EMILIA Guard — подтверждение действий в Claude Code
EMILIA Guard
Плагин останавливает опасные вызовы инструментов в Claude Code и ждет подтверждения человека, и при желании ждет подписанной расписки.
- 601 ★ репозитория
- Последний коммит
- Apache-2.0
Широкий доступ
Почему такой уровень
- Хук видит каждый вызов инструмента Claude Code и вправе его задержать или отклонить
- В режиме EMILIA сведения о денежных и внешних действиях уходят на сервер emiliaprotocol.ai, а ключ EP_API_KEY дает доступ к вашей организации
- Манифест подключает MCP-сервер, который запускается через npx -y и получает EP_API_KEY в окружение
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add plugins/emilia-guardОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Хук видит каждый вызов инструмента Claude Code и вправе его задержать или отклонить
- В режиме EMILIA сведения о денежных и внешних действиях уходят на сервер emiliaprotocol.ai, а ключ EP_API_KEY дает доступ к вашей организации
- Манифест подключает MCP-сервер, который запускается через npx -y и получает EP_API_KEY в окружение
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
EMILIA Guard вешает хук на вызовы инструментов Claude Code и ловит действия, которые трудно откатить: опасные команды оболочки, запись в файлы с секретами и вызовы MCP-инструментов, связанных с деньгами или отправкой наружу. На совпавшее действие хук отвечает запросом подтверждения или отказом. Остальные вызовы вроде чтения, поиска и безопасных правок идут по обычной схеме разрешений Claude Code. Без настройки плагин работает в локальном режиме: он задерживает опасный вызов до явного подтверждения, и аккаунт не нужен. После задания переменных EP_API_KEY и EP_ORG_ID включается режим EMILIA. Для вызовов, связанных с деньгами и внешней отправкой, движок политик создает расписку до действия (запись о действии, подписанную назвавшимся человеком), называет человека, который должен подписать, и ждет его подтверждения на устройстве, по умолчанию до 30 секунд. Подлинность расписки проверяют без сервера командой `npx @emilia-protocol/verify`. Плагин ставится из маркетплейса в репозитории emilia-protocol, где лежит еще и сам протокол с пакетами для разных сред. Здесь речь только о плагине для Claude Code, у которого в манифесте описан также MCP-сервер @emilia-protocol/mcp-server.
Для кого. Для команд и разработчиков, которые дают Claude Code доступ к боевой инфраструктуре, платежам и рассылкам и хотят отдельную точку подтверждения.
Подходит, если
- Агент работает с рабочей средой, и перед `terraform apply`, `kubectl delete` или `git push --force` нужна пауза с явным подтверждением
- К агенту подключены платежные или почтовые MCP-серверы, и вызовы вроде перевода, отправки письма или публикации должен подтверждать человек
- Нужна запись в файлы `.env`, `.ssh`, `.aws`, `*.pem` или `.github/workflows` только после согласия
- Нужен след решения: подписанная расписка, которую проверяют без сервера
- Нужно добавить свои слова-триггеры вроде названия боевой базы данных через переменную `EP_GUARD_PATTERNS`
Не подходит, если
- Нужна жесткая граница авторизации: хук опирается на поиск подстрок, и закодированные, разбитые на части или необычные команды могут его обойти
- Достаточно штатных запросов разрешений Claude Code: без расписки плагин добавляет только классификатор опасных действий
- Агенты работают без человека рядом, например в ночном конвейере: запрос подтверждения останется без ответа
- Ожидание подписи недопустимо: хук блокирует вызов на время ожидания (по умолчанию до 30 секунд), а при таймауте возвращает запрос подтверждения
Пример запроса к агенту
Примени изменения terraform в боевом окружении и удали устаревшие ресурсы, но перед каждой опасной командой остановись и дождись моего подтверждения.Ограничения
Хук не принимает решение вместо человека и никогда не возвращает разрешение: совпавшее действие получает запрос подтверждения или отказ, даже после удаленного согласия. Остальные вызовы возвращаются в обычный порядок разрешений Claude Code, и это не оценка безопасности. Точное сопоставление команды, одноразовый допуск и проверку расписок нужно встраивать в оболочку, MCP-сервер или интеграцию, которые владеют учетными данными.
Для режима EMILIA нужны ключ EP_API_KEY с сайта emiliaprotocol.ai и идентификатор организации. Ожидание подписи по умолчанию 30 секунд, потолок 60 секунд, переменная EP_SIGNOFF_TIMEOUT_S. Версия плагина в манифесте 0.1.0 — ранний выпуск.
