引言“AI Agent 偶尔会运行灾难性的命令——rm -rf ./src、git reset --hard、DROP TABLE users——瞬间销毁数小时未提交的工作。”这是每日一个开源项目系列的第160篇文章。今天的主角是Destructive Command Guarddcg——一个在 AI 编程 Agent 执行危险命令之前拦截它的 Rust 钩子工具。你可能遇到过这种场景让 Claude Code 清理临时文件结果它用rm -rf删了整个 src 目录或者让它重置一个 Git 状态结果git reset --hard把你两小时的未提交工作全部删光。这不是 AI 模型变傻了而是 AI Agent 对破坏性的理解和人类不同——它知道命令会做什么但可能低估了在你当前具体状态下的代价。dcg 的解决方案在命令执行之前加一道门把已知的危险模式拦下来把决策权还给用户。你将学到什么dcg 的四阶段处理流水线如何在亚毫秒内完成拦截判断上下文感知的关键设计为什么grep rm -rf不该被拦截50 安全规则包的覆盖范围Heredoc 扫描如何处理python -c os.remove()这类隐式命令三种绕过方式bypass的设计Claude Code 的 PreToolUse 钩子集成前置知识日常使用 Claude Code、Cursor 或类似 AI 编程工具了解基本的 shell 命令和 Git 操作有过 AI Agent 执行危险操作的直接或间接经历更容易理解这个工具的价值项目背景项目简介Destructive Command Guarddcg是一个挂载在 AI 编程 Agent 的命令执行钩子上的防护工具用 Rust 实现以PreToolUse钩子的形式接入 Claude Code 等工具的执行流程。命令在被执行之前先经过 dcg 的过滤如果命令匹配到已知的危险模式dcg 输出拦截信息命令不执行如果判断是安全的命令正常执行延迟小于 1 毫秒。作者介绍Jeffrey Emanuel最初的 Python 概念扩展了 Rust 实现规则包系统、Heredoc 扫描、上下文分类Darin Gordon初始 Rust 移植和性能优化License: MIT项目数据⭐ GitHub Stars:4,400 Forks: 165 License: MIT 语言: RustEdition 2024nightly四阶段处理流水线每一个命令从 Agent 发出到实际执行都要经过这四步AI Agent 想执行一个命令 ↓ Stage 1: JSON 解析 接收 PreToolUse 钩子的 JSON 负载 提取命令字符串 无效负载 → fail-open不拦截直接放行 ↓ Stage 2: 命令规范化 /usr/bin/git → git /opt/homebrew/bin/python3 → python3 消除绝对路径带来的误判 ↓ Stage 3: 快速过滤 SIMD 加速的子字符串扫描 快速跳过 99% 的安全命令 触发可疑关键词 → 进入完整分析 ↓ Stage 4: 模式匹配 先检查允许列表安全模式 再检查拒绝列表危险模式 拒绝 → 输出拦截信息 给出替代建议 允许 → 命令正常执行 总延迟 1ms设有 200ms 绝对超时超时则 fail-openFail-open 设计原则当 dcg 自身出现错误解析失败、超时、未预期的 panic时它选择放行命令而不是拦截。这保证了 dcg 本身不会因为出现 bug 而卡住你的工作流——安全防护是附加价值不能变成一个新的故障点。默认开启的保护安装后无需配置以下保护立即生效core.filesystem永久开启不可关闭拦截临时目录之外的危险删除操作# 会被拦截rm-rf./srcrm-rf~/Documentsfind.-name*.js-delete# 不会被拦截合理操作rm-rf/tmp/build_cacherm/tmp/test_output.logcore.git默认开启拦截会破坏提交历史或丢失未提交工作的 Git 操作# 会被拦截gitreset--hardHEAD~5# 丢失未提交改动gitpush--force# 覆盖远端历史gitclean-fd# 删除未追踪文件gitrebase--root# 重写整个历史# 拦截提示示例# ════════════════════════════════════════════════# BLOCKED dcg# ────────────────────────────────────────────────# Reason: git reset --hard destroys uncommitted changes# Command: git reset --hard HEAD~5# Tip: Consider using git stash first.# ════════════════════════════════════════════════system.disk默认开启拦截磁盘级别的危险操作# 会被拦截mkfs.ext4 /dev/sdaddif/dev/zeroof/dev/sdbfdisk/dev/sda上下文感知最关键的设计dcg 必须区分命令字符串出现在数据上下文和命令字符串在执行上下文# 这些不应该被拦截greprm -rfREADME.md# 搜索字符串不是执行命令cat~/.bashrc|grepreset# 查看配置不是执行echonever run: rm -rf /# 输出字符串# 这些应该被拦截rm-rf./important_dir$(rm-rf/)# 命令替换中的危险命令gitreset--hard# 反引号执行context classification 模块通过分析命令的语义角色是作为参数传递给 grep/echo/cat还是作为独立可执行命令来做这个判断。