Aegis — AI Agent Governance

Agent-Aegis

AI エージェントのためのガバナンスレイヤー。1 つの API、12 のフレームワーク、すべてのガバナンスプリミティブ。

Aegis はエージェントガバナンスにおいて、Redis がデータ構造に果たす役割と同じです。プロンプトインジェクションのブロック、PII のマスキング、ポリシーの適用、信頼の委任、改ざん検知可能な監査を、あらゆるエージェントフレームワークで統合する単一のランタイムです。コードの変更は不要です。
pip install agent-aegis → aegis.auto_instrument() → これで 12 のフレームワークがガバナンス下に置かれます。

Aegis とは • プリミティブ • フレームワーク • ユースケース • 30 秒で始める • 研究 • ドキュメント • プレイグラウンド

英語 • 한국어

---

---

Aegis とは

あらゆる AI エージェントフレームワークが同じガバナンスプリミティブを独自に実装しており、その方法には少しずつ違いがあります。Aegis はそれらを統合する抽象化レイヤーです。

レイヤー	機能	例
1. プリミティブ	すべてのツール呼び出しに共通する契約	Action、ActionClaim、Policy、Result、DelegationChain、AuditEvent
2. アダプター	各フレームワーク独自のフックを通じて自動計測	LangChain コールバック、CrewAI BeforeToolCallHook、OpenAI Agents のトレーシング、Google ADK BasePlugin、MCP トランスポート、DSPy モジュール、httpx ミドルウェア、Playwright コンテキスト
3. ガバナンス	ポリシーに組み合わせる宣言的プリミティブ	プロンプトインジェクション／PII／情報漏えい／有害性のガードレール、RBAC、レート制限、コスト予算、ドリフト検出、異常スコアリング、信頼の委任、正当化ギャップ、選択監査、Merkle 監査チェーン
4. ライフサイクル	エージェント運用のあらゆる段階に対応する単一ランタイム	スキャン → 計測 → ポリシー CI/CD → ランタイム → プロキシ → 監査

import aegis
aegis.auto_instrument()    # 12 frameworks governed. No other code changes.

LangChain 用、CrewAI 用、OpenAI 用のガードレールを個別に作る必要はありません。1 つの Policy を作れば、すべてのフレームワークに適用されます。

ガードレールライブラリとの違い

これらは別の問題に取り組んでおり、その多くはテキストを中心としたものです。Guardrails AI は、バリデーターのハブを使ってモデルの出力を検証します。NeMo Guardrails は、Colang DSL で会話とツールのポリシーをスクリプト化します。Snyk Agent Scan は、Snyk による買収後、Invariant Labs の mcp-scan となり、MCP サーバーとエージェントスキルを既知のリスクパターンについてスキャンし、実行時にプロキシとして動作させることもできます。LLM Guard は、2026 年 7 月にアーカイブされるまで、入力と出力を連鎖的にスキャンしていました。どれも、呼び出し元自身が、選んだ呼び出し箇所に組み込む必要があります。Aegis は逆のアプローチを取ります。auto_instrument() がすでにインストールされているフレームワークを検出し、その場で計装するため、エージェントのコードを一行も変更せずに、1 つの Policy ですべてをカバーできます。適用対象もプロンプトではなくエージェントに沿ったものです。単調な信頼制約のもとでの委任チェーン、エージェントが選んだものではなく 除外した ものの監査、エージェントが宣言した意図と測定された影響の隔たり、改ざんを検知できる監査チェーンが含まれます。すべて決定論的に動作するため、リクエスト経路に 2 つ目のモデルが介在することはありません。これらの選択肢は排他的ではありません。セマンティック検出器やモデルベースの検出器を、組み込み機能とともに GuardrailEngine.add() に追加できます。

