭合时出 `CMD-UNPARSED`（medium，fail-closed）。
- 安装器加固：拒绝对符号链接目标写入、目标不是目录时拒绝、不做整目录删除。
- 回归：新增 11 项复合命令用例，测试 83/83 通过。
Tool calls are chained to bypass individual safety checks or escalate capabilities beyond what any single tool call would allow.
安全修复：复合命令拆分，堵住分隔符后的危险段绕过。
- 背景：v0.1.5 只解决了包装命令（`sh -c` / `sudo` / `env` …）绕过，整条命令仍只按第一个词做 argv 分析——`echo ok && rm -rf /`、`ls; rm -rf /`、`true || rm -rf /` 里的危险段藏在分隔符之后，整条命令被判放行（本轮复现）。
- 修复：新增受控复合命令拆分（`;` `&&` `||` `|` `&` 换行，引号 / 转义内不拆）+ 命令替换展开（`$(...)` / 反引号），逐段跑同一套文本 / argv 规则；放行规则只对单一简单命令生效；引号未闭合时出 `CMD-UNPARSED`（medium，fail-closed）。
- 安装器加固：拒绝对符号链接目标写入、目标不是目录时拒绝、不做整目录删除。
- 回归：新增 11 项复合命令用例，测试 83/83 通过。
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
- 背景:此前 argv 级规则只看命令第一个词(`argv[0]`)。`bash -c "..."`、`cmd /c "..."`、
`powershell -Command "..."`、`sudo ...`、`env ...`、`nohup ...`、`timeout 5 ...` 这类包装会把真正的
动词藏在内层,导致包装后的危险命令被判为放行(例:裸 `rm -rf /` 拒绝,`bash -c "rm -rf /"` 却放行)。
- 修复:新增受控解包层(`_unwrap_argv` / `_shell_inner` / `_strip_wrapper`)——
识别 shell(sh/bash/zsh/dash/ksh/ash/busybox/cmd/powershell/pwsh)、提权与环境包装
(sudo/doas/env/nohup/setsid/stdbuf/nice/ionice/time/xargs/timeout/command/builtin/exec/chroot),
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
- 背景：此前 argv 级规则只看命令第一个词（`argv[0]`）。`bash -c "…"`、`cmd /c "…"`、
`powershell -Command "…"`、`sudo …`、`env …`、`nohup …`、`timeout 5 …` 这类包装会把真正的
动词藏在内层，导致包装后的危险命令被判为放行（例：裸 `rm -rf /` 拒绝，`bash -c "rm -rf /"` 却放行）。
- 修复：新增受控解包层（`_unwrap_argv` / `_shell_inner` / `_strip_wrapper`）——
识别 shell（sh/bash/zsh/dash/ksh/ash/busybox/cmd/powershell/pwsh）、提权与环境包装
（sudo/doas/env/nohup/setsid/stdbuf/nice/ionice/time/xargs/timeout/command/builtin/exec/chroot），
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
- 背景：此前 argv 级规则只看命令第一个词（`argv[0]`）。`bash -c "…"`、`cmd /c "…"`、
`powershell -Command "…"`、`sudo …`、`env …`、`nohup …`、`timeout 5 …` 这类包装会把真正的
动词藏在内层，导致包装后的危险命令被判为放行（例：裸 `rm -rf /` 拒绝，`bash -c "rm -rf /"` 却放行）。
- 修复：新增受控解包层（`_unwrap_argv` / `_shell_inner` / `_strip_wrapper`）——
识别 shell（sh/bash/zsh/dash/ksh/ash/busybox/cmd/powershell/pwsh）、提权与环境包装
（sudo/doas/env/nohup/setsid/stdbuf/nice/ionice/time/xargs/timeout/command/builtin/exec/chroot），
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
YottaMeta 自有实现首版（护栏/拦截方向参考开源社区同类技能思路，已完全重写，零依赖）：
- **零依赖自研引擎**（scripts/yotta_guardian.py，Python 3.8+ 标准库）：确定性规则引擎 + 可插拔意图验证，对 exec / write / edit / read / run / shell 工具调用做安全评估。
- **四层规则**：文本模式（下载即执行 / 编码执行 / 反向 shell / 系统文件追加）+ argv 级动词/目标分析（rm / dd / mkfs / chmod / chown / 提权 / 防火墙 / 服务 / 持久化 / 反向 shell）+ 敏感路径（/etc 核心文件、/boot、/dev、SSH 授权、Windows 系统目录与 hosts、注册表启动项等）+ 写入内容（私钥 / 密钥令牌）。
- **三档策略**：default（拒绝 high+）/ strict（拒绝 medium+）/ loose（仅拒绝 critical）；放行规则（--allow / --allow-path）可降级 high，critical 不可覆盖。
- **可插拔意图验证（不绑模型）**：默认零依赖；--heuristic 内置本地启发式；--verifier / 配置文件外接任意验证器（stdin/stdout JSON 协议）。
- **审计**：JSONL 审计日志 + audit 子命令（--tail / --denied / --since / --tool / --json）。
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
## Core value
- **Deterministic rule engine** — text patterns (download-and-run / encoded execution / reverse shell) + argv-level verb/target analysis (rm / dd / mkfs / chmod / chown / privilege escalation / firewall / services / persistence) + sensitive paths + written content: four stacked layers of rules.
- **Sensitive-path guard** — writes to /etc/passwd, /etc/sudoers, SSH authorized keys, /boot, /dev devices, Windows system directories and hosts, and registry startup entries are denied.
