Чи безпечно встановлювати arc CLI?

Ця сторінка точно описує, що являє собою бінарник arc, що він робить під час роботи, що виходить з вашого комп'ютера і куди це йде, а також як вимкнути або видалити кожну з цих частин. Кожне твердження тут можна перевірити в скриптах встановлення та в самому бінарнику.

Що це таке

arc - це клієнт командного рядка для API Arc OS. Він розбирає вашу команду, надсилає HTTPS-запити до API, виводить результат і завершується.

Один самодостатній виконуваний файл, зібраний з одного вихідного файлу (clients/arc-cli.ts) за допомогою Bun. Жодного дерева залежностей у вашій системі не встановлюється.
Одноразовий процес. Команда виконується і завершується; ніщо не зберігається в пам'яті і не запускає жодної служби. Єдиний виняток - arc start, описаний нижче.
Одне мережеве призначення: arc-os.co (або URL сервера, який ви вказали самостійно). Бінарник не містить інших вихідних хостів, жодної аналітики і жодної телеметрії.

Встановлення

Скрипти встановлення завантажують зібраний бінарник з нашого сервера і розміщують його у вашому PATH:

# macOS / Linux
curl -sSf https://arc-os.co/install.sh | bash

# Windows (PowerShell)
iwr https://arc-os.co/install.ps1 -useb | iex

Обидва скрипти є звичайним текстом за цими URL. Якщо хочете спершу прочитати, що вони виконують, відкрийте їх. Передача будь-якого скрипта в оболонку означає довіру до його джерела; якщо ви не хочете цього, завантажте бінарник з URL, вказаного в скрипті, перевірте його самостійно і перемістіть у PATH вручну.

Поведінка під час роботи

Щоденні команди (arc issues, arc report тощо) виконуються і завершуються без залишкових процесів.

arc start запускає робочу сесію з Claude і встановлює сесійні хуки. Це єдині фонові дії, і кожна з них має перемикач вимкнення:

Поведінка	Що надсилається	Тригер	Вимкнення
Синхронізація чату	Повідомлення вашої сесії (з обмеженням розміру на кожне повідомлення) до вашого облікового запису Arc, щоб вебзастосунок міг показувати розмову.	Під час сесії `arc start`.	Використовуйте звичайні команди замість `arc start`.
Синхронізація табеля	Час роботи, проєкт, активна задача, заголовки комітів. Не вміст розмови. Не частіше ніж раз на 5 хвилин.	Під час сесії `arc start`.	`ARC_DISABLE_AUTO_SYNC=1`
Сповіщення в Telegram	Коротке повідомлення «хід завершено» або «очікує введення», якщо ви підключили Telegram.	Під час сесії `arc start`.	`CRM_DISABLE_TG_NOTIFY=1`
Автооновлення	Заплановане завдання, що перевіряє наявність новішої версії під час входу в систему. Лише для Windows і лише якщо ви запускали необов'язковий інсталятор для Windows. Скрипти curl/iwr вище цього не налаштовують.	Вхід у систему, лише інсталятор для Windows.	Деінсталяція його видаляє.

Жодна з них не є окремим демоном. Це хуки, прив'язані до сесії arc start або, для автооновлення, до інсталятора Windows, який ви обрали. Після завершення сесії нічого не продовжує працювати.

Синхронізація чату надсилає транскрипт вашої сесії на сервер. Це потрібно, щоб вебзастосунок показував ваші чати; це функція продукту, а не прихований канал. Якщо ви цього не хочете, не використовуйте arc start.

Дані та призначення

Весь трафік іде до arc-os.co (або до вашого налаштованого сервера) через HTTPS.
Надсилаються: метадані роботи (синхронізація табеля) і повідомлення сесії (синхронізація чату, лише під час arc start).
У бінарнику відсутні будь-які сторонні кінцеві точки аналітики, реклами чи телеметрії.

Облікові дані

arc login зберігає ваш токен у ~/.arc/config.json, який створюється з правами доступу лише для власника (файл 0600, каталог 0700).
Токен передається лише як заголовок Authorization: Bearer на налаштований сервер. Він ніколи не записується в журнали чи сповіщення; вивід хуків очищується від токенів, API-ключів і JWT перед передачею.
arc logout або видалення ~/.arc/config.json його прибирає.

Перевірка завантаження

Ми публікуємо SHA256-суму для кожного бінарника. Скрипти встановлення перевіряють її автоматично і переривають роботу, якщо суми не збігаються. Щоб перевірити вручну:

# Linux / macOS: compare your file against the published hash
curl -sSL https://arc-os.co/api/cli/download/linux-x64.sha256   # or darwin-arm64, darwin-x64
sha256sum arc        # compare the hash to the line above (shasum -a 256 on macOS)

# Windows PowerShell
(Invoke-WebRequest https://arc-os.co/api/cli/download/windows-x64.sha256 -UseBasicParsing).Content
Get-FileHash .\arc.exe -Algorithm SHA256

Усі хеші разом доступні за адресою https://arc-os.co/api/cli/checksums. Контрольна сума підтверджує, що файл збігається з тим, що віддає наш сервер, тож вона виявляє пошкоджене або підроблене завантаження. Сама по собі вона не доводить, хто є видавцем; це робить підпис коду (див. нижче).

Перевірка та видалення

arc --version        # version
which arc            # install location (macOS/Linux)
where arc            # install location (Windows)

Щоб видалити, видаліть бінарник з вашого PATH і каталог ~/.arc.

У процесі

Підпис коду. Бінарник ще не має підпису коду, тому Windows і macOS можуть показати попередження «невідомий видавець» під час першого запуску. Підпис заплановано, щоб ваша операційна система могла безпосередньо підтвердити видавця. До того часу ви можете самостійно перевірити файл за опублікованими вище контрольними сумами.

Якщо щось тут не відповідає тому, що ви бачите, напишіть нам.