FireAIs sikkerhetsblogg

Av FireAI Security & Research Team · Publisert

Kiro og sikkerhet på Mac: overvåk nettverkstilkoblingene med FireAI

Kiro og sikkerhet på Mac: overvåk nettverkstilkoblingene med FireAI

Kiro er et KI-utviklingsmiljø fra Amazon Web Services. Det planlegger arbeid ut fra spesifikasjoner, kjører en agent som redigerer filer og utfører kommandoer, og når modelltjenester over nettverket. De som søker etter «er Kiro trygt» eller «Kiro nettverkstilgang», vil som regel ha to svar: hva agenten har lov til å gjøre, og hvor dataene går. Begge er delvis dokumentert av leverandøren, og denne artikkelen samler det som er dokumentert, før den viser hvordan du følger tilkoblingene på en Mac med FireAI.

Hva Kiro er, og hvem som lager det

Kiro-dokumentasjonen beskriver det som «an AI-powered development environment that helps you build software from prototype to production», tilgjengelig som IDE, som CLI, på nettet, på mobil (forhåndsversjon) og som Kiro Crew, en autonom agentvariant (Kiro docs). Siden om personvern og sikkerhet oppgir at «Kiro is an AWS application» (Privacy and security). Prosjektinnstillinger ligger i en .kiro/-mappe og synkroniseres på tvers av flatene.

Hva agenten har lov til å gjøre

Kiro dokumenterer et kapabilitetsbasert tillatelsessystem: kapabiliteter som fs_read, shell og web_fetch, hver med virkningen deny, ask eller allow, avgjort slik at «deny > ask > allow» og en deny-regel alltid vinner. Reglene ligger i YAML-filer, på brukernivå i ~/.kiro/settings/permissions.yaml og på arbeidsområdenivå under ~/.kiro/workspace-roots/ (Permissions).

I IDE-en velges grad av autonomi under Settings, Agent, Agent Autonomy. Autopilot lar agenten utføre tillatte operasjoner uten å si fra, og Supervised spør før hver handling. Inntil du stoler på et arbeidsområde, spør Kiro ifølge dokumentasjonen før hver skallkommando starter, selv når en lagret eller vid regel ville tillatt den, slik at en konfigurasjon som følger med i et repositorium, ikke kan omgå godkjenningen.

Databehandling dokumentert av leverandøren

  • Siden om databeskyttelse sier at kommunikasjonen mellom kunder og Kiro, og mellom Kiro og tjenestene det er avhengig av, beskyttes med TLS 1.2 eller nyere, og at data krypteres ved lagring med AWS Key Management Service.
  • Kiro kan behandle innhold på tvers av flere AWS-regioner for å bedre ytelsen. For gratisbrukere og individuelle brukere lagres innholdet i US East (N. Virginia). Kiro kan lagre spørsmål, svar og ytterligere kontekst som kode og metadata om forespørsler (Data protection).
  • FAQ-en oppgir at Kiro ikke samler inn telemetri fra Pro-, Pro+-, Pro Max- eller Power-brukere som logger inn gjennom AWS IAM Identity Center eller en ekstern identitetsleverandør, og at innhold fra brukere på gratisnivå eller med sosial innlogging kan brukes til å forbedre tjenesten med mindre de reserverer seg (FAQ).
  • FAQ-en oppgir en blanding av modeller, blant dem Claude, GPT og alternativer med åpne vekter. Siden om databeskyttelse nevner Amazon Bedrock.

Sidene det vises til, publiserer ingen liste over nettverksdomener, så denne artikkelen nevner ingen.

Slik følger du Kiro med FireAI

FireAI er en brannmur for macOS som kjører på din Mac. Funksjonen Agentprofil gjenkjenner 19 KI-agenter, blant dem Kiro, og identifiserer Kiro ut fra appen den kjører fra. Deretter lærer FireAI hvor appen vanligvis kobler til. For alle gjenkjente agenter fungerer det på samme måte, bare med metadata (vertsnavn og antall byte); FireAI leser aldri innholdet i en tilkobling.

  1. De første 3 dagene lærer FireAI hvilke destinasjoner Kiro vanligvis kontakter, gruppert etter domene: api.anthropic.com blir anthropic.com. Ingenting flagges i denne læringsperioden.
  2. Etter det flagges en destinasjon utenfor den lærte grunnlinjen for gjennomgang i Forslag, i kortet KI-agenter og i Rask gjennomgang. Sveip til venstre for å blokkere, eller til høyre for «It's fine».
  3. En opplastingstopp flagges også: en time der agenten lastet opp minst 4 ganger så mye som i sin travleste time så langt, og aldri mindre enn 25 MB.

