In questa pagina
- Il punto di controllo si e spostato. Quasi nessuno se n'e accorto.
- Cosa e appena uscito
- Quattro livelli di governance, una sola installazione
- Un passaggio concreto
- Cinque agenti, rilevati automaticamente
- La traversata: dalla registrazione a un prompt governato
- Privacy: nulla del tuo codice attraversa la rete
- Prezzo: incluso in ogni piano, piano gratuito compreso
- Cosa cambia
Il tuo agente di codice IA spedisce piu codice in un giorno di quanto i tuoi revisori ne leggeranno in un mese. Abbiamo appena spedito lo strumento che da a quell'agente le tue regole di business, i tuoi framework di sicurezza e la tua lista di azioni da fermare. Installato in 5 secondi.
@cybedefend/[email protected] e arrivato su npm ieri. E una sola riga npx che rileva automaticamente ogni agente di codice sul tuo laptop e li collega al livello di governance CybeDefend. Niente yaml. Niente deploy. Nessun container da costruire. Nessun endpoint SaaS da mettere in allowlist. Eseguila, scegli la tua regione, scegli i tuoi agenti, e il tuo prossimo prompt e gia governato.
Questo post spiega cosa fa il pacchetto, perche esce ora e come passare da npm a un prompt protetto in meno di sessanta secondi.
Il punto di controllo si e spostato. Quasi nessuno se n'e accorto.
Per quindici anni l'AppSec ha vissuto dentro la pull request. Il SAST scansionava il diff. La SCA controllava le dipendenze. Il revisore leggeva il cambiamento. Tre livelli, tutti allineati sullo stesso artefatto: la PR.
Quel modello presume una cosa essenziale: che un essere umano legga il diff prima che venga sottoposto a merge. Funziona al ritmo umano. Non funziona al ritmo dell'agente.
Quando la sessione Claude Code di un singolo sviluppatore spedisce 2.000 righe di codice in un pomeriggio, il loop di revisione della PR si frattura. Alcuni team fanno semplicemente il merge. Altri accorpano l'output dell'agente in un'unica enorme PR che nessun essere umano legge davvero dall'inizio alla fine. In ogni caso, il diff ha smesso di essere un punto di controllo. E ora una trascrizione.
Il nuovo punto di controllo e il prompt stesso. Qualunque regola tu voglia imporre, devi metterla nelle mani dell'agente prima che scriva la riga incriminata, non dopo, in uno scanner che arriva quando il codice e gia su disco e l'agente e gia passato oltre.
E questa l'intera tesi dietro VibeDefend, ed e cio che e uscito ieri.
Cosa e appena uscito
VibeDefend e una CLI Node distribuita come @cybedefend/vibedefend su npm. Fa una cosa: installa il ponte tra il tuo agente di codice e il backend di governance di CybeDefend. Quel ponte ha quattro livelli: regole di business estratte dal tuo repo, regole di sicurezza dai framework di conformita canonici, action guard che bloccano le chiamate pericolose prima che partano, e live findings che alimentano ogni risultato degli scanner nell'agente.
L'installer tiene in una riga.
npx -y @cybedefend/vibedefend@latest install
E tutta l'interfaccia. L'installer e interattivo: rileva automaticamente quali tra Claude Code, Cursor, OpenAI Codex, Windsurf e VS Code Copilot vivono sulla tua macchina, chiede la tua regione (EU o US) e scrive il cablaggio MCP, gli hook delle regole e i file di dottrina nei posti giusti.
Node 18.17 e l'unico requisito. La maggior parte dei lettori lo ha gia perche Claude Code, Cursor e Codex spediscono comunque con un Node incluso. Funziona su macOS, Linux e Windows; bash, zsh, fish, PowerShell, cmd e Git Bash si comportano tutti allo stesso modo.
Quattro livelli di governance, una sola installazione
Una volta cablato VibeDefend, quattro livelli indipendenti iniziano a sorvegliare l'agente. Ogni livello gestisce una superficie di minaccia diversa, e ciascuno parla una forma di regola diversa.
