# Holone

> Локальный прокси для AI-клиентов: блокирует инъекции от вредоносных LLM-провайдеров

Holone — локальный прокси для AI-клиентов: инспектирует трафик, блокирует инъекции tool_use от вредоносных LLM-провайдеров, сканирует эндпоинты и ведёт фоновый мониторинг машины на заражение.

- Категории: Opensource, ИИ-агент, Инструменты разработчика
- Сайт сервиса: https://github.com/vanndh/holone
- Карточка в каталоге: https://ailibri.com/holone
- Обновлено: 2026-07-05

## Описание

Дешёвые перекупы API Claude и GPT — это не просто сомнительная экономия, это реальный вектор атаки. Вредоносный провайдер говорит на обычном протоколе Anthropic или OpenAI, но в ответе прячет вызовы инструментов. Твой AI-клиент послушно их исполняет: качает и запускает скрипты, ставит задачи в планировщик, гонит трафик через прокси, затирает логи. Это не гипотетический сценарий — реальная кампания (awstore.cloud / kiro.cheap) целила именно по пользователям СНГ.

Holone — локальный прокси, который встаёт на провод между твоим AI-клиентом и провайдером. Ты меняешь base URL клиента на 127.0.0.1:8787, и всё — holone форвардит трафик дальше, но сначала проверяет каждый ответ на инъекции. Работает с любым клиентом, где можно задать свой base URL: Claude Code, Cline, Kilo Code, Cursor, Aider и другими.

Детектирует он много чего. Команды загрузки-и-запуска, попытки прописаться в автозагрузку, подмену proxy и DNS, слив SSH-ключей и токенов из ~/.aws/credentials, .env, Chrome, exfil через вебхуки Discord, Telegram и Slack, DNS-туннели, git-атаки через core.hooksPath и CI-пайплайны, обход AMSI/ETW/CLM, персистентность под macOS, Linux, Docker и WSL. Отдельно — отравление конфигов AI-клиентов: если провайдер заставляет клиента переписать .claude/settings.json или CLAUDE.md и внедрить хук, который сработает в следующей сессии, holone это поймает. Ещё одна фишка: если в ответе появляется tool_use, хотя клиент не объявлял никаких инструментов — это сразу поднимается до high.

Честная оговорка от авторов: пассивный слив holone не детектирует. Провайдер, который просто читает твои промпты, выглядит как честный — на машине ничего не происходит, ловить нечего. Поэтому секреты неофициальным провайдерам лучше не отправлять в принципе, а ключи, которые уже использовались, — поменять.

Работает в двух режимах: monitor просто логирует и алертит, block — вырезает вредоносный tool_use и заменяет заглушкой. Для работы над кодом, где законно встречаются curl|sh или schtasks, лучше оставить monitor, иначе holone может зарезать легитимный контент. Отличить шум от реальной атаки помогает лог: смотри поле source — text означает, что модель просто пишет про опасное, tool_use:… — реальный вызов инструмента. Флаг proto-tooluse-unsolicited сигнализирует о непрошеном вызове.

Помимо проксирования есть ещё три команды. holone scan проверяет конкретный эндпоинт провайдера: шлёт canary-промпт, прогоняет правила по ответу, сверяет домен и IP с блоклистом, смотрит TLS-сертификат и выдаёт risk-score. Чистый результат не означает, что провайдер безопасен — пассивный слив промптов scan не выявляет. holone audit разово проверяет машину на индикаторы заражения — левые процессы, задачи персистентности, подозрительные прокси-переменные, соединения с known-bad IP. holone sentinel делает то же самое, но в фоне, по заданному интервалу.

Детект строится на поведенческих правилах через re2-регэкспы по категориям (download-exec, persistence, credential-theft, exfil, git-attack и другие), IOC-блоклисте с известными плохими доменами и путями, и аномалиях протокола. Оба файла правил встроены в бинарь, но их можно переопределить в рантайме своими версиями. Устанавливается в одну строку, один статический файл без зависимостей.

## Похожие сервисы в каталоге

- [Hermes Agent](https://ailibri.com/hermes-agent): Hermes Agent — агент с открытым исходным кодом от NousResearch, который развивается вместе с вами. Поддержка инструментов, веб-исследований и автоматизации зада
- [Openclaw Infra](https://ailibri.com/openclaw-infra): Openclaw Infra - Docker-инфраструктура для запуска AI-агентов OpenClaw с поддержкой Telegram. Простое развертывание нескольких агентов на одном сервере.
- [Kimi API Platform](https://ailibri.com/kimi-api-platform): Kimi K3 — флагманская модель с 2,8 трлн параметров, контекстом 1M токенов, поддержкой изображений и видео, Tool Calling. API для кодинга и работы со знаниями.
- [DeepSeek Harness](https://ailibri.com/deepseek-harness): Открытый agent harness с плагинной архитектурой, веб-интерфейсом, запуском через npm или из исходников, бесплатной лицензией MIT.
- [Claude Commerce Agents](https://ailibri.com/claude-commerce-agents): Открытый референсный репозиторий Anthropic: каркас покупательского и торгового агентов на Claude, четыре демо-вертикали и плагин для Claude Code.
- [Agent Plugins](https://ailibri.com/agent-plugins): Открытый формат упаковки плагинов для AI-агентов: манифест plugin.json, Agent Skills, MCP-серверы и клиентские расширения. Спецификация 1.0.0 и JSON-схемы.

---
Источник: AILibri — каталог нейросетей и ИИ-инструментов, https://ailibri.com