AegisGate MCP

設定の優先順位

設定は、優先度の高い順に解決されます。

1. CLI フラグ — すべてを上書きします
2. 環境変数 — 設定ファイルを上書きします
3. JSON 設定ファイル（--config）— 組み込みのデフォルト値を上書きします
4. 組み込みのデフォルト値

CLI フラグ

すべての CLI フラグには、対応する環境変数があります。

JSON 設定ファイル

{
  "address": ":8081",
  "auth_token": "my-secret-token",
  "audit_log_path": "/var/log/mcp-audit.json",
  "max_sessions": 100,
  "max_connections": 1000,
  "rate_limit_rpm": 120,
  "exec_timeout_seconds": 30,
  "scan_responses": true,
  "block_on_pii": true,
  "block_on_secrets": true,
  "block_on_xss": true,
  "block_on_prompt_inject": true,
  "redact_enabled": true,
  "redact_pii": true,
  "redact_secrets": true,
  "redact_placeholder": "[REDACTED]",
  "tls_enabled": true,
  "tls_cert_file": "/etc/ssl/mcp/server.pem",
  "tls_key_file": "/etc/ssl/mcp/server.key",
  "tls_client_ca_file": "/etc/ssl/mcp/ca.pem",
  "tls_min_version": "1.3",
  "demo_tools": true
}

トランスポートモード

ヘルスエンドポイント

--health-addr を設定すると、別の HTTP リスナーによって可観測性エンドポイントが提供されます。

RBAC ロール

AegisGate MCP は4段階のロール階層を適用します。ロールの順序は restricted < standard < privileged < admin です。

ロールの比較には AgentRole.AtLeast() を使用します。privileged エージェントは、standard または restricted を必要とするすべてのツールにアクセスできますが、admin を必要とするツールにはアクセスできません。

ポリシーエンジン

ポリシーエンジンは、ツールの実行前に許可／拒否ルールを評価します。ルールでは次の項目をサポートします。

• ツール名の照合 — 正確な名前とワイルドカードパターン
• エージェントのロール条件 — 特定のロールにのみルールを適用
• リスクスコアのしきい値 — RiskAbove 値を超えた場合に適用
• 優先順位 — 優先度の高いルールから評価
• 時間帯 — ツールの利用可能な時間帯を制限
• パラメータパターン — ツール呼び出しのパラメータと照合
• アクション — 許可、拒否（理由付き）、ログレベル、リスク修飾子

組み込みポリシールール

LoadDefaultPolicies() で読み込まれます。

カスタムルールはプログラムから追加できます。

server.AddPolicyRule(mcp.PolicyRule{
    ID:          "block-after-hours",
    Name:        "Block Dangerous Tools After Hours",
    Description: "No high-risk tools outside business hours",
    Condition: mcp.RuleCondition{
        ToolNames: []string{"shell_command", "file_delete"},
        TimeWindow: &mcp.TimeWindow{
            Start: "08:00",
            End:   "18:00",
        },
    },
    Action: mcp.RuleAction{
        Allow:      false,
        DenyReason: "High-risk tools only available during business hours",
        LogLevel:   "warn",
    },
    Priority: 75,
    Enabled:   true,
})

チェーン分析

チェーンアナライザーは、セッション内のツール呼び出しの連続（直近20回分）を追跡し、不審なパターンを検出します。

いずれかのフラグが立つと、チェーンリスクは高に設定され、セッションID、フラグ、呼び出し回数とともにイベントがWARNレベルで記録されます。

AegisGate MCP は、リクエストの偽造や改ざんを防ぐため、ECDSA P-256 によるメッセージ署名をサポートしています。 クライアントは各リクエストの正規化されたJSON（SignatureフィールドとKeyIDフィールドをゼロ化したもの）に署名し、 リクエストヘッダーに署名を含めます。

サーバーのセットアップ

server, _ := mcp.NewSecuredMCPServer(cfg)

// Register a trusted client public key (SEC1 encoded)
server.AddTrustedKey("agent-001", clientPubKeySEC1)

クライアントの署名（例）

import (
    "crypto/ecdsa"
    "crypto/sha256"
    "crypto/rand"
    "encoding/hex"
)

func signRequest(privKey *ecdsa.PrivateKey, canonicalJSON []byte) string {
    hash := sha256.Sum256(canonicalJSON)
    sig, _ := ecdsa.SignASN1(rand.Reader, privKey, hash[:])
    return hex.EncodeToString(sig)
}