---

プリミティブ

すべてのアダプターが対応付ける共通の契約です。設計上、フレームワークに依存しません。

プリミティブ	目的	モジュール
Action	すべてのフレームワークにおける、あらゆるツール／LLM／HTTP／MCP 呼び出しの統一表現	aegis.core.action
ActionClaim	三者構造 — 宣言（エージェントが記述）／評価（Aegis が算出）／チェーン（委任）	aegis.core.action_claim
Policy	宣言型 YAML ルール：照合 → リスク → 承認（auto／approve／block）	aegis.core.policy
ClaimPolicy	ツール名だけでなく、6 次元の影響ベクトルを評価するポリシーレイヤー	aegis.core.claim_policy
Guardrails	インジェクション、PII、プロンプト漏えい、毒性を対象とした決定論的な正規表現チェック — コールド時 2.65ms／ウォーム時 <1µs	aegis.guardrails
DelegationChain	単調な信頼制約（非増加）のもとで複数エージェント間の引き継ぎを追跡	aegis.core.agent_identity
AuditEvent	改ざんを検知できる追記専用ログ。Merkle チェーン化され、SQLite、JSONL、Webhook を出力先として利用	aegis.core.merkle_audit
SelectionAudit	エージェントが選んだものだけでなく、除外した ものを監査し、表面的なアラインメントを検出	aegis.core.selection_audit
JustificationGap	6 次元の非対称スコアリング：エージェントが影響を宣言し、Aegis が独立して評価し、その差に応じてエスカレーションを実行	aegis.core.justification_gap
CryptoAuditChain	長期的なコンプライアンス証跡のための Ed25519 署名付きチェーン	aegis.core.crypto_audit

Aegis のガバナンス機能はすべて、異常検知、コスト予算、ドリフト、カスケードガード、キルスイッチを含め、これらのプリミティブを組み合わせたものです。組み合わせ方については、概念ガイドをご覧ください。

---

フレームワーク

1 つの API。12 のエージェントフレームワークと 3 つのプロトコルレベルのアダプターに対応しています。

フレームワーク	フック	統合方式
Google ADK	BasePlugin のライフサイクル（ツール呼び出し、エージェントのルーティング、セッション）	ネイティブ — パッチはプラグインをインストールするだけです
CrewAI	グローバルな BeforeToolCallHook、Crew.kickoff/kickoff_async	ハイブリッド — ツール呼び出しにはネイティブフック、クルーのエントリーポイントにはパッチを使用します
Pydantic AI	AbstractCapability · Agent.run/run_sync	ネイティブ（オプトイン）· パッチ（自動）
OpenAI Agents SDK	tool_input_guardrail/tool_output_guardrail · Runner.run/run_sync	ネイティブ（オプトイン）· パッチ（自動）
LangChain	BaseChatModel.invoke/ainvoke、BaseTool.invoke/ainvoke	パッチ
OpenAI API	Completions.create（チャットと補完）	パッチ
Anthropic API	Messages.create	パッチ
LiteLLM	completion、acompletion	パッチ
Google GenAI	Models.generate_content（新旧両方）	パッチ
LlamaIndex	すべての具体サブクラスにおける LLM.chat/achat/complete/acomplete、BaseQueryEngine.query/aquery	パッチ
Instructor	Instructor.create、AsyncInstructor.create	パッチ
DSPy	Module.__call__、LM.forward/aforward	パッチ
MCP	任意の MCP サーバー（stdio / HTTP）に対応するトランスポート層プロキシ	プロキシ — パッチ適用なし
httpx	生の HTTP エグレス（REST エージェント、Webhook）に対応する HttpxExecutor	ラッパー — パッチ適用なし
Playwright	ブラウジングエージェントに対応する PlaywrightExecutor	ラッパー — パッチ適用なし

auto_instrument() はインストール済みのものを検出し、それらにのみパッチを適用します。ハード依存関係はありません。カスタムアダプターも同じ BaseAdapter インターフェースを使用します。上記の各アダプターは、統合ワークフローによって、現在のアップストリームリリースに対して毎日テストされています。このワークフローでは各フレームワークの実際のエントリーポイントを実行し、ガードレールが動作することを検証します。ユニットテストではこれらのフレームワークを模倣しているため、それだけではアップストリームの変更を検出できません。

