Die Suche findet Wörter. Im Gespräch gehen Sie das ganze Thema durch.Sie bekommen eine Antwort aus der Dokumentation und die Seite, auf der sie steht.
exec0
So prüft exec0 Tool-Aufrufe
exec0 prüft jeden Tool-Aufruf eines KI-Agenten vor der Ausführung, direkt auf dem Gerät. Diese Seite zeigt, was geprüft wird, wie eine Entscheidung fällt, welche Regeln ohne Modell greifen und was wo gespeichert wird.
Lesezeit ~5 Min · exec0
Was geprüft wird
Tool
Geprüft
Hinweis
Bash
ja
Shell-Befehle
Write, Edit, NotebookEdit
ja
Dateien schreiben und ändern
WebFetch, WebSearch
ja
Web-Abrufe
MCP-Tools
ja
Jeder Aufruf an einen MCP-Server
Read, Grep, Glob
nein
Lesen bleibt frei. Was der Agent gelesen hat, fließt in die nächste Prüfung ein.
Subagenten
ja
Deren Tool-Aufrufe werden wie alle anderen geprüft
Agent
Stand
Alle gängigen Coding-Agenten, darunter Claude Code, Codex, Cursor und Gemini CLI
unterstützt
Was die Prüfung sieht
Eingabe
Inhalt
Auftrag
Ihr letzter Auftrag an den Agenten
Verlauf
Frühere Tool-Aufrufe derselben Sitzung: Name und gekürzte Argumente
Gelesenes
Der Inhalt der letzten Datei, Webseite oder MCP-Antwort, die der Agent gelesen hat
Aufruf
Tool-Name und Argumente des Aufrufs, der gleich laufen soll
Entscheidungen
Entscheidung
Wann
Folge
allow
Kein Hinweis auf Schaden
Der Aufruf läuft.
ask
Der Fall ist unklar
Der PoisonZero-Dialog öffnet sich. Der Aufruf wartet auf Ihre Antwort.
block
Eine feste Regel greift, oder Melira AI erkennt klaren Schaden
Der Aufruf läuft nicht. Der Agent erhält den Grund.
Es zählt der Aufruf, nicht, wer ihn verlangt. Ein klar schädlicher Aufruf wird blockiert, ob er aus einer Webseite, einer Datei, eingeschleustem Text oder Ihrem eigenen Auftrag stammt, und zwar ohne Rückfrage. Klarer Schaden heißt: Daten gehen an ein fremdes Ziel, eine Sicherheitsfunktion wird abgeschaltet, Zugangsdaten werden abgegriffen, etwas wird zerstört.
Feste Regeln
Feste Regeln greifen zuerst, ohne Modell. Ein Treffer blockiert sofort, auch wenn die Engine nicht läuft.
Regel
Beispiel
Root-, Home- oder Systemordner löschen
rm -rf auf /, ~ oder /usr
Platte formatieren oder überschreiben, nach /dev schreiben
dd auf einen Datenträger
Code aus dem Netz direkt ausführen
curl … | sh
Schlüsselbund des Systems auslesen
Gespeicherte Passwörter aus dem Schlüsselbund auslesen
Geheimnis an einen fremden Host senden
Ein GitHub-Token an example.com. Denselben Token an api.github.com blockiert diese Regel nicht.
Aufrufe, die manchmal legitim sind, gehen stattdessen mit einem Hinweis an Melira AI:
Agent-Einstellungen und Hooks schreiben
In Ordner mit Zugangsdaten schreiben, zum Beispiel ~/.ssh/authorized_keys
Force-Push auf main oder master
Einstellungen
Wie exec0 eingreift, legen Sie beim Einrichten fest.
Zeitüberschreitung und Fehler
Situation
Ergebnis
Keine Antwort im Dialog vor Fristende
block
Dialog geschlossen oder weggeklickt
block
Feste Regel greift, während die Engine nicht läuft
Inhalt des Aufrufs: Befehl, Argumente, Dateipfade, Dateiinhalt, URL
Auf dem Gerät
Auf dem Gerät
Auftrag, Verlauf, Gelesenes
Auf dem Gerät, je Sitzung
Auf dem Gerät, je Sitzung
Erlaubte Aufrufe (allow): Eintrag im lokalen Journal, ohne Inhalte
Auf dem Gerät
Auf dem Gerät
Eingriffe (block, ask): Audit-Eintrag, ohne Inhalte
Auf dem Gerät und in der Konsole
Auf dem Gerät
Ein Audit-Eintrag enthält nur diese Felder:
Feld
Inhalt
Zeit
Zeitpunkt des Eingriffs
Aktion
block oder ask
Tool
Nur der Tool-Name, zum Beispiel exec0:Bash
Grund
Name der festen Regel oder Melira AI
Kategorie
Name der erkannten Kategorie
Gefahrenwert
Wert von 0 bis 1, bei Bewertung durch Melira AI
Nie im Audit: Befehl, Argumente, Dateipfade, Dateiinhalte, URLs und Ihr Auftrag. Im Private-Modus geht auch das Audit nicht an die Konsole; das Gerät holt nur etwa alle 30 Tage die Lizenz.