Holone

Дешёвые перекупы API Claude и GPT — это не просто сомнительная экономия, это реальный вектор атаки. Вредоносный провайдер говорит на обычном протоколе Anthropic или OpenAI, но в ответе прячет вызовы инструментов. Твой AI-клиент послушно их исполняет: качает и запускает скрипты, ставит задачи в планировщик, гонит трафик через прокси, затирает логи. Это не гипотетический сценарий — реальная кампания (awstore.cloud / kiro.cheap) целила именно по пользователям СНГ.

Holone — локальный прокси, который встаёт на провод между твоим AI-клиентом и провайдером. Ты меняешь base URL клиента на 127.0.0.1:8787, и всё — holone форвардит трафик дальше, но сначала проверяет каждый ответ на инъекции. Работает с любым клиентом, где можно задать свой base URL: Claude Code, Cline, Kilo Code, Cursor, Aider и другими.

Детектирует он много чего. Команды загрузки-и-запуска, попытки прописаться в автозагрузку, подмену proxy и DNS, слив SSH-ключей и токенов из ~/.aws/credentials, .env, Chrome, exfil через вебхуки Discord, Telegram и Slack, DNS-туннели, git-атаки через core.hooksPath и CI-пайплайны, обход AMSI/ETW/CLM, персистентность под macOS, Linux, Docker и WSL. Отдельно — отравление конфигов AI-клиентов: если провайдер заставляет клиента переписать .claude/settings.json или CLAUDE.md и внедрить хук, который сработает в следующей сессии, holone это поймает. Ещё одна фишка: если в ответе появляется tool_use, хотя клиент не объявлял никаких инструментов — это сразу поднимается до high.

Честная оговорка от авторов: пассивный слив holone не детектирует. Провайдер, который просто читает твои промпты, выглядит как честный — на машине ничего не происходит, ловить нечего. Поэтому секреты неофициальным провайдерам лучше не отправлять в принципе, а ключи, которые уже использовались, — поменять.

Работает в двух режимах: monitor просто логирует и алертит, block — вырезает вредоносный tool_use и заменяет заглушкой. Для работы над кодом, где законно встречаются curl|sh или schtasks, лучше оставить monitor, иначе holone может зарезать легитимный контент. Отличить шум от реальной атаки помогает лог: смотри поле source — text означает, что модель просто пишет про опасное, tool_use:… — реальный вызов инструмента. Флаг proto-tooluse-unsolicited сигнализирует о непрошеном вызове.

Помимо проксирования есть ещё три команды. holone scan проверяет конкретный эндпоинт провайдера: шлёт canary-промпт, прогоняет правила по ответу, сверяет домен и IP с блоклистом, смотрит TLS-сертификат и выдаёт risk-score. Чистый результат не означает, что провайдер безопасен — пассивный слив промптов scan не выявляет. holone audit разово проверяет машину на индикаторы заражения — левые процессы, задачи персистентности, подозрительные прокси-переменные, соединения с known-bad IP. holone sentinel делает то же самое, но в фоне, по заданному интервалу.

Детект строится на поведенческих правилах через re2-регэкспы по категориям (download-exec, persistence, credential-theft, exfil, git-attack и другие), IOC-блоклисте с известными плохими доменами и путями, и аномалиях протокола. Оба файла правил встроены в бинарь, но их можно переопределить в рантайме своими версиями. Устанавливается в одну строку, один статический файл без зависимостей.