統合ポリシー。 実際に処理をブロックできるネイティブ拡張ポイントがある場合は、それを優先します。Google ADK の BasePlugin と CrewAI の BeforeToolCallHook はどちらもブロックできるため、これらの場合、auto_instrument() はネイティブオブジェクトをインストールするのに必要な分だけパッチを適用します。Pydantic AI と OpenAI Agents SDK には、オプトインで使用するネイティブ実装（AbstractCapability、tool_input_guardrail）と、コード変更が不要なパッチベースの方法が用意されています。それ以外は、ブロック用のフックが存在しないためパッチを適用します。OpenAI/Anthropic の生の SDK と DSPy にはそのようなフックがなく、LlamaIndex の計装ディスパッチャーはイベントを送出してもハンドラー例外を握りつぶすため、監視はできても強制はできません。

Pydantic AI の統合が、このポリシーを明文化するきっかけとなりました。コアメンテナーの DouweM がレビューするまではモンキーパッチを使用していましたが、レビューで「これらの機能は Pydantic AI のケイパビリティとして実際に公開されているようには見えません」と指摘され、ネイティブ拡張 API を使う方式に再構築しました（src/aegis/contrib/pydantic_ai.py。レビューは pydantic-ai#4888 を参照してください）。

パッチ適用は優先事項ではなく、代替手段です。アップストリームの変更の影響を最も受けやすいため、統合ワークフローを用意しています。

デフォルトのガードレール

ガードレール	デフォルト	検出対象
プロンプトインジェクション	ブロック	13 の攻撃カテゴリ、109 のパターン、9 言語（EN/KO/ZH/JA/ES/DE/FR/TH/VI）
PII 検出	警告	13 のカテゴリ（メールアドレス、クレジットカード、SSN、IBAN、API キーなど）
プロンプト漏えい	警告	システムプロンプトの抽出試行
有害性	警告	有害、暴力的、または侮辱的なコンテンツ
MCP STDIO インジェクション	ブロック	JSON-RPC インジェクション、フレーム連結、Unicode エスケープによる回避（OX Security のアドバイザリ）

決定論的な正規表現を使用し、LLM 呼び出しもネットワーク通信もありません。チェックごとに コールド時 2.65ms／ウォーム時 <1µs です。

---

ユースケース

同じ基本機能を、5 種類の異なる方法で利用できます。ワークフローに合ったものを選んでください。

1. ランタイム保護（最も一般的）

1 行で、あらゆるフレームワークに対応します。

import aegis
aegis.auto_instrument()

または、コードを一切変更せずに AEGIS_INSTRUMENT=1 python my_agent.py を実行できます。インジェクションのブロック、PII のマスキング、プロンプト漏えいの警告、監査証跡、ポリシーの適用が、すべての LangChain／CrewAI／OpenAI／Anthropic／LiteLLM／ADK／DSPy／LlamaIndex／Pydantic AI の呼び出しで有効になります。

Pydantic AI のネイティブ機能 — モンキーパッチは不要で、エージェントごとに明示的に制御できます。

from pydantic_ai import Agent
from aegis.contrib.pydantic_ai import AegisCapability

agent = Agent(
    "openai:gpt-4o-mini",
    capabilities=[AegisCapability.default()],  # injection, PII, toxicity, prompt-leak, hallucination
)
result = await agent.run("What is AI governance?")

Pydantic AI の統合ガイド全文 →

2. 本番前のスキャン

リリース前に、ガバナンスが適用されていない AI 呼び出しを見つけます。

pip install agent-aegis
aegis scan .

Aegis Governance Scan
=====================
Scanned: 47 files in ./src

Found 5 ungoverned tool call(s):
  agent.py:12   OpenAI        function call with tools= — no governance wrapper  [ASI02]
  tools.py:8    LangChain     @tool "search_db" — no policy check  [ASI02]
  llm.py:21     LiteLLM       litellm.completion() — no governance wrapper  [ASI02]
  run.py:5      subprocess    subprocess.run — direct shell execution  [ASI08]
  api.py:14     HTTP          requests.post — raw HTTP in agent code  [ASI07]

Governance Score: D (5 ungoverned call(s))

--format json|sarif|suggest、--threshold A-F、.aegisscanignore、インラインの # aegis: ignore プラグマに対応しています。aegis scan --fix で自動修正できます。

