Otwarty program HOL Guard blokuje ryzykowne działania agentów kodujących AI

Organizacja Hashgraph Online udostępniła na licencji open source narzędzie HOL Guard, które ma pełnić rolę strażnika stojącego między agentem kodującym AI a komputerem, na którym ten agent działa. Program sprawdza każde polecenie, dostęp do plików i wywołanie zewnętrznego narzędzia, zanim faktycznie do niego dojdzie, i w razie podejrzanej akcji wstrzymuje ją, prosząc użytkownika o potwierdzenie.

Pomysł na HOL Guard wziął się z konkretnego problemu, z jakim mierzą się dziś zespoły programistyczne korzystające z agentów AI. Narzędzia takie jak Claude Code czy Cursor potrafią samodzielnie uruchamiać polecenia w terminalu, instalować pakiety, czytać pliki konfiguracyjne i łączyć się z zewnętrznymi usługami przez protokół MCP. To wygodne, ale oznacza też, że błąd modelu, złośliwy pakiet albo ukryta instrukcja wstrzyknięta do promptu może doprowadzić do wycieku sekretów, usunięcia danych albo przejęcia kontroli nad środowiskiem deweloperskim.

Jak działa program

HOL Guard działa lokalnie, bez konieczności zakładania konta w chmurze, i analizuje sygnały bezpieczeństwa na styku systemu operacyjnego i agenta AI. Program sprawdza polecenia powłoki, manifesty instalowanych pakietów, konfigurację serwerów MCP oraz próby dostępu do zmiennych środowiskowych i kluczy API, zanim jakakolwiek z tych operacji zostanie wykonana.

Narzędzie oferuje cztery tryby pracy o rosnącym poziomie czujności. Tryb Gentle minimalizuje liczbę przerwań i interweniuje tylko w oczywistych przypadkach. Domyślny tryb Balanced zatrzymuje agenta, gdy ten próbuje sięgnąć po sekrety, wykonać destrukcyjne lub zakodowane polecenie, gdy wykryte zostanie wstrzyknięcie promptu, podejrzane wywołanie MCP albo próba trwałego zainstalowania się w systemie. Tryb Strict dodaje wykrywanie sygnałów o niższej pewności, a Paranoid każe użytkownikowi zatwierdzać każdą nieznaną akcję sięgającą po zewnętrzne narzędzia.

Dlaczego to ma znaczenie teraz

Publikacja HOL Guard wpisuje się w falę incydentów związanych z agentami kodującymi, które w ostatnich miesiącach kilkukrotnie trafiały do nagłówków z powodów, które taki program ma właśnie ograniczać. Badacze bezpieczeństwa pokazywali już, że agentów AI da się oszukać przez rozłożenie złośliwego polecenia na kawałki, ukrycie instrukcji w symlinkach czy podszycie się pod legalny test bezpieczeństwa, by nakłonić model do przeprowadzenia realnego włamania.

Twórca HOL Guard opisuje cel projektu wprost jako znalezienie równowagi między ochroną a użytecznością narzędzia. W materiałach towarzyszących premierze Michael Kantor podkreśla, że priorytetem było stworzenie zabezpieczenia, które nie zniechęci programistów do korzystania z agentów na co dzień.

Chronić mnie, nie czyniąc agenta bezużytecznym - Michael Kantor, prezes HOL

Zasięg i ekosystem narzędzia

HOL Guard rozprowadzany jest jako pakiet dla Pythona 3.10 i nowszych, dostępny również jako obraz kontenera. Projekt ma już blisko 3,5 tysiąca commitów w głównej gałęzi repozytorium, co świadczy o intensywnym rozwoju od momentu startu. Obok samego strażnika działa też powiązane narzędzie plugin-scanner, które analizuje jakość i bezpieczeństwo wtyczek, umiejętności i serwerów MCP jeszcze przed ich wdrożeniem, sprawdzając manifesty, zabezpieczenia i zgodność z dobrymi praktykami.

Dla firm, które potrzebują wspólnych zasad dla całych zespołów, dostępna jest opcjonalna usługa Guard Cloud, oferująca synchronizację polityk bezpieczeństwa, widoczność floty agentów oraz wspólne procesy zatwierdzania ryzykownych akcji. Podstawowa wersja lokalna pozostaje jednak w pełni darmowa i działa offline, a pliki użytkownika nigdy nie są przesyłane na zewnętrzne serwery.

Co to oznacza dla polskich zespołów

Z badań cytowanych wcześniej przez branżę wynika, że ponad 91 procent polskich programistów korzysta już z narzędzi AI, a jednocześnie rośnie problem zaufania do generowanego przez nie kodu. Darmowe, lokalne narzędzie ograniczające ryzyko związane z agentami kodującymi może więc trafić w realną potrzebę zespołów, które chcą korzystać z automatyzacji, ale bez rezygnacji z kontroli nad tym, co dzieje się na firmowych maszynach i w repozytoriach.

HOL Guard nie eliminuje ryzyka całkowicie i nie zastępuje audytów bezpieczeństwa ani segmentacji uprawnień w środowiskach produkcyjnych. Działa raczej jako dodatkowa warstwa kontroli w codziennej pracy z asystentem kodującym, zwłaszcza na komputerach deweloperskich, gdzie agent ma szeroki dostęp do systemu plików i poświadczeń.