FireAIs sikkerhetsblogg

Av FireAI Security & Research Team · Publisert

Crush-agenten og sikkerhet på Mac: overvåk nettverket med FireAI

Crush-agenten og sikkerhet på Mac: overvåk nettverket med FireAI

Crush er en kodeagent for terminalen fra Charm, selskapet bak en kjent familie av kommandolinjeverktøy. Den spør før den kjører et verktøy, kan bli bedt om å la være, og dokumenterer mer enn én nettverksatferd i README-filen. Det gjør den til et godt eksempel for lesere som søker etter «crush ai agent security mac», «crush nettverkstilgang» eller «er Crush trygt». Denne artikkelen samler det README-filen oppgir, og forklarer deretter hvordan FireAI, en brannmur for macOS fra HisnLabs som kjører på enheten, følger tilkoblingene til ett enkelt kompilert program.

Hva Crush er

Crush utvikles av Charm (charmbracelet på GitHub) og er skrevet i Go. README-filen beskriver den som agentisk kodeprogramvare for terminalen som kobler verktøy, kode og arbeidsflyter til språkmodeller. Den støtter mange leverandører, blant dem OpenAI, Anthropic, Gemini, Ollama og Bedrock, og modellkatalogen holdes oppdatert fra Catwalk, en leverandørdatabase med åpen kildekode. Den kan bruke MCP-servere over stdio, HTTP og SSE, med OAuth for HTTP, og språkservere (LSP-er) for kodekontekst [1].

Slik kjører Crush på macOS

README-filen oppgir brew install charmbracelet/tap/crush, npm install -g @charmland/crush, go install github.com/charmbracelet/crush@latest og ferdigbygde binærfiler for macOS. Fordi det er et Go-program, er prosessen på Mac-en én enkelt kjørbar fil med navnet crush, ikke en tolk som kjører et skript.

Hva det har tilgang til, og hvordan det styres

Som standard ber Crush om tillatelse før den utfører verktøykall. Flagget --yolo hopper over alle spørsmål, og README-filen advarer: «Be very, very careful with this feature.» Tillatelser kan også konfigureres: permissions allow lar navngitte verktøy kjøre uten spørsmål, og permissions deny skjuler verktøy helt for agenten. Konfigurasjonen omfatter leverandører, LSP-er, MCP-er, tillatelser, temaer og skills [2].

Disse kontrollene avgjør hvilke verktøykall som får gå videre. README-filen beskriver ingen tillatelsesliste for nettverket.

Hvor det kobler til

README-filen dokumenterer to atferder som åpner tilkoblinger uten at du blir spurt. For det første samler Crush inn pseudonyme bruksmetadata, og oppgir at prompter og svar aldri samles inn; dette slås av med CRUSH_DISABLE_METRICS=1 eller ved at DO_NOT_TRACK respekteres. For det andre henter den leverandørkatalogen fra Catwalk automatisk, noe som kan slås av med CRUSH_DISABLE_PROVIDER_AUTO_UPDATE=1 og oppdateres manuelt med crush update-providers [2]. Andre destinasjoner avhenger av leverandøren og MCP-serverne du konfigurerer.

Slik følger du Crush med FireAI

FireAI er en brannmur for macOS som kjører på Mac-en. Funksjonen Agentprofil gjenkjenner 19 KI-agenter, lærer hvor hver av dem vanligvis kobler til, og flagger det som er nytt. FireAIs side om Agentprofil oppfører Crush blant kommandolinjeagentene som gjenkjennes ut fra programnavnet. Tilkoblinger fra et program med navnet crush, og fra underprosessene, som et skall, git eller curl, tilskrives Crush.

  • De første 3 dagene lærer FireAI hvilke destinasjoner agenten vanligvis kontakter, gruppert etter domene, slik at api.anthropic.com blir anthropic.com. Ingenting flagges i denne perioden.
  • Etter det flagges den aller første destinasjonen utenfor grunnlinjen for gjennomgang i Forslag, i kortet KI-agenter og i Rask gjennomgang. Sveip til venstre for å blokkere, eller til høyre for «It’s fine».
  • En opplastingstopp flagges også: en time der agenten lastet opp minst 4 ganger så mye som i sin travleste time så langt, og aldri mindre enn 25 MB.
  • FireAI bruker bare metadata, det vil si vertsnavn og antall byte. Det leser aldri innholdet i en tilkobling.