3. ポリシーの CI/CD

セキュリティツールはランタイムを保護します。Aegis はそれに加えて、コードのテストやリリースと同じように、ポリシーのライフサイクルも管理します。

aegis plan current.yaml proposed.yaml --audit-db aegis_audit.db

# Policy Impact Analysis
#   Rules: 2 added, 1 removed, 3 modified
#   Impact (replayed 1,247 actions):
#     23 actions would change from AUTO → BLOCK

aegis test policy.yaml tests.yaml                      # Run in CI
aegis test policy.yaml --generate                      # Auto-generate test suite
aegis test new.yaml tests.yaml --regression old.yaml   # Regression check

# .github/workflows/policy-check.yml
- uses: Acacian/aegis@main
  with:
    policy: aegis.yaml
    tests: tests.yaml
    fail-on-regression: true

または、PR 時にガバナンスが適用されていない呼び出しをブロックできます。

- uses: Acacian/[email protected]
  with:
    command: scan
    fail-on-ungoverned: true

4. 監査とコンプライアンス

すべての呼び出しは、改ざんを検知できる Merkle チェーンに記録され、EU AI Act／NIST AI RMF／SOC2 への対応付けが組み込まれています。

aegis audit

  ID  Session       Action        Target   Risk      Decision    Result
  1   a1b2c3d4...   read          crm      LOW       auto        success
  2   a1b2c3d4...   bulk_update   crm      HIGH      approved    success
  3   a1b2c3d4...   delete        crm      CRITICAL  block       blocked

SQLite、JSONL、Webhook のシンクに対応しています。長期的な証拠保存には Ed25519 署名を使用します。コンプライアンスガイドをご覧ください。

5. ガバナンスサーバー（マルチエージェント）

複数のエージェントを一元的にガバナンスします。各エージェントは SDK 経由で接続し、サーバーがポリシー、ガードレール、監査、コンプライアンスを処理します。

pip install 'agent-aegis[server]'
aegis-server

37 の REST エンドポイント、WebSocket による監査ストリーミング、ウェブダッシュボードを提供します。エージェントは自動登録し、ハートビートを送信し、HTTP 経由でポリシーを照会します。ガバナンスフレームワークサーバーをご覧ください。

---

30 秒で始める

pip install agent-aegis

import aegis
aegis.auto_instrument()
# All 12 frameworks now governed with default guardrails.

完全に制御するには、YAML ポリシーも使用できます。

aegis init  # Creates aegis.yaml

# aegis.yaml
guardrails:
  pii: { enabled: true, action: mask }
  injection: { enabled: true, action: block, sensitivity: medium }

policy:
  version: "1"
  defaults:
    risk_level: medium
    approval: approve
  rules:
    - name: read_safe
      match: { type: "read*" }
      risk_level: low
      approval: auto
    - name: no_deletes
      match: { type: "delete*" }
      risk_level: critical
      approval: block

---

インストール方法

pip install agent-aegis                   # Core (includes auto_instrument for all frameworks)
pip install langchain-aegis               # LangChain standalone integration
pip install 'agent-aegis[mcp]'            # MCP server + proxy
pip install 'agent-aegis[server]'         # REST API + dashboard
pip install 'agent-aegis[all]'            # Everything

MCP プロキシ — コードを変更せずに、あらゆる MCP サーバーにガバナンスを適用

{
  "mcpServers": {
    "filesystem": {
      "command": "uvx",
      "args": ["--from", "agent-aegis[mcp]", "aegis-mcp-proxy",
               "--wrap", "npx", "-y",
               "@modelcontextprotocol/server-filesystem", "/home"]
    }
  }
}

Claude Desktop、Cursor、VS Code、Windsurf で動作します。STDIO インジェクション保護、ツールポイズニング検出、ラグプル検出、引数のサニタイズ、ポリシー評価、完全な監査証跡を提供します。

ガバナンスフレームワークサーバー

Aegis を専用のガバナンスサーバーとして実行し、REST API、WebSocket ストリーミング、Web ダッシュボードを利用できます。

pip install 'agent-aegis[server]'
aegis-server --init          # Generate aegis-server.yaml
aegis-server                 # Start server on :8000

