DEV Community: AgentGuard

Ich habe mein eigenes Repo angegriffen — mein PR-Bot hat den Angriff selbst blockiert

AgentGuard — Wed, 09 Sep 2026 03:03:26 +0000

Coding-Agents sind die neue Benchmark für Dev-Teams: Claude Code, Cursor, Codex & Co. lesen dein Repo — und vertrauen ihm. Ich habe mich gefragt: Was passiert, wenn jemand eine Anweisung ins Repo schmuggelt, die der Agent bereitwillig ausführt?

Also habe ich AgentGuard gebaut — ein CI-Gate für Agent-Konfigurationen (AGENTS.md, Skills, MCP-Server, Hooks). Und ich habe mein eigenes Repo mit 12 gezielten Angriffen bestückt. Das ehrliche Protokoll:

1. Die Angriffe waren leicht zu verstecken

12 Payloads: eine versteckte Instruction-Override-Anweisung in der AGENTS.md, unsichtbare Zero-Width-Zeichen in einer Skill-Datei, ein typ-squatted MCP-Server-Host, ein Hook, der Netzwerk-Inhalt in eine Shell piped, ein committeter API-Key, ein Agent mit wildem Bash-Zugriff … Jeder davon wirkt in einem PR-Review völlig normal.

AgentGuard erkennt alle 12 — deterministisch, ohne LLM im Scan-Pfad — mit 47 Unit-Tests, die das für immer beweisen (12/12 erkannt, 0 False Positives im sauberen Kontroll-Repo).

2. Der Realitätscheck: 30 Repos, 5 mit kritischen Befunden

Ich habe 30 öffentliche Repos über die GitHub-Code-Suche nach AGENTS.md gescannt — darunter Google, Microsoft und Nextcloud. 5 mit kritischen Befunden. Der spannendste: ein unsichtbares Zeichen direkt vor einem Bash-Block in einer Agenten-Spec. Zufall oder Absicht? Genau dafür ist das Tool da. Jeder Befund wurde manuell byte-genau geprüft und ist öffentlich: Echtwelt-Befunde.

3. Doppeltes Dogfooding

Zwei Dinge passierten, die ich nicht besser hätte inszenieren können:

(a) GitHubs eigene Push-Protection blockierte einen meiner Pushes — ein Fake-Token in meiner eigenen Testdatei löste GH013: Push cannot contain secrets aus. Der größte Code-Host der Welt hat an meinem Repo demonstriert, was AgentGuard bei deinem fängt.

(b) Wochen später, nach dem v0.2.1-Bypass-Schutz, blockierte unser eigenes Gate unseren eigenen Pull-Request beim Selbsttest — die neue Regel ignoriert jede .agentguard-ignore, die in einem PR mitgeliefert wird, und unser Selbsttest-Workflow hatte sich auf das alte Verhalten verlassen. Roter Check. Merge verweigert. Funktioniert wie designed. Die ganze Geschichte steht im Changelog.

Gestern hat mein eigenes Sicherheits-Tool meinen eigenen Pull-Request geblockt. Das ist die beste Demo, die ein Sicherheitsprodukt haben kann.

4. Was in v0.2.1 kam

Fail-closed Gates: Ein Tippfehler in exit-on deaktiviert das Gate nicht mehr still — es bricht laut ab.
PR-Bypass-Schutz: Eine im PR mitgelieferte .agentguard-ignore wird ignoriert; Ausnahmen kommen nur aus dem vertrauenswürdigen Workflow.
Gehärteter Pro-Server: HMAC-Längenprüfung, 1-MB-Webhook-Body-Limit, Installation pro Repo, sicheres Tarball-Entpacken (Größenlimit, Symlink-/Traversal-Abweisung).
Neue Secret-Muster: Private Keys, GitHub-PATs, npm, Stripe, Slack-Webhooks. Details in SECURITY.md.

5. Der Bot blockierte einen Angriff live

Die GitHub-App kommentiert jeden PR mit Note und Befunden und setzt ein Check-Run-Gate. Der Beweis ist ein echter Pull-Request: Ein gepflanzter Angriff bekam Note E, einen roten Check und keinen Merge — live ansehen.

6. Die Landingpage zeigt jetzt den Moment

Die Landingpage hat ein Live-Scan-Terminal im Hero: Es tippt sich durch Dateien, findet die gepflanzte Anweisung und endet im grünen MERGE-GEBLOCKT-Moment — genau das Gefühl, das dieses Produkt verkauft: Dein Agent liest dein Repo. Dein Gate liest mit. Gemessene Qualität statt Deko: Lighthouse 100/100/100/100 auf Desktop und Mobile, LCP 179 ms, CLS ~0, kein Horizontal-Scroll bis 320 px.

