leak0 : Protection contre l'exfiltration d'identifiants

Termes

Périmètre de contrôle

leak0 vérifie quatre voies par lesquelles un secret peut quitter votre appareil ou se retrouver au mauvais endroit.

Quand leak0 bloque

Un blocage nécessite l'une de cinq preuves, B1 à B5. Sans preuve, leak0 ne bloque pas ; il pose une question, masque ou ajoute une remarque.

Ce que contient un message

À chaque blocage et à chaque question, l'agent reçoit un message. Il ne nomme jamais la valeur secrète. Il contient :

• leak0 comme expéditeur et la preuve (B1 à B5)
• la classe de règle avec le préfixe leak0:, par exemple leak0:checksum_token_commit
• le type de preuve : chemin résolu, structure, checksum ou correspondance de hash
• le hash court de la valeur
• comment désactiver leak0

Quand leak0 ne bloque pas

leak0 ne bloque que lorsqu'une fuite est prouvée. Dans ces cas, la preuve manque, il n'y a donc jamais de blocage.

Les dossiers de test sont les dossiers du dépôt qui portent exactement l'un de ces noms : test, tests, testdata, fixtures, fixture, __tests__, __fixtures__, __mocks__. Comptent aussi les fichiers de test comme *_test.*, *.spec.* et *.test.*, ainsi que les modèles se terminant par .example, .sample ou .template.

Seul compte le chemin depuis la racine du dépôt. Le dossier qui contient le dépôt ne compte pas : leak0 contrôle un projet sous ~/TestApp comme tout autre.

Les dossiers de documentation (docs, doc, examples, example, samples, sample, spec) n'assouplissent que les détections de tokens. leak0 y contrôle les fichiers secrets comme partout : docs/.env avec des valeurs réelles entraîne une question, un vrai fichier d'identifiants un blocage.

Nouveaux fichiers secrets dans Git

Lorsqu'une commande Git intègre un nouveau fichier secret, par exemple un .env, un fichier d'identifiants ou un fichier de clé, leak0 contrôle son contenu. Le message nomme le fichier, jamais la valeur.

Qui pose la question dépend de l'agent :

Autorisation dans le dialogue PoisonZero

Codex et Gemini CLI ne peuvent pas vous interroger eux-mêmes depuis le hook. Pour un fichier de secrets dans Git, c'est donc PoisonZero qui demande, en deux étapes. Les deux fenêtres portent le titre « poison0 agent: leak0 safeguard ».

Pourquoi une connexion système ? Un agent peut déclencher lui-même un clic sur Autoriser, par exemple par automatisation de l'interface. Il ne peut pas donner la connexion de votre système d'exploitation. Un clic seul ne laisse donc rien passer.

Seule compte la connexion du compte sous lequel l'agent s'exécute ; vous n'avez pas besoin de droits d'administrateur. Claude Code continue de demander dans son propre dialogue de confirmation.

Autorisation dans votre propre terminal

Sans bureau, par exemple en SSH, leak0 bloque et indique la commande poisonzero leak0 allow <fichier>. Exécutez-la dans votre propre terminal, pas via l'agent. Laissez ensuite l'agent refaire le commit ou le push.

• Confirmation : votre propre mot de passe, dans votre propre terminal. Vous n'avez pas besoin de droits d'administrateur. Sous macOS et Linux, sudo fonctionne aussi.
• Ce contenu uniquement : si le fichier change ensuite, l'autorisation ne s'applique plus.
• Échecs : 3 secondes entre deux tentatives. Après 5 échecs, l'autorisation est bloquée pendant 15 minutes.
• Service : le service PoisonZero vérifie la connexion, délivre l'autorisation et l'enregistre. Il doit être en cours d'exécution.
• Pas par l'agent : si l'agent exécute lui-même la commande, leak0 la bloque (B5).
• Le message à l'agent indique la commande aussi après un refus dans le dialogue.

