Безопасность агента Goose на Mac: мониторинг сетевого доступа (FireAI)

Goose — ИИ-агент с открытым исходным кодом, который не ограничивается кодом: репозиторий описывает его как инструмент для кода, рабочих процессов и всего, что между ними. Он работает как настольное приложение и как инструмент командной строки и обращается к внешним инструментам через расширения. Этим объясняются запросы вроде «goose ai agent security mac» и «goose agent network access». В статье изложено, что документирует проект, отмечено, о чём доступные нам страницы умалчивают, а затем объяснено, как FireAI — файрвол для macOS, работающий на устройстве, от HisnLabs, — наблюдает за соединениями агента, установленного как приложение.

Что такое Goose

goose написан на Rust и распространяется по лицензии Apache 2.0. В репозитории, изначально опубликованном компанией Block, указано, что теперь проект поддерживает Agentic AI Foundation, действующая под эгидой Linux Foundation. Он предлагается как настольное приложение, CLI и API и подключается к расширениям через Model Context Protocol (MCP) — открытый стандарт интеграции инструментов. В README заявлена совместимость более чем с десятком поставщиков моделей, включая Anthropic, OpenAI, Google, Ollama, OpenRouter, Azure и Bedrock ^[1]. Каждое расширение — это инструмент, который может вызвать агент, и само расширение может обращаться к сети.

Как Goose работает на macOS

Руководство по установке описывает два варианта для macOS. Настольное приложение загружается для Apple Silicon или Intel либо устанавливается командой brew install --cask block-goose. CLI устанавливается скриптом загрузки или командой brew install block-goose-cli, а обновления можно получать через Homebrew или goose update. CLI и настольное приложение используют общую конфигурацию, включая настройки поставщика, выбор модели и расширения ^[2]. Общий файл конфигурации на macOS — ~/.config/goose/config.yaml ^[3].

К чему у него есть доступ и как он контролируется

То, к чему может прикоснуться Goose, определяется включёнными расширениями, поскольку каждое MCP-расширение предоставляет собственные инструменты, а также правами вашей учётной записи macOS. В документации проекта есть раздел о режимах разрешений. При подготовке статьи эту страницу не удалось прочитать полностью, поэтому отдельные режимы здесь не описываются; прежде чем на них полагаться, прочитайте руководство в документации goose.

Куда он подключается

Руководство по конфигурации описывает настройку телеметрии GOOSE_TELEMETRY_ENABLED, которая включает сбор анонимных данных об использовании и по умолчанию имеет значение false; её можно задать в config.yaml или как переменную окружения ^[3]. Помимо выбранного вами поставщика модели и расширений, прочитанные страницы не публикуют список доменов.

Наблюдение за Goose с помощью FireAI

FireAI — файрвол для macOS, работающий на самом Mac. Функция Agent profile распознаёт 19 ИИ-агентов, изучает, куда каждый из них обычно подключается, и отмечает новое. На странице Agent profile Goose значится среди приложений, распознаваемых по приложению, из которого они запускаются, вместе с ChatGPT, Windsurf, Kiro, Trae и OpenClaw. Там не сказано, как сопоставляется процесс Goose, запущенный из терминала, поэтому о CLI эта статья не утверждает ничего сверх того, что FireAI показывает в списке активности.

• В течение первых 3 дней FireAI изучает адреса, к которым агент обычно обращается, группируя их по доменам: api.anthropic.com становится anthropic.com. В этот период ничего не отмечается.
• После этого первое в истории обращение к адресу за пределами базового набора отмечается для проверки в Suggestions, в карточке AI agents и в Quick Review. Смахните влево, чтобы заблокировать, или вправо — «It’s fine».
• Отмечается и всплеск исходящего трафика: час, за который агент отправил как минимум в 4 раза больше, чем в свой самый загруженный час до этого, и не менее 25 МБ.
• FireAI использует только метаданные, то есть имена хостов и объёмы в байтах. Он никогда не читает содержимое соединения.