Probier es aus

MIT-lizenziert, kostenlos für öffentliche Repos auf dem GitHub Marketplace. Schick dein Repo und bekomm einen kostenlosen Erst-Scan — oder stell die Anfrage direkt: Audit/Trial/RedTeam-Formular.

🔗 Code: https://github.com/agentguard-dev/agentguard
🛒 Marketplace: https://github.com/marketplace/actions/agentguard-security
📊 Verifizierte Befunde: https://github.com/agentguard-dev/agentguard/blob/main/docs/REAL-WORLD-FINDINGS.md
🔴 Live-Demo (Angriff geblockt): https://github.com/agentguard-dev/agentguard-demo/pull/2
🌐 Landingpage: https://agentguard-dev.github.io/agentguard/

I attacked my own repo — my PR bot blocked the attack before merge

AgentGuard — Tue, 08 Sep 2026 16:49:35 +0000

Coding agents are the new benchmark for dev teams: Claude Code, Cursor, Codex & Co. read your repo — and trust it. I asked myself: what happens when someone smuggles an instruction into the repo that the agent happily executes?

So I built AgentGuard — a CI gate for agent configurations (AGENTS.md, skills, MCP servers, hooks). And I stuffed my own repo with 12 targeted attacks. The honest protocol:

1. The attacks were easy to hide

12 payloads: a hidden instruction-override in AGENTS.md, invisible zero-width characters in a skill file, a typo-squatted MCP server host, a hook piping network content into a shell, a committed API key, an agent with wild Bash access… Every single one looks normal in a PR review.

AgentGuard detects all 12 — deterministically, no LLM in the scan path — with 47 unit tests that prove it forever (12/12 detected, 0 false positives on the clean control repo).

2. The real-world run: 30 repos, 5 with critical findings

I scanned 30 public repos via GitHub's code search for AGENTS.md — including Google, Microsoft and Nextcloud. 5 had critical findings. The most interesting: an invisible character right before a bash block in an agent spec. Coincidence or intention? That's exactly what the tool is for. Every finding was byte-verified manually and is public: real-world findings.

3. Double dogfooding

Two things happened that I could not have staged better:

(a) GitHub's own push protection blocked one of my pushes — a fake token in my own test file triggered GH013: Push cannot contain secrets. The biggest code host on the internet demonstrated on my repo exactly what AgentGuard catches on yours.

(b) Weeks later, after we shipped the v0.2.1 bypass protection, our own gate blocked our own pull request during the self-test — the new rule ignores any .agentguard-ignore shipped inside a PR, and our self-test workflow had relied on the old behavior. Red check. Merge refused. Working as designed. The full story is in the changelog.

Yesterday my own security tool blocked my own pull request. That is the best demo a security product can have.

4. What shipped in v0.2.1

Fail-closed gates: a typo in exit-on no longer silently disables the gate — it fails loudly.
PR bypass protection: a .agentguard-ignore shipped inside a PR is ignored; exclusions come only from the trusted workflow.
Hardened Pro server: HMAC length checks, 1 MB webhook body limit, per-repo installation resolution, safe tarball extraction (size limit, symlink/traversal rejection).
New secret patterns: private keys, GitHub PATs, npm, Stripe, Slack webhooks. Details in SECURITY.md.

5. The bot blocked an attack, live

The GitHub App comments on every PR with a grade and findings, and sets a check-run gate. The proof is a real pull request: a planted attack got Note E, a red check, and no merge — see it live.

6. The landing page now shows the moment

The landing page has a live scan terminal in the hero: it types through files, finds the planted instruction, and ends on the green MERGE BLOCKED moment — the exact emotion this product sells: your agent reads your repo; your gate reads with it. Measured quality, not decoration: Lighthouse 100/100/100/100 on desktop and mobile, LCP 179 ms, CLS ~0, no horizontal scroll down to 320 px.

Try it

MIT-licensed, free for public repos on the GitHub Marketplace. Reply with your repo and get a free first scan — or open a request directly: audit/trial/redteam form.

🔗 Code: https://github.com/agentguard-dev/agentguard
🛒 Marketplace: https://github.com/marketplace/actions/agentguard-security
📊 Verified findings: https://github.com/agentguard-dev/agentguard/blob/main/docs/REAL-WORLD-FINDINGS.md
🔴 Live demo (attack blocked): https://github.com/agentguard-dev/agentguard-demo/pull/2
🌐 Landing page: https://agentguard-dev.github.io/agentguard/