Autorisation par les utilisateurs dans le profil

Dans les profils Cloud, l'admin décide si les personnes sur l'appareil peuvent autoriser elles-mêmes les commits contenant des fichiers de secrets. Console : section leak0, interrupteur Les utilisateurs peuvent autoriser eux-mêmes les commits contenant des fichiers de secrets. Par défaut : activé.

Les appareils privés n'ont pas cet interrupteur. L'autorisation y est toujours possible.

Notification de bureau lors d'un blocage

Lorsque leak0 bloque un appel, PoisonZero peut afficher une notification de bureau : agent, outil et ce qui a été bloqué, par exemple « Jeton dans un commit ». Elle ne contient jamais de valeur secrète, de chemin ni de commande.

Agents pris en charge

leak0 prend en charge cinq agents. Ce qu'il fait pour chaque agent dépend des hooks que l'agent propose.

Ce que signifient les colonnes

• Bloquer : leak0 arrête l'appel d'outil avant son exécution lorsque l'une des preuves B1 à B5 est remplie. Cela vaut pour les cinq agents.
• Question : lorsqu'un secret est probable mais non prouvé, par exemple avec git add .env, une question vous est posée avant l'exécution de l'appel. Claude Code et Antigravity CLI affichent leur dialogue de confirmation, Cursor pour les appels shell et MCP. Codex et Gemini CLI : le dialogue PoisonZero pour les fichiers de secrets dans Git, voir Autorisation dans le dialogue PoisonZero.
• Remarque (colonne Question) : pour les autres questions, Codex et Gemini CLI ne proposent pas de dialogue depuis le hook. L'appel s'y exécute, et leak0 renvoie à l'agent un message texte qui nomme la détection.
• Masquer les secrets dans la sortie des outils : lorsqu'un secret apparaît dans la sortie d'un outil, par exemple avec cat .env, leak0 remplace uniquement la valeur avant que le modèle ne la voie : OPENAI_API_KEY=[leak0:openai:a1b2]. Si la valeur ne peut pas être isolée, leak0 retient toute la sortie. Cursor : pour les sorties MCP. Antigravity CLI : non disponible, car l'agent ne propose qu'un hook avant l'appel d'outil. Sorties shell et de fichiers dans Cursor : une remarque à l'agent, consignée dans l'audit comme leak0_warned.
• Vérifier vos saisies : leak0 vérifie votre propre saisie, par exemple un token collé, avant qu'elle ne parte vers le modèle. Antigravity CLI : non disponible. Cursor CLI en mode impression (-p) n'appelle pas le hook de saisie.

Lorsqu'une sortie d'outil est trop volumineuse pour être contrôlée dans le temps disponible, leak0 la retient en mode Activé. L'agent reçoit une remarque l'invitant à restreindre la commande, par exemple avec head ou grep.

Les détections qui ne justifient ni un blocage ni une question reçoivent une remarque de leak0 : toujours avec Codex, Cursor et Gemini CLI, et avec Claude Code tant que exec0 est désactivé. Antigravity CLI n'a pas de champ pour les remarques ; l'appel s'y exécute sans message.

À noter

• Codex : la recherche web intégrée s'exécute chez le fournisseur sans hook et n'est pas vérifiée.
• Les exécutions dans le cloud, comme Codex Cloud ou l'agent cloud de Copilot, ne s'exécutent pas sur votre appareil ; leak0 ne les voit pas.
• poisonzero leak0 status indique pour chaque agent de l'appareil s'il est protégé, partiellement protégé ou non protégé.

Agents que leak0 ne prend pas (encore) en charge

Hors périmètre

leak0 ne couvre pas ces cas, ou seulement en partie. La colonne de droite indique ce qui s'applique à la place.

Modes de fonctionnement

leak0 n'est jamais activé en silence. Il n'est activé qu'après une décision : dans l'installeur, avec PZ_SETUP_LEAK0, avec sudo poisonzero leak0 enforce ou dans le profil de la console. Sans aucune d'elles, le mode est off.