Sett opp overvåking av Kiro, steg for steg

  1. Installer og åpne FireAI, og bruk Kiro som vanlig i noen dager, slik at læringsperioden på 3 dager har ekte trafikk å lære av.
  2. Åpne Forslag og se etter kortet KI-agenter. Flagg fra agenter vises også i Rask gjennomgang, kortbunken du sveiper gjennom.
  3. Bruker du Kiros CLI, bør du sjekke i kortet KI-agenter om tilkoblingene vises under Kiro; FireAI dokumenterer gjenkjenning av appen, og denne artikkelen har ikke verifisert CLI-en.
  4. For å holde agenten til stedene den allerede bruker, velger du Agentprofil i menyen for sikkerhetsmodus, ved siden av Hjemme, Kafé, Paranoid og Under angrep. Når agenten er ferdig med å lære, blokkeres en tilkobling til en destinasjon utenfor grunnlinjen i stedet for å bli flagget. Dine egne tillatelsesregler gjelder fortsatt først, og DNS og det lokale nettverket blokkeres aldri.
  5. Når noe blokkeres, tilbyr kortet KI-agenter Tillat og Behold blokkert. Tillat legger destinasjonen til i grunnlinjen; Behold blokkert oppretter en blokkeringsregel, så destinasjonen forblir blokkert i alle moduser.
  6. For en presis regel åpner du Regler og klikker Add rule: Velg appen, deretter tillat eller blokker, så et nettsted, et domene med underdomener, en IP-adresse eller et adresseområde, og hvor lenge regelen skal gjelde.
  7. For å forstå én enkelt tilkobling åpner du Trusler og bruker Investigate, eller velger Investigate fra en linje i Verdenskart. Siden viser en risikoskår, begrunnelsene for den og hva FireAI så.

Begrensninger

  • FireAI kan ikke se prompter, innholdet i verktøy, filtilgang som ~/.ssh eller skills. TLS skjuler innholdet, og FireAI befinner seg ikke inne i Kiro.
  • FireAI stopper ikke promptinjeksjon. Det begrenser skaden ved å flagge, og la deg blokkere, veien data ville tatt ut av Mac-en.
  • I læringsperioden på 3 dager flagges ingenting, og i modusen Agentprofil blokkeres ingenting mens en agent fortsatt lærer. Opplastingstopper flagges, men blokkeres aldri.
  • Agenter som gjenkjennes ut fra app, sti eller skriptnavn, merkes, men verifiseres ikke: Bare Claude Code, Claude og Cursor kontrolleres mot utviklerens signatur.
  • Underprosesser som avsluttes svært raskt, kan bli oversett, og de gjenkjennes ut fra sti, ikke signatur.

Den fullstendige funksjonsbeskrivelsen står på dokumentasjonssiden for Agentprofil.

Andre agenter i denne serien: Claude Code, Claude-skrivebordsappen, Cursor, ChatGPT-appen for Mac, OpenAI Codex CLI, OpenClaw. Samleguiden for alle andre agenter er Alle andre KI-agenter på din Mac.

Hvor FireAI og HisnLabs kommer inn

Kiros tillatelser styrer hva agenten får gjøre. FireAI viser hvor den kobler til, og kan blokkere en ny destinasjon.

FireAI er HisnLabs’ eget produkt: en KI-brannmur som kjører direkte på Macen. Den viser hver tilkobling appene dine gjør, i klart språk, og lar deg bestemme hva som forlater Macen din — KI-en kjører lokalt, så trafikken din sendes aldri til oss eller noen andre. HisnLabs’ sikkerhetsforskningsteam er de som holder disse vurderingene pålitelige: de katalogiserer hvilke domener som er vanlig telemetri og hvilke som er en ekte tjeneste, sporer landet og nettverket bak en tilkobling, og trener den lokale modellen (FireAI Pilot-funksjonen) på ekte trafikkmønstre — uten at noe av det forlater Macen din.

Du kan lese om de tekniske valgene bak, eller prøve FireAI i 17 dager, på FireAI, fra HisnLabs.

Kilder