ArgusBPF eBPF 系统与 AI Agent 活动监控 Vibe 项目

项目简介

ArgusBPF（cn0xroot/ArgusBPF）是一款基于 eBPF 的系统级监控与审计工具，特别强化了对 AI 编码 Agent 的活动识别。项目名取自希腊神话中的百眼巨人 Argus——意为"全天候盯着系统"。在 Linux/amd64 + root 环境下，它通过单条 CO-RE eBPF 程序挂载到 raw_syscalls/sys_enter 与 module_load/block_rq_issue 跟踪点，覆盖整机的系统调用；在 macOS、Windows、其他架构或非 root 环境下，自动降级为基于 gopsutil 的跨平台轮询收集器。无论哪种路径，识别 AI Agent CLI（Claude Code、Codex、Cursor、Gemini CLI、Grok CLI、Aider、OpenCode、ZCode、OpenClacky、Antigravity CLI）的 process comm/exe 身份后，会在事件流和泳道时间线里加 🤖 徽章并单独追踪。

核心功能

1. 单 eBPF dispatcher：不是 per-process ptrace，而是 bpf/monitor.c 一条 CO-RE 程序覆盖所有进程系统调用，无内核头文件依赖、跨内核版本免重编。
2. AI Agent 识别：内置 10 款主流 AI 编码 Agent CLI 的 comm/exe 映射表，命中后事件字段携带 agent/agent_display、UI 加 🤖 徽章、时间线有独立"by AI agent"泳道。
3. TLS / DNS / SQL 明文捕获：仿 eCapture 风格的 uprobes 挂在 OpenSSL 的 SSL_read/SSL_write、getaddrinfo、Postgres exec_simple_query 上，在目标进程自身内存里抓明文，不做 MITM 代理、不需要证书。
4. 同一事件两种渲染：每条事件同时给出 syscall 形式的专业版（含地址、扇区、原始字段）和用日常类比解释的 plain-language 版，全部由离线模板/查找引擎生成，零 LLM 调用、零网络、可全离线运行。
5. 风险规则：可编辑 JSON 规则集，标记读 /etc/shadow、W+X 内存页、ptrace attach、跨进程内存写、内核模块加载、SSH 活动等异常行为，分 info / low / medium / high 四级。
6. 完整 Web 仪表盘：实时 CPU / 内存 / 磁盘 / 网络曲线、事件流、泳道时间线（按类别 / 进程 / Agent 拆分）、网络连接、磁盘 IO（含扇区级散点图）、进程内存映射（/proc//maps 区域级可视化）、进程树、告警视图、术语表——风格仿 Grafana 暗色面板，自带时间范围选择器，不需要单独装 Grafana。
7. 跨平台单二进制：纯 Go，零 CGO（SQLite 走 modernc.org/sqlite），支持 darwin/windows/linux 三平台 × amd64/arm64，仅 eBPF 采集器是 linux/amd64 专属，其它路径都跑。

快速上手

1. 编译：make build（不需要 clang/bpftool，eBPF 对象已预编译）。
2. 运行：sudo ./argusbpf（无 root 时自动降级到轮询模式）。
3. 打开仪表盘：浏览器访问 http://127.0.0.1:10。
4. 过滤 AI Agent 事件：UI 或 API 用 ?agent=claude-code 等参数过滤，时间线页切到"by AI agent"泳道单独查看 Claude Code / Codex 等做了什么。
5. 接入新 Agent：在 internal/agents/agents.go 加一行映射，PR 即可。

技术实现

项目用 Go 写主体、eBPF C 写内核态监控程序，所有 eBPF 字节码随仓库发布预编译的 bpf/monitor.c 目标文件，运行时不依赖主机内核头文件。SQLite 通过 modernc.org 的 pure-Go 实现驱动，因此无需 CGO 即可跨平台编译。AI Agent 识别逻辑是 process comm/exe 字符串的纯查表，不调用任何外部模型。TLS/DNS/SQL 明文捕获通过 uprobes 抓目标进程自身的明文缓冲区，不需要中间人代理也不需要装根证书。Web 仪表盘是纯前端图表 + WebSocket 事件流，单二进制内嵌静态资源，开箱即用。

适用人群

• 在本地或服务器上跑 AI 编码 Agent（Claude Code / Codex / Cursor 等）的开发者
• 需要审计"AI Agent 在我机器上到底改了什么"的安全 / 运维人员
• 对 eBPF 技术感兴趣、想找开箱即用监控项目的内核 / 系统工程师
• 给团队搭建 AI Agent 行为基线和告警规则的负责人