Open source · december 2026
En open source-agent til Linux-servere, bygget på eBPF og skrevet i Rust. Den kombinerer deklarative regler med en indlært baseline for, hvordan hver server normalt opfører sig, sorterer støjen fra i kernen og slår ud på adfærd, den aldrig har set før – uden et lukket program, der kører som root.
Blackbox Linux er ikke udgivet endnu. Siden beskriver, hvad projektet sigter mod – ikke noget, I kan hente i dag. Første offentlige udgivelse er planlagt til december 2026.
Runtime-sikkerhed på Linux sælges mest som lukkede agenter med licens pr. server. I kan ikke se, hvad de gør, eller kontrollere, hvad de sender, og prisen stiger i takt med præcis det, I gerne vil have til at vokse. De åbne alternativer findes, men de forudsætter typisk et platformsteam til at drive dem. Imens har kernen haft de rigtige byggesten i årevis.
Kobl eBPF-programmer på de events, der betyder noget – processers livscyklus, eksekvering og de syscalls, der afslører noget interessant – og filtrér i kernen, før data koster jer noget. Saml relaterede events i procestræer, så et menneske kan læse dem. Lær oven i reglerne, hvad hver server normalt gør, og giv en score til det, den aldrig har gjort før, så et angreb, ingen har skrevet en regel til, stadig kan dukke op. Send dem derefter derhen, hvor I allerede sender telemetri, i et format, I ikke skal købe en parser til.
Tilgangen
Syv trin fra kernen og ud. Hvert trin gør det næste billigere.
eBPF-probes
Koblet på processers livscyklus og udvalgte syscalls
Filtre i kernen
Smider ligegyldige events væk, før de forlader kernen
Ring buffer
Låsefri overførsel fra kernen til userspace
Klassificering
Samler rå events til procestræer
Baseline-score
Sammenligner hvert procestræ med det, serveren normalt gør
Regelmotor
Deklarative betingelser afgør, hvad der er værd at rapportere
Eksport
Strukturerede data sendt samlet til jeres telemetri
Første offentlige udgivelse er planlagt til december 2026. Projektet bygges i det åbne, fordi det er den eneste måde at gøre løftet om gennemsigtighed troværdigt på – men indtil der er tagget en version, skal alt her læses som en hensigt, ikke som dokumentation.
Der er intet nyhedsbrev og ingen tilmeldingsformular. Skriv til mig, så giver jeg besked, når koden bliver offentlig – eller fortæl mig om et behov, der bør præge projektet.
Et par linjer om problemet er nok. Inden for én arbejdsdag svarer jeg med, hvad jeg tror, det er, hvor lang tid det cirka tager, og om I overhovedet har brug for mig. Nogle gange er det ærlige svar nej.