Kann ich Malwarebytes vibecoden?

Baue mir eine Prüfstation für heruntergeladene Dateien, der Teil von Malwarebytes, der ohne eigene Erkennungsmaschine auskommt. Anforderungen:

- Ein Python-Prozess mit watchdog, der einen Ordner beobachtet, standardmäßig ~/Downloads.
- Bei jeder neuen Datei: SHA-256 berechnen, dann drei Prüfungen, jede mit eigenem Ergebnis.
- Prüfung eins, VirusTotal: frage den Hash über die API ab, Schlüssel aus .env. Es wird nur der Hash gesendet, nie die Datei. Erkläre das in der README, denn der Unterschied ist wichtig.
- Prüfung zwei, ClamAV: lokaler Scan über clamscan, wenn installiert. Ohne ClamAV meldet die Prüfung ausdrücklich nicht durchgeführt, statt stillschweigend zu bestehen.
- Prüfung drei, Herkunft: lies unter macOS das Attribut com.apple.quarantine und zeige, von welcher URL die Datei stammt. Unter Linux die Zone-Identifier-Datei, falls vorhanden.
- Ergebnis als Benachrichtigung des Betriebssystems und als Zeile in einem Protokoll: Dateiname, Hash, Ergebnisse, Zeitpunkt.
- Bei einem Treffer wird die Datei nach ~/Quarantaene verschoben und das Ausführungsrecht entzogen. Gelöscht wird nie, denn Fehlalarme gibt es.
- Ein Befehl freigeben holt eine Datei aus der Quarantäne zurück und begründet das im Protokoll.
- Deutsch sind Ausgaben, Benachrichtigungen, Kommentare und README. Alle Bezeichner bleiben englisch: Befehle, Optionen, Ordnernamen, Protokollfelder.

Bewusst weglassen:

- Eine eigene Erkennungsmaschine. Signaturen und Verhaltensanalyse sind das Produkt, nicht das Skript darum.
- Laufenden Schutz im Hintergrund und Eingriffe in den Systemkern.
- Blocken gefährlicher Webseiten im Browser.