Доступность emiliaprotocol.ai из России при подготовке карточки не проверялась.
Как отключить. Отключите плагин в Claude Code командой `/plugin` или удалите его через менеджер плагинов, а переменные EP_API_KEY и EP_ORG_ID уберите из окружения. Выпущенный на emiliaprotocol.ai ключ при необходимости отзовите на сайте.
Частые вопросы
Как установить EMILIA Guard в Claude Code?
Выполните `/plugin marketplace add emiliaprotocol/emilia-protocol`, затем `/plugin install emilia-guard@emilia-protocol`. Больше ничего настраивать не нужно: плагин начнет работать в локальном режиме без аккаунта.
Какие действия EMILIA Guard останавливает?
В Bash это `rm -rf`, `git push --force`, `git reset --hard`, `DROP`, `TRUNCATE` и `DELETE FROM`, `dd`, `mkfs`, запуск скрипта через конвейер в оболочку, `npm publish`, `terraform apply`, `kubectl delete`, удаление и завершение ресурсов через `aws`, `sudo` и чтение `.env`. Для Write и Edit это пути с `.env`, `.ssh/`, `.aws/`, `*.pem`, `credentials`, `secrets`, `/etc/` и `.github/workflows/`. Для MCP это инструменты, чьи имена намекают на оплату, перевод, отправку, публикацию, деплой, удаление или отзыв.
Нужен ли аккаунт, чтобы пользоваться EMILIA Guard?
Для локального режима нет. Аккаунт на emiliaprotocol.ai нужен только для подписанных расписок: он дает ключ EP_API_KEY, который вместе с EP_ORG_ID включает режим EMILIA.
Защищает ли EMILIA Guard на сто процентов?
Нет. Классификатор ищет подстроки, поэтому закодированные, разделенные на части или необычные формы команд могут пройти мимо, а хук не привязывает к расписке каждый аргумент. Строгую проверку нужно встраивать в оболочку или MCP-сервер, которые владеют учетными данными.
Как добавить свои триггеры в EMILIA Guard?
Задайте переменную `EP_GUARD_PATTERNS`: по одной подстроке на строку без учета регистра и без регулярных выражений. Например, названия боевой базы данных или клиента.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныПлагин и сервер подтверждений для Claude Code и Codex: опасный вызов инструмента ждет вашего решения до запуска
HOL Guard проверяет команды ИИ-агента, чтение секретов, вызовы MCP и установку пакетов перед выполнением и ждет вашего решения по опасным действиям
Каталог из 22 плагинов с хуками для Claude Code: безопасность, контроль расходов, наблюдаемость и автоматизация
Prowler — плагин для Claude Code
Prowler for Claude Code
Плагин ведет облачный аккаунт к соответствию CIS, PCI-DSS и другим стандартам: берет отчет Prowler Cloud, чинит нарушения и предлагает повторный скан
Claude Hooks (Prompt Injection Defender)
Claude Hooks
Хук для Claude Code проверяет вывод файлов, веб-страниц и команд на скрытые инструкции и предупреждает агента
AgentShield проверяет папку .claude на ключи в открытом виде, широкие разрешения, опасные хуки и небезопасные MCP-серверы и ставит оценку от A до F
Сравнение с похожими
Записи с тем же главным запросом: чем они отличаются.
| Запись | Официальный | Звезды репозитория | Главное отличие |
|---|---|---|---|
| EMILIA Guard — подтверждение действий в Claude Code (эта запись) | да | 601 | |
| AgentShield | нет | 1 338 | проверяет папку .claude на ключи в открытом виде и широкие разрешения, но не останавливает вызовы во время работы |
| guard-skills | нет | 1 290 | скиллы второго прохода по диффу, которые ловят типичные ошибки кода |
| DashClaw | нет | 313 | плагин и сервер подтверждений для Claude Code и Codex |
Коротко о README
Документ плагина описывает его как страховочную сетку с подтверждением человеком для частых опасных действий Claude Code. Он объясняет границы: хук не заменяет точную проверку и никогда не разрешает действие сам. Дальше идут установка, переход на подписанные расписки с описанием четырех шагов, снимки экрана с подтверждением на устройстве и таблица того, что останавливается. В конце приведено, как настроить собственные триггеры.