ガバナンスのライフサイクル全体をカバーする37 個の REST エンドポイント：

API グループ	エンドポイント	用途
コア	evaluate、execute、audit、policy	ポリシー評価と実行パイプライン
エージェント	register、heartbeat、list、status	エージェントのライフサイクル管理
ガードレール	check、list	コンテンツの安全性チェック
ポリシーのバージョン管理	commit、diff、rollback、tag	Git のようなポリシー変更管理
暗号監査	verify、entries、evidence	改ざん防止監査チェーンの検証
信頼性とドリフト	信頼スコア、ドリフト検出	エージェントごとの行動分析
コスト	予算チェック、レポート	LLM コストガバナンス
コンプライアンス	レポート、規制要件の不足	SOC2／GDPR／EU AI Act レポート
セッション	list、replay	セッションの記録とフォレンジック再生

Python SDK（同期または非同期）で接続します：

from aegis import AegisClient

with AegisClient("http://localhost:8000", agent_id="my-agent") as client:
    result = client.evaluate("delete", "user_data")
    # result["risk_level"] == "CRITICAL", result["is_allowed"] == False

from aegis import AsyncAegisClient

async with AsyncAegisClient("http://localhost:8000", agent_id="my-agent") as client:
    result = await client.evaluate("read", "reports")

aegis-server.yaml を使用した設定駆動型です。ガードレール、Webhook（Slack／PagerDuty）、レート制限、コスト予算、認証をすべて宣言的に設定できます。 aegis-server.example.yaml を参照してください。

---

Aegis が選ばれる理由

	独自実装	プラットフォームのガードレール	エンタープライズプラットフォーム	Aegis
抽象化レベル	フレームワークごとの if/else	単一ベンダーの SDK	プロプライエタリなゲートウェイ	12 のフレームワークで共通するユニバーサルなプリミティブ
セットアップ	if/else の実装に数日	ベンダー固有の設定	Kubernetes ＋ 導入手続き	pip install ＋ 1 行
コード変更	すべての呼び出しをラップ	SDK 固有	統合に数カ月	ゼロ — 自動でインストルメント化
ポリシーの移植性	フレームワークごとに書き直し	エコシステムにロックイン	通常は単一ベンダー	1 つの YAML ポリシーですべてのフレームワークに対応
ガバナンスプリミティブ	ゼロから構築	サブセット、ベンダー定義	プロプライエタリ	組み合わせ可能なプリミティブが 10 種類以上
ポリシー CI/CD	なし	なし	なし	aegis plan ＋ aegis test
監査証跡	printf によるデバッグ	プラットフォームのログのみ	クラウドダッシュボード	SQLite ＋ JSONL ＋ Webhook ＋ Merkle チェーン
コンプライアンス	手動のドキュメント作成	なし	エンタープライズ向けの営業サイクル	EU AI Act、NIST、SOC2 を組み込み済み
コスト	エンジニアリングの工数	無料〜$$$	$$$$ ＋ インフラ	無料（MIT）。永久に。

Aegis だけが実現すること

他のツールは入力と出力をチェックします。Aegis は、他のどのガバナンスランタイムにもないプリミティブを使って、意思決定そのものを統制します。

機能	意味	根拠
三者構成の ActionClaim	すべてのツール呼び出しを、Declared（エージェントが作成、信頼できない）、Assessed（Aegis が計算）、Chain（委任）のフィールドに分けます。構造的に分離することで、表面的な整合性を検出できます。	14,285 件の tau-bench 呼び出しにおける Justification Gap の測定
Justification Gap	6 次元の非対称スコアリングです。エージェントが影響度を申告し、Aegis が独立して評価します。per_dim = max(0, assessed − declared) です。過少申告は、エスカレーション（>0.15）またはブロック（>0.40）の対象になります。	「ActionClaim」という名称はCOA-MAS（Carvalho）に由来し、6 次元の指標とランタイム形式は独自のものです
選択のガバナンス	エージェントが何を選ぶかだけでなく、何を除外するかを監査します。リスクのある選択肢を「親切心から」省略するモデルは、選択に影響を及ぼしています。Aegis はこれを検出します。	Santander ほか、arXiv:2602.14606
単調な信頼制約	委任されたエージェントが自らの権限を引き上げることはできません。チェーンに沿って信頼レベルが非増加である必要があり、違反は自動的にブロックされます。	ラティスベースのアクセス制御
完全なライフサイクル	スキャン（検出）→ インストルメント（保護）→ ポリシー CI/CD（テスト）→ ランタイム（統制）→ プロキシ（ゲートウェイ）→ 監査（追跡）。1 つのライブラリ、1 つの pip install で利用できます。	—