Slik setter du opp FireAI for Crush

  1. Installer FireAI og bruk agenten som vanlig. Læringsperioden på 3 dager starter av seg selv og flagger ingenting.
  2. Åpne Forslag og finn kortet KI-agenter. Etter læringsperioden vises flagg for agenten der og i Rask gjennomgang.
  3. Gå gjennom hvert flagg. Velg Blokker for å opprette en regel for prosessen som koblet til, eller «It’s fine» for å legge destinasjonen til i agentens grunnlinje.
  4. For å holde agenten til stedene den allerede bruker, velger du Agentprofil i menyen for sikkerhetsmodus, ved siden av Hjemme, Kafé, Paranoid og Under angrep. Reglene dine gjelder som i Hjemme, og når agenten er ferdig med å lære, blokkeres en tilkobling til en destinasjon utenfor grunnlinjen i stedet for å bli flagget.
  5. En blokkert destinasjon vises i kortet KI-agenter med Tillat og Behold blokkert. Tillat legger den til i grunnlinjen, og agenten når den med en gang. Behold blokkert oppretter en blokkeringsregel som gjelder i alle moduser.

En tillatelsesregel du har skrevet for et nettsted, et domene eller en adresse, gjelder fortsatt først, og DNS og det lokale nettverket blokkeres aldri. For en agent FireAI ikke har på listen, skriver du en regel for programmet manuelt i regler per app. Modusen Agentprofil krever FireAI 1.0.3 eller nyere, og gjenkjenning av Crush krever 1.0.4.

Begrensninger

  • Miljøvariabler som CRUSH_DISABLE_METRICS endrer hva Crush selv sender. FireAI leser ikke disse innstillingene; det rapporterer bare hvilke verter programmet kontakter og hvor mye det laster opp.
  • Crush gjenkjennes ut fra programnavnet, noe som betyr at den merkes, men ikke verifiseres: Bare Claude Code, Claude og Cursor kontrolleres mot utviklerens signatur.
  • FireAI stopper ikke promptinjeksjon. Det begrenser skaden ved å flagge, og la deg blokkere, veien data ville tatt ut av Mac-en.
  • FireAI kan ikke se prompter, innholdet i MCP-verktøy, filtilgang eller skills. TLS skjuler innholdet, og FireAI befinner seg ikke inne i agenten.
  • Underprosesser som avsluttes svært raskt, kan bli oversett, og de gjenkjennes ut fra sti, ikke signatur.
  • I læringsperioden på 3 dager flagges ingenting, og opplastingstopper flagges, men blokkeres ikke.
  • I modusen Agentprofil matches en tilkobling til en ren IP-adresse uten vertsnavn på adressen, så en ny adresse for en tjeneste agenten vanligvis bruker, blokkeres til du tillater den.

Andre agenter

Den samme tilnærmingen gjelder for alle agenter FireAI gjenkjenner. Se de andre veiledningene: Claude Code, Claude-skrivebordsappen, Cursor, ChatGPT-appen for Mac, OpenAI Codex CLI, OpenClaw, Hermes Agent, Gemini CLI, GitHub Copilot CLI, Amp, Qwen Code, opencode, Aider, Goose, Windsurf, Kiro, Trae, Muse fra Meta, alle andre KI-agenter som kjører på python eller node. Den fullstendige funksjonsbeskrivelsen står på dokumentasjonssiden for Agentprofil, publisert av HisnLabs.

Hvor FireAI og HisnLabs kommer inn

FireAI lærer hvor Crush vanligvis kobler til på din Mac, og flagger en helt ny destinasjon eller en opplastingstopp uten å lese dataene dine.

FireAI er HisnLabs’ eget produkt: en KI-brannmur som kjører direkte på Macen. Den viser hver tilkobling appene dine gjør, i klart språk, og lar deg bestemme hva som forlater Macen din — KI-en kjører lokalt, så trafikken din sendes aldri til oss eller noen andre. HisnLabs’ sikkerhetsforskningsteam er de som holder disse vurderingene pålitelige: de katalogiserer hvilke domener som er vanlig telemetri og hvilke som er en ekte tjeneste, sporer landet og nettverket bak en tilkobling, og trener den lokale modellen (FireAI Pilot-funksjonen) på ekte trafikkmønstre — uten at noe av det forlater Macen din.

Du kan lese om de tekniske valgene bak, eller prøve FireAI i 17 dager, på FireAI, fra HisnLabs.

Kilder