AGGIB/Stroq

这是什么？

核心功能

• 01扫描代理会话记录中的已知密钥，只显示密钥名称和来源，不显示值。
• 02为 Claude Code、Cursor、Codex 安装钩子，拒绝有风险的外发请求，并在复用代理读到的文本前询问。
• 03用当前策略回放历史会话，不执行任何命令。
• 04提供运行在 127.0.0.1 的本地控制台，用于查看决策记录、已接入的代理和 MCP 服务。
• 05完全本地运行，无需账号，不发送遥测数据。

适用场景

• 检查过去的编程会话中，AI 代理是否把 API 密钥或云凭据发送到了外部。
• 为代理加上防护，避免其把下载的脚本直接交给 shell 执行，或通过 curl 泄露密钥。
• 审查编码代理加载了哪些 skill 和 MCP 服务，以及上次检查后有哪些变化。

快速上手

1. 1

   用 npx 运行 Stroq，查看你自己会话的报告卡

   npx @stroq/cli
2. 2

   通过 init 将 Stroq 钩入你的智能体以进行防护

   npx @stroq/cli init
3. 3

   在 127.0.0.1 上打开本地控制台

   npx @stroq/cli console

使用前须知

• !需要 Node.js 22 或更高版本。
• !从控制台添加钩子需要 macOS 或 Linux；Windows 请使用 stroq init。
• !它是过滤器而非沙箱，钩子只能看到宿主发送给它的内容。
• !各智能体及其版本的钩子支持情况不同，依赖实时钩子前请先阅读集成限制。

收录于专题

标签

常见问题

Stroq 是什么？

本地安全工具，扫描 AI 编程代理会话中泄露的密钥，并通过钩子拦截或询问 Claude Code、Cursor、Codex 的风险命令。 Stroq 是一个面向 AI 编程代理（如 Claude Code、Cursor、Codex CLI）的本地安全工具。它读取已有的代理会话记录，统计有多少命令源自代理读过的文本，以及哪些凭据被传给了外部服务。输出只显示密钥名称和来源，不显示具体值。

Stroq 可以免费使用吗？用的什么许可证？

Stroq 以 Apache-2.0 许可证开源。用于商业产品前，请先确认许可证条款。

Stroq 还在维护吗？

活跃维护中。Stroq 最近一次提交是在 2026年11月6日。

Stroq 适合用来做什么？

检查过去的编程会话中，AI 代理是否把 API 密钥或云凭据发送到了外部。 为代理加上防护，避免其把下载的脚本直接交给 shell 执行，或通过 curl 泄露密钥。 审查编码代理加载了哪些 skill 和 MCP 服务，以及上次检查后有哪些变化。

Stroq 怎么安装和运行？

用 npx 运行 Stroq，查看你自己会话的报告卡: npx @stroq/cli 通过 init 将 Stroq 钩入你的智能体以进行防护: npx @stroq/cli init 在 127.0.0.1 上打开本地控制台: npx @stroq/cli console

在哪里获取 Stroq？

源代码和安装说明在 GitHub 上：https://github.com/AGGIB/Stroq