Cerberus è un security gateway local-first pensato per proteggere l’uso di AI coding agents che eseguono azioni sul computer in modo autonomo. Strumenti come Claude Code, Codex, Cursor e Cline possono lanciare comandi di shell, modificare file e fare chiamate di rete a velocità macchina, spesso senza supervisione continua.
In questo scenario basta un singolo passo sbagliato (come un rm -rf, un git push non desiderato o la lettura e successiva esposizione di un file .env) per trasformare un assistente in un rischio operativo.
Posizionamento e flusso di intercettazione
Il punto chiave di Cerberus è che si posiziona sul confine degli strumenti, cioè tra l’agente e la macchina, intercettando ogni tool call prima che venga eseguita. Questo approccio consente di applicare un controllo deterministico e ripetibile dove l’agente agisce davvero.
Il flusso prevede:
- PreToolUse: invia la richiesta a un endpoint di intercettazione prima dell’esecuzione.
- PostToolUse: ispeziona i risultati senza modificarli, aggiornando lo stato di contaminazione della sessione.
Valutazione del rischio: segnali e policy
La valutazione del rischio avviene aggregando quattro segnali in un unico punteggio pesato. Le politiche definiscono regole e divieti assoluti che non possono essere scavalcati dal punteggio.
- Policy: regole e divieti non aggirabili.
- Segnale comportamentale: rileva abusi come loop incontrollati, ripetizioni eccessive e rate anomali di chiamate.
- Segnale di contenuto: orientato alla prevenzione dell’esfiltrazione di segreti, individuando credenziali e tracciandone la provenienza senza salvare i valori su disco o nei log.
- Segnale di injection: analizza i risultati degli strumenti per individuare prompt injection e bloccare o mettere in attesa la successiva azione di egress che potrebbe portare all’esfiltrazione.
Verdetti e modalità di approvazione
I verdetti possibili sono: allow, audit, hitl e block. La modalità hitl abilita la human approval direttamente nel terminale tramite il prompt nativo dell’agente oppure tramite dashboard locale e comandi di approvazione e rifiuto.
Dashboard forense e operatività locale
Il sistema include anche una dashboard forense con timeline di sessione, fattori di rischio e una funzione di replay per ricostruire come il rischio si è accumulato. Tutto rimane in locale su 127.0.0.1, senza API esterne, senza telemetria e con policy configurabili in YAML.