Jeder Nutzer von Coding-Agenten teilt denselben Alptraum: Der Agent führt git reset --hard oder rm -rf ./src aus und Stunden nicht eingecheckter Arbeit verschwinden. destructive_command_guard (dcg), ein Sicherheits-Hook von Jeff Emanuel, fängt diese Befehle ab, bevor sie ausgeführt werden. Er erhielt an einem Tag 444 Sterne und liegt jetzt bei 2,5 k, an der Spitze von GitHub Trending.
Was es tatsächlich tut
In Rust geschrieben, mit SIMD-beschleunigtem Matching, prüft dcg jeden Shell-Befehl, den ein Agent ausführen möchte — in weniger als einer Millisekunde, die meisten in unter 100 µs. Mehr als 50 modulare Pakete decken Datenbanken, Kubernetes, Docker, AWS/GCP/Azure, Terraform und CI ab. Es parst sogar Heredocs und Inline-Skripte, sodass python -c "os.remove(...)" ebenfalls erfasst wird. Es funktioniert mit Claude Code, Codex CLI, Gemini CLI, Cursor, Copilot CLI – im Grunde mit jedem großen Agenten, über einen einzigen Bash-Installer.
Der intelligenteste Design-Entscheid
Es schlägt offen fehl. Timeout oder Parsing-Fehler? Der Befehl wird durchgelassen. dcg lässt lieber einen fehlerhaften Befehl entgehen, als deinen Workflow zu unterbrechen – das gegenteilige Verhalten der meisten Sicherheits-Tools und genau der Grund, warum Entwickler es tatsächlich installiert lassen.