numbat 是一款面向 AI Agent 端点活动的本地可观测与端点检测工具，它把自己运行的桌面端、命令行、IDE 和网关型 Agent 的活动统一起来，让团队能看清 Agent 在本机上做了什么、触发了哪些规则，并保留可以调查的结构化记录。对于已经在用 Agent 做开发或运维的团队来说，这种本地可见性是审计和排障的基础。
numbat 端点检测能力
numbat 通过本地 hooks、插件和 OTLP/HTTP 日志接入受支持的 Agent，把实时事件与磁盘上的会话工件归一化为统一的事件模型，再用同一套规则引擎做检测。规则支持内置 CEL 规则、多步骤序列规则和自定义 YAML 规则，检测全部在端点本地执行，结果以版本化 NDJSON 记录事件、发现结果、拦截决策、指标和扫描摘要，并保留来源引用和 JSON Schema，方便后续交换与复核。
除了实时监控，numbat 还能对受支持的磁盘会话工件做只读扫描和取证重建，不要求此前安装过 numbat 做仪器化。扫描结果可以按会话查看时间线，也可以打包成带 SHA-256 清单的可移植案件包，便于把一次调查的证据完整地移交给另一个人或另一台机器复核。
numbat 适用人群与使用场景
numbat 适合需要观察自己运行的桌面端、命令行、IDE 或网关型 Agent 活动的开发者、安全工程师和平台维护人员。典型场景包括监控受支持 Agent 的活动、扫描既有会话工件、重建调查时间线、生成便携式案件包，以及把事件和发现结果输出到标准输出、本地文件或 HTTP 接收端。
动作拦截是需要单独说明的一点：拦截默认关闭，仅适用于受支持的同步前置动作，随附规则本身是仅监控模式，不能直接据此获得拦截效果。需要拦截的团队应当先验证目标动作是否为支持的同步前置动作，再审查规则的执行标记、主机信任和记录交付链路。
numbat 部署注意与选型建议
numbat 以 Go 编写，提供不依赖 cgo 的单二进制分发，覆盖 macOS、Linux 和 Windows 的 amd64 与 arm64 架构。只读扫描不会安装 hooks，也不会修改 Agent 配置；实时监控则要求目标 Agent 位于覆盖矩阵支持的范围内，超出矩阵的目标需要先看文档或源码确认。
维护上有两点容易忽略：一是升级后需要用相同选项为每个已安装的 Agent 重新执行 hook 安装，以更新生成的 hooks 和插件；二是 hook 状态检查只能验证配置，不能证明 hook 已经执行或记录已经成功交付，长期使用要持续核对覆盖矩阵、规则文件、输出 Schema 和内容捕获配置。另外，常规记录不会包含完整原始转录，原始证据文件需要显式加入案件包，完整内容取证会受配置和工件可用性影响。
选型时先按覆盖矩阵确认目标 Agent、操作系统、架构和接入方式，再决定用只读扫描、实时 hooks、插件还是 OTLP/HTTP 日志。目标是建立本机 Agent 活动可见性、统一检测实时与静态会话数据、并保留可调查记录的团队，可以把 numbat 列为优先评估对象。
想试用 numbat，关注公众号软件教程管家，回复 numbat 获取下载链接，链接指向其 GitHub 仓库，支持的 Agent 与接入方式请以仓库文档为准。
关注「软件教程管家」
回复软件名即取即下：网盘下载链接 + 提取码，一步直达，不用再跳转。
本站资源仅供个人学习交流，请勿用于商业用途。软件与资料版权归原作者所有；如有侵权，请通过公众号「软件教程管家」联系我们，我们将在 24 小时内下架处理。查看免责声明 ›
