Repolode
Предложить
Arcanum-Sec

Arcanum-Sec/SpikeStrip

Node.js CLI, который добавляет в HTML и JavaScript обратимые комментарии-приманки с ключами, чтобы отвлекать AI-агентов для оценки безопасности.

Открыть на GitHub
Звёзды
99
Форки
8
Открытые issues
0
Последний коммит
5 дней назад

Что это?

SpikeStrip добавляет комментарии-приманки в собранные статические файлы сайта, например HTML и JavaScript. В комментариях размещается текст в форме инструкций, вымышленные зацепки об уязвимостях с фиктивными маршрутами и параметрами, а также математические отвлекающие задачи. Они рассчитаны на AI-агентов и сканеры, которые читают комментарии в исходном коде и воспринимают подсказки как цели для сканирования. Каждой вставке присваивается случайный 12-символьный hex-ключ, а в приватном манифесте записываются все комментарии, чтобы их можно было удалить позже.

Инструмент работает с отдельной копией сайта и не меняет исходные файлы. Он проверяет, что синтаксические деревья JavaScript и деревья HTML-документа меняются только за счёт комментариев. Комментарии также можно экспортировать в текстовый файл для размещения вручную, а в необязательном динамическом режиме новый текст-приманка генерируется через API OpenAI или Anthropic с ключом, переданным через окружение. Проект обозначен как находящийся в разработке и не гарантирует, что остановит агентов, которые изолируют недоверенное содержимое, или сканеры, игнорирующие комментарии.

Ключевые возможности

  • 01Добавляет в HTML- и JavaScript-файлы комментарии-приманки с ключами, не меняя исходные файлы.
  • 02Записывает каждую вставку в приватный манифест, который позволяет выборочно удалять комментарии по ключу.
  • 03Проверяет, что изменения в JavaScript и HTML ограничены комментариями.
  • 04Экспортирует комментарии в текстовый файл для размещения вручную, с обёртками для JS или HTML.
  • 05Предлагает необязательный динамический режим, который генерирует новый текст-приманку через OpenAI или Anthropic.

Сценарии использования

  • Добавлять подсказки-приманки в собранное веб-приложение как один из уровней защиты от автоматизированной оценки с помощью AI.
  • Готовить список комментариев для ручного размещения в CSS, SVG и других типах файлов, куда CLI не добавляет комментарии.
  • Изучать реакцию AI-агентов для оценки безопасности на вводящие в заблуждение комментарии в исходном коде.

Быстрый старт

  1. 1

    Установите зависимости из корня репозитория

    npm install --ignore-scripts
  2. 2

    Проверьте справку CLI, чтобы убедиться, что она запускается (требуется Node.js 20 или новее)

    node bin/spikestrip.mjs --help
  3. 3

    Просмотрите встроенную инъекцию приманок на отдельной копии сайта (ничего не записывается)

    node bin/spikestrip.mjs inject ./site --output ./site-planted --count 20 --manifest ./private/run.json

Что важно знать

  • В README проект описан как находящийся в разработке, а приманки — как экспериментальные.
  • Инструмент не может надежно остановить агентов, изолирующих недоверенное содержимое, или сканеры, игнорирующие комментарии.
  • Для динамической генерации нужен собственный API-ключ OpenAI или Anthropic; возможны расходы на услуги провайдера.

В подборках

CLI и инструменты для терминалаИнструменты для сканирования, аудита и анализа угроз

Темы

#security#ai-security#honeypot#deception#web-security#nodejs#cli#html

Частые вопросы

Что такое SpikeStrip?
Node.js CLI, который добавляет в HTML и JavaScript обратимые комментарии-приманки с ключами, чтобы отвлекать AI-агентов для оценки безопасности. SpikeStrip добавляет комментарии-приманки в собранные статические файлы сайта, например HTML и JavaScript. В комментариях размещается текст в форме инструкций, вымышленные зацепки об уязвимостях с фиктивными маршрутами и параметрами, а также математические отвлекающие задачи. Они рассчитаны на AI-агентов и сканеры, которые читают комментарии в исходном коде и воспринимают подсказки как цели для сканирования. Каждой вставке присваивается случайный 12-символьный hex-ключ, а в приватном манифесте записываются все комментарии, чтобы их можно было удалить позже.
SpikeStrip можно использовать бесплатно? Какая у него лицензия?
SpikeStrip распространяется с открытым исходным кодом под лицензией MIT. Перед использованием в коммерческих продуктах проверьте условия лицензии.
SpikeStrip всё ещё поддерживается?
Активно поддерживается. Последний коммит в SpikeStrip — 2 нояб. 2026 г..
Для чего можно использовать SpikeStrip?
Добавлять подсказки-приманки в собранное веб-приложение как один из уровней защиты от автоматизированной оценки с помощью AI. Готовить список комментариев для ручного размещения в CSS, SVG и других типах файлов, куда CLI не добавляет комментарии. Изучать реакцию AI-агентов для оценки безопасности на вводящие в заблуждение комментарии в исходном коде.
Как установить SpikeStrip?
Установите зависимости из корня репозитория: npm install --ignore-scripts Проверьте справку CLI, чтобы убедиться, что она запускается (требуется Node.js 20 или новее): node bin/spikestrip.mjs --help Просмотрите встроенную инъекцию приманок на отдельной копии сайта (ничего не записывается): node bin/spikestrip.mjs inject ./site --output ./site-planted --count 20 --manifest ./private/run.json
Где скачать SpikeStrip?
Исходный код и инструкции по установке — на GitHub: https://github.com/Arcanum-Sec/SpikeStrip

Описание создано ИИ на основе README проекта. Статистика GitHub обновляется ежедневно.

Похожие проекты