Heredoc 和内联代码扫描这是很多同类工具做不到的能力扫描传递给解释器的内联代码# 这类攻击会被扫描到python-cimport os; os.remove(/etc/passwd)python-cimport shutil; shutil.rmtree(./src)bash-crm -rf /var/log/*node-erequire(fs).rmdirSync(./dist, {recursive: true})# Heredoc 形式python3EOF import os os.remove(/important/file) EOFdcg 使用 tree-sitter 和 ast-grep 解析这些内联代码找出其中的危险操作而不只是做简单的字符串匹配。50 可选安全规则包默认保护之外可以按需启用数据库[packs] db.postgres true # DROP TABLE, TRUNCATE, DELETE without WHERE db.mysql true db.mongodb true db.redis true # FLUSHALL, FLUSHDB db.sqlite trueKubernetesk8s.kubectl true # delete namespace, force delete pods k8s.helm true # helm delete, helm rollback云服务cloud.aws true # s3 rm --recursive, ec2 terminate-instances cloud.gcp true cloud.azure trueDockercontainers.docker true # docker rm -f, docker system prune -aTerraformiac.terraform true # terraform destroy, terraform state rm拦截示例# db.redis 启用后会拦截redis-cli FLUSHALL# 清空整个 Redis 实例redis-cli FLUSHDB# 清空当前数据库三种绕过方式dcg 不是无法绕过的它的设计目标是增加摩擦而不是完全阻止方式一单命令绕过临时DCG_BYPASS1gitreset--hardHEAD~5环境变量只对这一次执行生效下次同样的命令还是会被拦截。方式二一次性豁免dcg allow-oncecode# code 来自拦截提示里的授权码适合需要执行一次特定操作的场景不影响以后的拦截规则。方式三永久允许列表dcg allowlistaddgit reset --hard HEAD# 允许这个特定命令dcg allowlistaddrm -rf ./dist# 允许清理构建目录写入配置文件永久生效。集成 Claude Code# 一键安装easy-mode 自动配置 Claude Code 钩子curl-fsSLhttps://raw.githubusercontent.com/Dicklesworthstone/destructive_command_guard/main/install.sh?$(date%s)|bash-s-- --easy-mode这会在 Claude Code 的配置里注册PreToolUse钩子之后每次 Claude Code 准备执行命令时都先经过 dcg 过滤。手动配置~/.claude/settings.json{hooks:{PreToolUse:[{matcher:Bash,hooks:[{type:command,command:dcg}]}]}}CI 扫描模式除了实时拦截dcg 还有一个scan命令用于扫描已提交到仓库里的危险命令# 扫描当前仓库里的危险命令dcg scan ./# 扫描特定文件类型dcg scan ./--include*.sh,*.yml,Dockerfile,Makefile扫描器理解执行上下文Dockerfile 中的RUN rm -rf /var/cache/*合理在构建层GitHub Actions workflow 中的- run: kubectl delete namespace prod值得关注Makefile 中的clean: rm -rf ./dist合理明确意图shell 脚本中的rm -rf $TMPDIR需要检查 TMPDIR 是否有意外值项目地址与资源GitHub: Dicklesworthstone/destructive_command_guard安装install.sh --easy-mode总结Destructive Command Guard 解决的是 AI 编程工具普及带来的一个新风险AI Agent 在执行任务时的操作范围和权限比以前的自动化工具大得多它会真的运行 shell 命令、操作文件系统、执行 Git 操作。一个误判可能造成的损失比以前随便运行一个命令严重得多。dcg 的设计哲学是增加摩擦而不是完全阻止它不阻止你做任何事只是在危险操作之前加了一个确认步骤。Fail-open 设计保证它自己不会成为故障点。上下文感知和 Heredoc 扫描保证误报率足够低不会在你正常工作时不断打扰你。50 安全规则包的覆盖面说明这个工具超越了保护 rm -rf这个朴素需求把数据库、Kubernetes、云服务等生产级别的危险操作都纳入了防护范围。对于已经在用 Claude Code 或类似工具做日常开发的工程师装一个 dcg 的成本极低提供的安全边际却值得拥有。探索 PrimeSkills —— 精选 AI Agent 与技能的市场每一个都经过真实企业工作流验证去掉浮夸留下真正有用的。欢迎访问我的个人主页发现更多有价值的见解和有趣的产品。