Business Rules
Le convenzioni del tuo repo che sono reali ma non sono mai state messe per iscritto. Usa Decimal128 per il denaro. Non esporre mai un record con soft delete. L'autorizzazione passa per requireOwner, non per un controllo grezzo di appartenenza. VibeDefend le estrae dal modo in cui il tuo team gia scrive codice, le propone come regole esplicite, e l'autopilot continua a estrarle mentre spedisci. Ogni regola accettata atterra nel contesto dell'agente prima della modifica successiva.
Security Rules
OWASP Top 10, SOC 2, GDPR, ISO 27001: i playbook che i tuoi auditor gia si aspettano, caricati il giorno in cui installi. Aggiungi le tue regole custom sopra. L'agente legge ogni promemoria applicabile prima di ogni modifica, cosi il requisito del framework diventa parte della scrittura anziche una casella da spuntare al momento dell'audit.
Action Guard
sudo rm -rf, letture grezze di process.env su chiavi che sembrano segreti, istruzioni psql ad hoc contro host che sembrano di produzione. Action Guard intercetta la chiamata dell'agente prima che parta. Imposta warn o block per regola, aggiungi i tuoi pattern vietati, ogni intercettazione atterra nell'audit trail.
Live Findings
Ogni risultato degli scanner di CybeDefend, SAST con reachability, SCA, segreti, IaC e CI/CD, e live nel contesto dell'agente. Cosi l'agente non si limita a scrivere codice sicuro, smista e corregge le vulnerabilita che hai gia, ogni correzione un diff che approvi.
Il senso di separarli e che falliscono in modi diversi. Una business rule che scivola e un bug di qualita: il tuo codice si allontana dalla convenzione, il modello mentale del tuo team diventa piu difficile da condividere. Una security rule che scivola e un bug di conformita: spedisci qualcosa che fallisce un controllo SOC 2. Un Action Guard che manca e un bug adesso: l'agente ha appena eseguito qualcosa di distruttivo sulla macchina a cui aveva accesso. VibeDefend gestisce tutti e quattro dalla stessa installazione.
Un passaggio concreto
Tre minuti dopo l'install, la tua sessione Claude Code somiglia a qualcosa del genere.
Chiedi all'agente di aggiungere una funzionalita di codice sconto al checkout. L'agente modifica cart-checkout.ts. Prima che la modifica atterri, VibeDefend spinge la regola estratta no-raw-amount-math da src/billing.ts:14 nel contesto: "Gli importi monetari DEVONO usare Decimal128, mai Number." L'agente la applica gia alla primissima scrittura (total = new Decimal128(cart.sum)) senza che tu debba dire una parola.
Un minuto dopo gli chiedi di filtrare la ricerca utenti per email. L'agente comincia a buttare giu db.query("SELECT * FROM users WHERE email = '" + email + "'"). VibeDefend riconosce owasp-a03-injection (severity: high) prima che la riga sia finita e l'agente riscrive con una query parametrizzata. Di nuovo, non hai detto nulla.
Piu tardi, mentre fa il debug di un problema d'ambiente, l'agente propone con sicurezza sudo rm -rf /etc/old-config. Action Guard lo blocca con no-destructive-sudo (severity critical, attivo per default, non disattivabile) e l'evento atterra nel tuo audit trail CybeDefend con un timestamp e un motivo. L'agente riceve un rifiuto cortese; tu ottieni una voce di log; nulla si rompe.
Nessuno di questi turni e stato controllato da uno scanner che legge il diff sottoposto a merge. Tutti e tre sono stati controllati al prompt, da uno strumento che aveva gia la regola giusta in mano.
Cinque agenti, rilevati automaticamente
L'installer copre i cinque agenti di codice che detengono gran parte del mercato operativo nel 2026: Claude Code, Cursor, OpenAI Codex, Windsurf e VS Code Copilot. Rileva quali sono installati sulla tua macchina e cabla solo quelli che lasci spuntati. Riesegui l'installer in qualsiasi momento per attivare o disattivare un agente; e idempotente.
I cinque agenti non espongono la stessa superficie di hook, quindi la copertura di ogni livello differisce un po'. Claude Code, Cursor e Codex hanno l'integrazione piu profonda. Windsurf supporta i guard lato scrittura piu un fallback intelligente per gli strumenti non di scrittura. VS Code Copilot spedisce MCP e i livelli di regole; gli Action Guard sono ancora in attesa dal lato di GitHub. Rieseguire l'installer porta dentro qualsiasi agente che spedisca nuove superfici di hook tra una release e l'altra.