• Ordre : réglage local, puis profil, puis off. Sur les appareils Cloud, le réglage local ne compte pas.
• leak0 est indépendant de exec0 : leak0 activé avec exec0 désactivé est un réglage valide. Les deux s'exécutent dans la même entrée de hook ; leak0 vérifie en premier.
• leak0 fait partie de Solo Dev, Pro et Enterprise.

Configuration en mode Cloud

1. Dans la console, ouvrez Settings → Profils.
2. Enterprise : cliquez sur Modifier sur le profil. Solo Dev et Pro : le profil s'affiche directement dans cette section.
3. Dans la zone leak0, choisissez Activé, Observer ou Désactivé. Les profils existants démarrent sur Désactivé ; un nouveau profil a Activé présélectionné.
4. Ajoutez si vous le souhaitez vos propres fichiers de secrets et exclusions dans les deux listes et décidez si les utilisateurs peuvent autoriser eux-mêmes les commits contenant des fichiers de secrets.
5. Enregistrez. Les appareils Cloud prennent le réglage à leur prochaine synchronisation avec la console et ajoutent les entrées de hook manquantes ; les utilisateurs de Codex confirment les nouveaux hooks dans Codex avec /hooks.

Sur les appareils Cloud, les commandes poisonzero leak0 qui modifient quelque chose sont refusées, sauf clear ; le réglage de la console s'applique. Sur les profils privés, la console affiche une remarque indiquant que le réglage ne s'applique qu'aux appareils Cloud.

Configuration en mode privé

Les appareils privés ne sont pas pilotés depuis la console. Tout se règle avec la CLI sur l'appareil.

Les réglages sont stockés dans le répertoire de données : /var/lib/poisonzero (Linux), /Library/Application Support/PoisonZero (macOS), <ProgramData>\PoisonZero (Windows), voir Installer l'agent poison0.

Installation

Dans un terminal, l'installeur demande s'il faut activer leak0 : Activé, Observer ou Désactivé, avec Activé présélectionné. Cela vaut aussi pour l'installation en une ligne avec curl -fsSL https://poisonzero.com/install.sh | sudo sh.

Les installations sans surveillance (MDM, outils de flotte, scripts) lisent PZ_SETUP_LEAK0 ; sans elle, leak0 reste désactivé. Sur les appareils Cloud, le profil de la console décide.

curl -fsSL https://poisonzero.com/install.sh | sudo PZ_SETUP_LEAK0=enforce sh

$env:PZ_SETUP_LEAK0='enforce'
irm https://poisonzero.com/install.ps1 | iex

Entrées de hook

Appareils existants : une mise à jour n'active pas leak0. Il reste désactivé jusqu'à ce que vous exécutiez sudo poisonzero leak0 enforce ou que vous l'activiez dans le profil de la console.

Audit

Chaque décision de leak0 est écrite comme événement d'audit.

Champs par événement : agent, outil, classe de règle, mode et un hash court. Jamais inclus : la valeur secrète, le chemin ni la commande. Dans la console, les événements ont leurs propres libellés ; leak0_blocked et leak0_redacted comptent comme incidents. leak0_warned ne compte pas comme incident. Une nouvelle tentative dans les 60 secondes suivant un refus et une tentative au-delà de la limite de dialogues figurent chacune comme entrée leak0_blocked distincte. Si l'autorisation pour exactement ce contenu a déjà été consommée par un push, l'entrée l'indique. leak0_granted et leak0_grant_locked comptent comme incidents.

Confidentialité

Jamais dans l'audit : valeurs, chemins, commandes, arguments ni votre prompt. Liste complète : Ce que le mode Cloud envoie.

Comparaison avec exec0 et la protection de la mémoire

Pour aller plus loin

Appels d'outils nuisibles : exec0. Ce que protège poison0 : Ce que fait l'agent poison0. Choisir un mode : Cloud ou privé.