---

CLI

aegis scan ./src/                       # Detect ungoverned AI calls
aegis score ./src/ --policy policy.yaml # Governance score (0-100)
aegis init                              # Generate starter policy
aegis validate policy.yaml              # Validate syntax
aegis plan current.yaml proposed.yaml   # Preview policy changes
aegis test policy.yaml tests.yaml       # Policy regression testing
aegis check policy policy.yaml read:crm # Policy decision per action (CI gate)
aegis audit                             # View audit log
aegis serve policy.yaml                 # REST API + dashboard
aegis probe policy.yaml                 # Adversarial policy testing
aegis autopolicy "block deletes"        # Natural language → YAML

リサーチ

公開エージェントトレースデータセットを独自に計測しました。標準ライブラリのみを使用し、30秒で再現できます。

• 14,285件のTau-Benchツール呼び出しにおける正当化のギャップ — サイレントベースラインの実証研究を通じて、Tripartite ActionClaimを正式に定義します。4つのモデル・ドメイングループ全体で、90.3％が承認、9.7％がエスカレーション、0％がブロックとなりました。航空会社ドメインでは、平均ギャップの約2倍が明らかになりました。3つの構造的不変条件の健全性に関する概要と、調査中に判明したmaxのみのオーバーライド制限についての率直な注記を掲載しています。
• 1,960件のTau-Bench軌跡におけるツール分布のドリフト — GPT-4oとSonnet 3.5 Newのツール名シーケンスにおけるシャノンエントロピーを分析しました。スコア対象の軌跡の39.8％は、終盤に1つまたは2つのツールに集中します。分布は二峰性で、モデル間の差は1.7倍です。すべてのスクリプトと生データを同梱しています。

同じ指標を独自のトレースで実行できます。

aegis check drift --trace path/to/trace.jsonl

CLIが読み取るのはtool_nameフィールドのみです。引数、CoT、プロンプトは読み取りません。そのため、エンタープライズユーザーはPIIを外部に持ち出すことなく、本番環境のトレースをスコアリングできます。

また、39件の公開エージェントリポジトリでaegis scanを実行し、ガバナンスの状況を評価しました：92％がF評価でした。これはエコシステム全体についての調査結果であり、個別のプロジェクトを評価するものではありません。ほとんどのエージェントコードには、ツール呼び出しポリシーがまったくありません。

ドキュメント

ドキュメント全文は**acacian.github.io/aegis**をご覧ください。

• インテグレーションガイド — LangChain、CrewAI、OpenAI、MCPなど
• ポリシーリファレンス — 条件、テンプレート、ベストプラクティス
• セキュリティ機能 — ガードレール、異常検知、コンプライアンス
• APIの安定性 — 1.xで保証されること、破壊的変更に該当すること
• アーキテクチャ — コードベースの構成
• インタラクティブプレイグラウンド — インストール不要でブラウザーからお試しいただけます

コントリビューション

git clone https://github.com/Acacian/aegis.git && cd aegis
make dev      # Install deps + hooks
make test     # Run tests
make lint     # Lint + format check

コントリビューションガイド • 初心者向けの課題 •

ライセンス

MIT -- 詳細はLICENSEをご覧ください。

Copyright (c) 2026 구동하 (Dongha Koo, @Acacian). 2026年3月21日作成。

---

_{AIエージェントのためのガバナンスレイヤー。1つのAPI、12のフレームワーク、あらゆるガバナンスプリミティブに対応。
Aegisがお役に立ちましたら、ぜひスターを付けてください。ほかの方にも見つけてもらいやすくなります。}