Hook Shell Wrapper Guard — detecta destructivos escondidos en sh -c, python3 -c, etc.

Qué es#

El blocker básico Dangerous Command Blocker matchea patterns directos: rm -rf, dd if=. Pero bash -c 'rm -rf /' evade el match simple.

Este hook cubre ese gap: detecta comandos destructivos dentro de wrappers:

• sh -c "..."
• bash -c "..."
• python3 -c "..."
• node -e "..."
• perl -e "..."
• ruby -e "..."

Inspect el código embebido buscando destructivos. Hook event: PreToolUse.

Tabla resumen#

Cómo se instala#

npx claude-code-templates@latest --hook security/shell-wrapper-guard

Para Claude:

Instalé el hook security/shell-wrapper-guard. Probá:
`bash -c "rm -rf /tmp/test"` debería bloquearse aunque sea via wrapper.

Qué podés hacer con esto#

Cerrar gap del blocker básico#

Si solo tenés Dangerous Command Blocker, un command via wrapper pasa. Este hook lo cubre.

Para sesiones autónomas#

Modelos AI a veces "inventan" formas creativas de hacer cosas — incluyendo destructivos via wrappers. Defense in depth.

Combo natural#

Triple red de seguridad:

1. Dangerous Command Blocker — patterns directos
2. Shell Wrapper Guard (este) — wrappers
3. AI Bash Guard — AI-driven catch variaciones

Cuándo NO conviene#

Bajalo de la fuente#

• Ficha en aitmpl.com: Shell Wrapper Guard Hook — comando exacto.
• Config JSON: shell-wrapper-guard.json.

Recursos relacionados#

• Dangerous Command Blocker Hook — el primary blocker.
• AI Bash Guard Hook — AI-driven complement.
• Env File Protection Hook — para .env específicamente.