La traversata: dalla registrazione a un prompt governato
Il percorso credibile piu rapido tra "ho visto un tweet su questa cosa" e "il mio agente e governato" e di circa sessanta secondi.
La dashboard vive su eu.cybedefend.com o us.cybedefend.com a seconda della tua regione; la scegli alla registrazione. Il piano gratuito esiste, nessuna carta richiesta, e include tutto cio che serve per provare i quattro livelli dall'inizio alla fine. L'UUID e sulla pagina del progetto una volta che ne crei uno. Il .cybedefend/config.json e un file JSON di una riga che inserisci alla radice di ogni repo che vuoi monitorare:
{ "projectId": "<your-cybedefend-project-uuid>" }
E tutto l'onboarding. Nessun SDK da vendere, nessuna immagine Docker da mantenere, nessun DSL di policy da imparare. L'agente recupera il cablaggio al prossimo avvio di sessione.
Privacy: nulla del tuo codice attraversa la rete
VibeDefend vive sul tuo laptop, accanto al tuo agente. Le decisioni (se una regola scatta, se un'azione viene bloccata, se un pattern estratto vale la pena di essere proposto) avvengono localmente. Solo metadati di governance strutturati raggiungono il backend di CybeDefend: il nome della regola che e scattata, il percorso del file su cui puntava, la severita, un timestamp, l'agente che ha chiamato.
Nessun codice sorgente attraversa la rete. Nessun contenuto del prompt attraversa la rete. Le regole di business estratte sono prodotte localmente e spedite alla piattaforma come enunciati in linguaggio naturale di una riga accompagnati da un riferimento al file; il corpo del file non viene mai trasmesso. L'audit trail vede la regola, mai la riga di codice che ha fatto match.
I tenant EU e US sono fisicamente separati. Scegli la regione al momento dell'install; l'audit trail risiede nel tenant che corrisponde. Nessuna replica, nessun percorso cross-region. Se ti servono entrambi, crei due progetti.
Prezzo: incluso in ogni piano, piano gratuito compreso
VibeDefend e incluso in ogni piano CybeDefend, piano gratuito compreso. Il pacchetto npm e gratuito, licenziato BUSL-1.1, e si converte in Apache-2.0 il 2030-05-25. I piani a pagamento dal lato piattaforma sbloccano la conservazione storica dell'audit trail, la gestione delle regole multi-team e le dashboard a livello di org.
L'intento e semplice: l'attrito per mettere la governance dentro l'agente dovrebbe essere zero. L'attrito per scalarla in un'organizzazione e dove comincia la relazione commerciale.
Cosa cambia
Per dieci anni l'AppSec ha venduto scanner che arrivavano dopo che il codice era stato scritto. Aveva senso quando erano gli esseri umani a scrivere il codice, perche gli esseri umani di solito rallentano prima di fare il merge. Quel modello e ora in ritardo di un ordine di grandezza rispetto al workflow. L'agente spedisce piu in fretta del ciclo dello scanner, il revisore legge meno di quanto l'agente produce, il diff non e piu la barriera che era.
Il punto di controllo si e spostato sul prompt. La domanda per ogni team nel 2026 e se il loro stack AppSec si sia spostato con esso, oppure se stiano ancora finanziando strumenti che presidiano una fase della pipeline che non conta piu cosi tanto.
VibeDefend e la risposta che abbiamo appena spedito. Non e l'unica possibile, e non sara l'ultima forma che la categoria prendera. Ma e la prima cosa che abbiamo visto che si installa in 5 secondi, che gira sul tuo laptop, che parla ogni agente di codice principale e che ti da tutti e quattro i livelli di governance in un colpo solo. E questa l'asticella d'ora in poi.
Il pacchetto completo e su npmjs.com/package/@cybedefend/vibedefend. Il README e la matrice di supporto vivono su GitHub. La pagina prodotto e su cybedefend.com/vibedefend. La piattaforma e su eu.cybedefend.com e us.cybedefend.com.
Spedisci una funzionalita questo pomeriggio. Guarda le tue regole di business atterrare nel contesto dell'agente. Dicci cosa ci e sfuggito.