- **Pluggable intent verification (no model required)** — zero-dependency by default; optional built-in local heuristics (--heuristic), or any external intent verifier via a stdin/stdout JSON protocol (--verifier / config file).
- **Three policies** — default (deny high+), strict (deny medium+), loose (deny critical only), chosen per scenario.
Tool parameters are crafted to achieve unintended or unsafe behavior. Parameter abuse can bypass intended safety checks (e.g. shell=True, --force, dangerous glob patterns).
## 核心价值
- **确定性规则引擎**：文本模式（下载即执行 / 编码执行 / 反向 shell 等）+ argv 级动词/目标分析（rm / dd / mkfs / chmod / chown / 提权 / 防火墙 / 服务 / 持久化等）+ 敏感路径 + 写入内容，四层规则叠加判定。
- **敏感路径守卫**：/etc/passwd、/etc/sudoers、SSH 授权文件、/boot、/dev 设备、Windows 系统目录与 hosts、注册表启动项等写入即拒。
- **可插拔意图验证（不绑模型）**：默认零依赖；可启用内置本地启发式（--heuristic），也可通过 stdin/stdout JSON 协议外接任意意图验证器（--verifier / 配置文件）。
- **三档策略**：default（拒绝 high+）/ strict（拒绝 medium+）/ loose（仅拒绝 critical），按场景取舍。
Code accesses credential files (SSH keys, AWS credentials, etc.). This could indicate credential theft attempts.
## Core value
- **Deterministic rule engine** — text patterns (download-and-run / encoded execution / reverse shell) + argv-level verb/target analysis (rm / dd / mkfs / chmod / chown / privilege escalation / firewall / services / persistence) + sensitive paths + written content: four stacked layers of rules.
- **Sensitive-path guard** — writes to /etc/passwd, /etc/sudoers, SSH authorized keys, /boot, /dev devices, Windows system directories and hosts, and registry startup entries are denied.
- **Pluggable intent verification (no model required)** — zero-dependency by default; optional built-in local heuristics (--heuristic), or any external intent verifier via a stdin/stdout JSON protocol (--verifier / config file).
- **Three policies** — default (deny high+), strict (deny medium+), loose (deny critical only), chosen per scenario.
- **Audit trail** — JSONL audit log + audit query subcommand; every allow / deny is traceable.
Code accesses credential files (SSH keys, AWS credentials, etc.). This could indicate credential theft attempts.
# Check a dangerous command (denied by default, exit code 3)
python3 scripts/yotta_guardian.py check exec --cmd "rm -rf /"
# Check a write (writing /etc/passwd is denied)
python3 scripts/yotta_guardian.py check write --path /etc/passwd --content "..."
# Batch pre-check (the agent hands the pending call list to the guardrail before running)
Code accesses credential files (SSH keys, AWS credentials, etc.). This could indicate credential theft attempts.
## 核心价值
- **确定性规则引擎**：文本模式（下载即执行 / 编码执行 / 反向 shell 等）+ argv 级动词/目标分析（rm / dd / mkfs / chmod / chown / 提权 / 防火墙 / 服务 / 持久化等）+ 敏感路径 + 写入内容，四层规则叠加判定。
- **敏感路径守卫**：/etc/passwd、/etc/sudoers、SSH 授权文件、/boot、/dev 设备、Windows 系统目录与 hosts、注册表启动项等写入即拒。
- **可插拔意图验证（不绑模型）**：默认零依赖；可启用内置本地启发式（--heuristic），也可通过 stdin/stdout JSON 协议外接任意意图验证器（--verifier / 配置文件）。
- **三档策略**：default（拒绝 high+）/ strict（拒绝 medium+）/ loose（仅拒绝 critical），按场景取舍。
- **审计留痕**：JSONL 审计日志 + audit 查询子命令，拒绝/放行全程可追溯。
Code accesses credential files (SSH keys, AWS credentials, etc.). This could indicate credential theft attempts.
# 检查危险命令（默认拒绝，退出码 3）
python3 scripts/yotta_guardian.py check exec --cmd "rm -rf /"
# 检查写操作（写入 /etc/passwd 被拒）
python3 scripts/yotta_guardian.py check write --path /etc/passwd --content "..."
# 批量预检（agent 在执行前把待执行调用列表交给护栏）
Code accesses credential files (SSH keys, AWS credentials, etc.). This could indicate credential theft attempts.
## 何时使用
- 代理要执行高风险命令：递归删除系统路径、磁盘格式化（mkfs / fdisk / dd 写设备）、提权（chmod 全权限 / chown 系统路径 / 账户管理）、防火墙改动（iptables 清空 / ufw disable / netsh 关闭）、反向 shell（netcat 执行 / bash /dev/tcp）、下载即执行（curl / wget 管道交给 shell）等；
- 代理要写入系统敏感路径（/etc/passwd、/etc/sudoers、SSH 授权文件、Windows hosts / 系统目录、注册表启动项）或修改系统配置；
- 需要在执行危险操作前做一次确定性安全检查（gate），并留下审计记录。
**Do NOT trigger**：
Code accesses credential files (SSH keys, AWS credentials, etc.). This could indicate credential theft attempts.
r"(?i)(?:>>|>)\s*[^\n;]{0,60}/etc/sudoers",
"向 sudoers 写入内容（提权持久化）", 92),
TextRule("CMD-PASSWD-FILE", "critical", "command", "both",
r"(?i)(?:>>|>)\s*[^\n;]{0,60}/etc/passwd",
"向 passwd 写入内容（账户持久化）", 92),
# ── 凭据外传 / 危险读取 ──────────────────────────────────────────────