Настройка FireAI для Goose

1. Установите FireAI и пользуйтесь агентом как обычно. Трёхдневный период обучения начинается сам и ничего не отмечает.
2. Откройте Suggestions и найдите карточку AI agents. После периода обучения отметки агента появляются там и в Quick Review.
3. Проверьте каждую отметку. Выберите Block, чтобы создать правило для подключившегося процесса, или «It’s fine», чтобы добавить адрес в базовый набор агента.
4. Чтобы агент оставался в пределах уже используемых адресов, выберите Agent profile в меню режима безопасности рядом с Home, Coffee shop, Paranoid и Under attack. Ваши правила действуют так же, как в Home, а после завершения обучения соединение с адресом за пределами базового набора блокируется, а не только отмечается.
5. Заблокированный адрес появляется в карточке AI agents с кнопками Allow и Keep blocked. Allow добавляет его в базовый набор, и агент сразу получает к нему доступ. Keep blocked создаёт правило блокировки, действующее во всех режимах.

Правило разрешения, которое вы создали для сайта, домена или адреса, по-прежнему имеет приоритет, а DNS и локальная сеть никогда не блокируются. Для агента, которого нет в списке FireAI, создайте правило для его программы вручную в разделе per-app rules. Режиму Agent profile нужна версия FireAI 1.0.3 или новее, а для распознавания Goose — 1.0.4.

Ограничения

• FireAI видит, к каким адресам обращаются Goose или его дочерние процессы, но не то, какое MCP-расширение запросило соединение.
• Goose распознаётся по приложению, из которого он запущен, то есть помечается, а не верифицируется: с подписью разработчика сверяются только Claude Code, Claude и Cursor.
• FireAI не предотвращает внедрение промптов (prompt injection). Он ограничивает ущерб, отмечая путь, по которому данные покинули бы ваш Mac, и позволяя его заблокировать.
• FireAI не видит промпты, содержимое MCP-инструментов, доступ к файлам и навыки. TLS скрывает содержимое, а FireAI не находится внутри агента.
• Очень быстро завершающиеся дочерние процессы могут быть пропущены; они сопоставляются по пути, а не по подписи.
• В течение трёхдневного периода обучения ничего не отмечается, а всплески исходящего трафика отмечаются, но не блокируются.
• В режиме Agent profile соединение с голым IP-адресом без имени хоста сопоставляется по адресу, поэтому новый адрес службы, которой агент обычно пользуется, блокируется, пока вы его не разрешите.

Другие агенты

Тот же подход применим ко всем агентам, которых распознаёт FireAI. См. другие руководства: Claude Code, настольное приложение Claude, Cursor, приложение ChatGPT для Mac, OpenAI Codex CLI, OpenClaw, Hermes Agent, Gemini CLI, GitHub Copilot CLI, Amp, Qwen Code, opencode, Aider, Crush, Windsurf, Kiro, Trae, Muse от Meta, любой другой ИИ-агент, работающий на python или node. Полное описание функции — на странице документации Agent profile, опубликованной HisnLabs.

Какое место здесь занимают FireAI и HisnLabs

FireAI изучает, куда Goose обычно подключается на вашем Mac, и отмечает первое обращение к новому адресу или всплеск выгрузки, не читая ваши данные.

FireAI — это собственный продукт HisnLabs: ИИ-файрвол, работающий прямо на вашем Mac. Он показывает простым языком каждое соединение, которое устанавливают ваши приложения, и позволяет вам решать, что покидает ваш Mac, — его ИИ работает локально, поэтому ваш трафик никогда не отправляется ни нам, ни кому-либо ещё. Команда исследователей безопасности HisnLabs — это те, кто поддерживает точность этих решений: они каталогизируют, какие домены являются обычной телеметрией, а какие — реальным сервисом, отслеживают страну и сеть, стоящие за соединением, и обучают локальную модель (функцию FireAI Pilot) на реальных шаблонах трафика — и ничего из этого не покидает ваш Mac.

Вы можете прочитать о технических решениях, лежащих в его основе, или попробовать FireAI в течение 17 дней на странице FireAI от HisnLabs.