HOL Guard给AI装防火墙，人类先被弹窗围住

这句口号放在 HOL Guard 首页上，翻译成人话就是：AI agent 最危险的动作，往往不是它搞错了，而是它把你的命令执行得太认真。1

7 月 23 日，HOL Guard 团队在 Reddit 发帖宣布公开发布，Product Hunt 页面也显示「Launching today」。它把自己叫作 AI agent 防火墙，专门拦住删生产数据、读密钥、装可疑包、改 MCP 配置这些动作。23

听起来像给 Claude Code、Codex、Cursor 这些会动手的工具，加了一道门。

门后面站着的，还是你。

HOL Guard 不是聊天框，也不是又一个代码扫描器。

它用本地 launcher shim、agent hook、managed proxy 和策略层，把 agent 的动作拦在执行前，再决定允许、警告、要求审批，还是直接阻断。官方架构文档把流程写得很直白：先发现 harness 配置，再比较本地快照，解析策略，写入 receipt，最后才决定是否启动 agent。4

安装也不复杂：pipx install hol-guard，再运行 hol-guard init。

它目前列出的适配对象包括 Codex、Claude Code、Cursor、Gemini CLI、OpenCode、GitHub Copilot CLI、OpenClaw 等。5

这比把所有希望押在模型「自觉」上靠谱。

模型会把 rm -rf 当成完成任务的一部分，防火墙至少可以先让它停下来解释。

HOL Guard 的核心保护可以在本机运行，不需要云账号，也不按本地安全功能计量：harness 发现、策略判断、审批、receipts 和本地差异比较都能直接用。6

Apache 2.0 许可证也给了开发者足够宽的使用和修改空间。7

云端卖的东西则是同步证据、团队策略、设备可见性和共享审批。

官网还写了 Pro、Slack 和邮件提醒，以及企业级控制，但公开 billing 页面目前只剩计划入口，没有展示可核对的美元价格、成员数或额度表。18

这套定价逻辑很像一把免费发下来的门锁：单机用户不用付钱，团队想知道谁批准过什么，就得去问销售。

免费层对个人开发者很友好。

对准备把它接进公司权限体系的人，预算还只能先写一个问号。

Guard 目前有三层审批：agent 原生确认、本机 127.0.0.1 审批中心，以及终端里的 hol-guard approvals。Codex 和 Gemini 的部分场景仍然要回退到本地审批中心，审批页面由 daemon 提供，客户端还会轮询 HTTP 接口。9

官方文档自己承认，这些界面更像能工作的运维工具，而不是已经打磨好的产品体验。

这恰好是它最现实的成本。

一次危险操作被拦下，当然值得。

十次安全操作都要人类回来看一眼，agent 就从自动驾驶变成了副驾驶，副驾驶还不停喊你接管。

Reddit 上唯一一条可见评论已经把这笔账算出来了：一位自称用 agent 批量生产的自由职业者说，如果提醒每天打断工作流超过两次，他会直接关闭工具，或者不再信任它；上下文切换才是一天里最贵的成本。10

这不是反对审批。

这是在问策略能不能越来越聪明，而不是把所有模糊动作都丢回人类。

HOL Guard 现在最适合两类人：已经在本机长期跑 coding agent，愿意花一小时看懂自己的权限；以及维护插件、skills、MCP server 的开发者，想在发布前多加一道扫描门。官方还提供 plugin-scanner verify . 和 GitHub Action，用来检查插件权限、MCP 传输、提示注入标记和秘密泄露。15

它不适合被当成「装完就安全」的护身符。

Guard 能拦动作，不能替你决定哪些动作值得放行。

它能留下 receipt，不能替你承担误批、漏报和供应链事故的责任。

Product Hunt 页面目前只有 62 个关注者，Reviews 页面写着「No reviews yet」。311

官网自报 450K+ PyPI 下载和 37M+ 已保护交易，但 GitHub 仓库页面当前显示 416 个 Star，和官网写的 3.5K+ GitHub stars 对不上。15

数字先放一边，口碑还没长出来是事实。

想试，可以先从 HOL Guard 官方产品页 看本机安装，再到 GitHub 仓库 读代码和许可证。

HOL Guard 给 AI agent 装上了防火墙，人类还得先学会别对每个弹窗条件反射地点批准。

沐秋