Repolode
投稿する
AGGIB

AGGIB/Stroq

AIコーディングエージェントのセッションをローカルでスキャンして秘密情報の漏えいを検出し、Claude Code、Cursor、Codexに連携して危険なコマンドをブロックまたは確認します。

GitHub で見る公式サイト
スター
202
フォーク
15
未解決の Issue
7
最終コミット
7 時間前

これは何？

Stroqは、Claude Code、Cursor、Codex CLIなどのAIコーディングエージェント向けローカルセキュリティツールです。既存のエージェントセッション記録を読み取り、エージェントが読んだテキストに由来するコマンドと、外部サービスに渡された認証情報を報告します。表示するのはキー名と情報源のみで、値は表示しません。

フックは各ツール呼び出しの実行前に評価します。ダウンロードした内容をシェルにパイプで渡すコマンドや、既知の秘密情報を含む外向きリクエストを拒否できるほか、エージェントが読んだテキストをコマンドで再利用する際に確認を求めます。127.0.0.1で動作するローカルコンソールでは、記録された判定、接続中のエージェント、および各エージェントが使用するスキルとMCPサーバーを確認できます。Stroqの実行にはnpxを使い、Node.js 22以降が必要です。テレメトリーは送信しません。

過去のセッションを現在のポリシーに照らして確認するリプレイコマンドと、使い捨て環境で既知の攻撃ケースを一通り実行する攻撃コマンドも含まれています。

主な機能

  • 01エージェントのセッション記録をスキャンして既知の秘密情報を検出し、値を表示せずにキー名と情報源を報告します。
  • 02Claude Code、Cursor、Codex用のフックをインストールし、危険な外向きの呼び出しを拒否するとともに、エージェントが読んだテキストを再利用する前に確認を求めます。
  • 03コマンドを実行せずに、過去のセッションを現在のポリシーに照らして再生します。
  • 04127.0.0.1でローカルコンソールを提供し、判定、接続中のエージェント、MCPサーバーを確認できます。
  • 05アカウント不要で、テレメトリーを送信せずにすべてローカルで動作します。

ユースケース

  • 過去のコーディングセッション中に、AIエージェントがAPIキーやクラウド認証情報を外部に送信したかどうかを確認する。
  • エージェントがダウンロードしたスクリプトをシェルにパイプしたり、curl経由で秘密情報を漏らしたりできないように、ガードレールを追加する。
  • コーディングエージェントが読み込んだスキルやMCPサーバーを監査し、前回の確認以降に何が変わったかを把握する。

クイックスタート

  1. 1

    npxでStroqを実行して、自分のセッションカードを表示する

    npx @stroq/cli
  2. 2

    Stroqをエージェントにフックして保護する

    npx @stroq/cli init
  3. 3

    127.0.0.1でローカルコンソールを開く

    npx @stroq/cli console

使う前に知っておきたいこと

  • Node.js 22以降が必要です。
  • コンソールからフックを追加するにはmacOSまたはLinuxが必要です。Windowsではstroq initを使用してください。
  • これはフィルターであり、サンドボックスではありません。フックが認識できるのはホストから送られた情報だけです。
  • フックの対応状況はエージェントやバージョンによって異なるため、実際のフックに依存する前に連携時の制限を確認してください。

収録されている特集

Claude Code のツール・スキル・プラグインオープンソースの AI エージェント・フレームワークとアプリAI コーディングアシスタントとエージェント

トピック

#agent-security#ai-agents#secret-scanning#prompt-injection#claude-code#cursor#codex#developer-tools#ai-security#coding-agents

よくある質問

Stroq とは？
AIコーディングエージェントのセッションをローカルでスキャンして秘密情報の漏えいを検出し、Claude Code、Cursor、Codexに連携して危険なコマンドをブロックまたは確認します。 Stroqは、Claude Code、Cursor、Codex CLIなどのAIコーディングエージェント向けローカルセキュリティツールです。既存のエージェントセッション記録を読み取り、エージェントが読んだテキストに由来するコマンドと、外部サービスに渡された認証情報を報告します。表示するのはキー名と情報源のみで、値は表示しません。
Stroq は無料で使えますか？ライセンスは？
Stroq は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。
Stroq は今もメンテナンスされていますか？
活発にメンテナンス中。Stroq の最終コミットは 2026年11月7日 です。
Stroq は何に使えますか？
過去のコーディングセッション中に、AIエージェントがAPIキーやクラウド認証情報を外部に送信したかどうかを確認する。 エージェントがダウンロードしたスクリプトをシェルにパイプしたり、curl経由で秘密情報を漏らしたりできないように、ガードレールを追加する。 コーディングエージェントが読み込んだスキルやMCPサーバーを監査し、前回の確認以降に何が変わったかを把握する。
Stroq のインストール方法は？
npxでStroqを実行して、自分のセッションカードを表示する: npx @stroq/cli Stroqをエージェントにフックして保護する: npx @stroq/cli init 127.0.0.1でローカルコンソールを開く: npx @stroq/cli console
Stroq はどこで入手できますか？
ソースコードとインストール手順は GitHub にあります：https://github.com/AGGIB/Stroq

概要はプロジェクトの README をもとに AI が生成しています。GitHub の数値は毎日更新されます。

関連プロジェクト