サーバーは、信頼された公開鍵を使用してecdsa.VerifyASN1で署名を検証します。 KeyIDまたはSignatureが存在しない場合、検証はスキップされます。これにより、署名のないクライアントとの相互運用性を保ちながら、署名を提供するクライアントには署名を必須にできます。

テストカバレッジ

テストの実行

# Non-CGO test suite (heuristic-only, no ONNX)
CGO_ENABLED=0 go test ./... -count=1 -timeout 120s

# CGO test suite (full ML, requires libonnxruntime.so)
CGO_ENABLED=1 CGO_LDFLAGS="-L$(pwd)/lib/amd64 -lonnxruntime" go test ./... -count=1 -timeout 120s

# With race detector (CGO only — -race requires CGO)
CGO_ENABLED=1 CGO_LDFLAGS="-L$(pwd)/lib/amd64 -lonnxruntime" go test -race -count=1 -timeout 300s ./...

# Load/stress/burst/crush/chaos tests (behind build tag)
go test -tags=load -count=1 -timeout 600s -v ./...

# Benchmarks (regression tracking)
go test -bench=. -benchmem -benchtime=5s ./...

# Fuzz testing (run for 60 seconds per target)
go test -fuzz=FuzzHandleRequest -fuzztime=60s ./...

パフォーマンス特性

k6スタイルの負荷テストスイート（//go:build load）で検証済みです。

コアパフォーマンス

k6 スタイルのストレス／バースト／過負荷テストの結果

AegisGate MCP には外部モジュールへの依存関係がありません。go.mod ファイルに require ディレクティブはありません。サードパーティーコード（ONNX Runtime バインディング、Unicode 正規化、ML モデル）はすべて internal/、lib/、models/ にベンダリングされています。

module github.com/aegisgatesecurity/aegisgate-mcp

go 1.26.9

// Zero external module dependencies (no `require` directives).
// All third-party code is vendored into internal/ — see NOTICE for details.

ベンダリングされたコンポーネント（完全な帰属情報については NOTICE を参照してください）：

これが重要な理由：

• エアギャップ環境へのデプロイ — go mod download は不要で、サプライチェーンのリスクもありません
• 推移的依存関係なし — ベンダリングされたコード以外に監査対象はありません
• 再現可能なビルド — ビルド間でバイナリは同一です
• 最小限の攻撃対象領域 — すべてのサードパーティーコードを確認・監査できます
• 高速なコンパイル — 依存関係の解決によるオーバーヘッドがありません

アーキテクチャ

┌─────────────────────────────────────────────────────────────────────────┐
│                          AegisGate MCP Server                           │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                         │
│  TCP Mode:                                                              │
│  ┌──────────┐    ┌──────────────┐    ┌───────────┐    ┌──────────────┐  │
│  │ TCP      │───▶│ Auth         │───▶│ Guardrails│───▶│ Response     │  │
│  │ Client   │    │ Middleware   │    │ (Rate +   │    │ Scan         │  │
│  │          │    │ (Token +     │    │  Chain)   │    │ (PII/Secrets │  │
│  │ (TLS/    │    │  Signature + │    │           │    │  /XSS/Inject)│  │
│  │  mTLS)   │    │  Session)    │    │           │    │              │  │
│  └──────────┘    └──────────────┘    └───────────┘    └──────┬───────┘  │
│                                                             │          │
│                                                             ▼          │
│  stdio Mode:                                    ┌──────────────────────┐ │
│  ┌──────────┐    (same security chain,          │   Request Handler    │ │
│  │ stdin /  │     stdin/stdout instead          │  ┌────────────────┐  │ │
│  │ stdout   │     of TCP)                      │  │  RBAC Check    │  │ │
│  └──────────┘                                  │  ├────────────────┤  │ │
│                                                 │  │  Policy Engine │  │ │
│                                                 │  ├────────────────┤  │ │
│                                                 │  │  Param Validate│  │ │
│                                                 │  ├────────────────┤  │ │
│                                                 │  │  Tool Registry │  │ │
│                                                 │  │  + Exec Timeout│  │ │
│                                                 │  └────────────────┘  │ │
│                                                 └──────────────────────┘ │
│                                                                         │
│  Health Endpoint (separate HTTP listener):                              │
│  ┌────────────────────────────────────────┐                             │
│  │  GET /healthz  → liveness              │                             │
│  │  GET /readyz   → readiness             │                             │
│  │  GET /stats    → server statistics     │                             │
│  └────────────────────────────────────────┘                             │
│                                                                         │
│  Audit Log: all MCP actions → file + in-memory (queryable)              │
└─────────────────────────────────────────────────────────────────────────┘

リクエストの流れ：

1. TCP クライアントが接続します（TLS/mTLS 経由も可能）。または、stdio が stdin 経由で JSON-RPC を送信します
2. 認証ミドルウェアがベアラートークン/API キーを検証し（定時間比較）、ECDSA 署名を確認して、セッションを作成または検証します
3. ガードレールがレート制限とセッション制限を適用し、チェーン分析を実行します
4. レスポンススキャン（実行前のパラメーター検証はハンドラー内で行われます）
5. リクエストハンドラーが RBAC 権限を確認し、ポリシーエンジンのルールを評価し、inputSchema に照らして必須パラメーターを検証してから、タイムアウト付きでツールを実行します
6. レスポンススキャン（実行後）でツールの出力をスキャンし、PII、シークレット、XSS、プロンプトインジェクションを検出します。有効な場合はマスキングします
7. 監査ログがアクションチェーン全体を記録します

MCP プロトコルのサポート

AegisGate MCP は、次の JSON-RPC メソッドを実装しています（MCP Protocol 2025-06-18）。

ストリーム可能な HTTP セッション管理（v1.2.2 以降）：

• initialize を指定した POST /mcp → レスポンスに Mcp-Session-Id ヘッダーが含まれます
• 後続のリクエストを指定した POST /mcp → Mcp-Session-Id ヘッダーを含める必要があります
• Mcp-Session-Id ヘッダーを指定した DELETE /mcp → セッションを終了します（204 No Content）
• セッションは、30 分間操作がないと期限切れになります

AegisGate MCP は、AI エージェントがツールを使用するあらゆる環境に対応します。クラウド SaaS プラットフォームから、エンタープライズのデータパイプライン、OT/ICS のプラントネットワークまで、幅広く利用できます。デプロイ環境にかかわらず、同じ 21 層のセキュリティが適用されます。

一般的なデプロイ

• クラウド SaaS — プロンプトインジェクションやデータの持ち出しから、ユーザー向け AI 機能を保護します
• エンタープライズのデータアクセス — エージェント主導のデータベースクエリに RBAC と監査ログを適用します
• CI/CD の自動化 — AI 支援パイプラインで実行可能な処理を制限します
• エアギャップネットワーク — 依存関係がないため、インターネットに接続せずにサーバーを実行できます

OT/ICS 環境では、AegisGate MCP は AI エージェントと重要インフラのツールの間に配置されます。

AI Agent (Claude, Cursor, custom)
    │
    ▼
┌──────────────────┐
│  AegisGate MCP   │  ← 23 security layers
│  (TLS/mTLS)      │
└────────┬─────────┘
         │
    ┌────┼────┬────┬────┐
    ▼    ▼    ▼    ▼    ▼
  SCADA  PLC  Hist  Tag  Log
  Read  Status Query DB  Analyzer

一般的な導入シナリオ：

• 読み取り専用の監視エージェント — restricted ロール。SCADA のステータスやヒストリアンデータを照会できますが、コマンドは実行できません。
• 保守エージェント — standard ロール。トラブルシューティング中にファイルを読み取り、コードを検索できます。
• 運用エージェント — privileged ロール。ほとんどのツールを操作できますが、シェルコマンドは実行できません。
• 管理者エージェント — admin ロール。承認された保守時間帯に、すべての機能にアクセスできます。

OT/ICS に特に関連するセキュリティ機能：

• TLS/mTLS は、プラントネットワーク上のすべてのトラフィックを暗号化します。
• 時間帯ポリシー は、リスクの高いツールの利用を保守時間帯に制限します。
• チェーン分析 は、エージェントが機密性の高いプロセスデータを読み取った後、外部ネットワークへの書き込みを試みる（情報を持ち出す）といった行動を検出します。
• 監査ログ は、コンプライアンス（NERC CIP、IEC 62443）に必要な完全な管理履歴を提供します。
• エアギャップ環境での運用 — 依存関係がないため、インターネットに接続できない隔離ネットワークにもサーバーを導入できます。