ai-agent-firewall

@fidacy/mcp

AI エージェント向けアクションファイアウォールです。暗号学的に署名された委任状と照合して、資金が動く前に支払いアクションを制御する、すぐに使える MCP サーバーです。非カストディアル型です。Fidacy は認可と証明を行いますが、資金を保有することはありません。

一度インストールすれば、Claude Code、Claude Desktop、Hermes、OpenClaw など、MCP に対応するあらゆるエージェントで動作します。

対応環境： Claude Code · Claude Desktop · OpenClaw · Hermes · Brex CrabTrap

お使いのエージェントが、今まさに詐欺師に支払いを行っているかもしれません。 プロンプトインジェクションによって、誤った受取人や過大な金額、同じ請求書への二重払いが実行されても、ログは証拠になりません。Fidacy は資金が動く前にブロックし、公開鍵を使って誰でも検証できる署名済みの判定を返します。私たちを信頼する必要はありません。署名をご自身で確認できます。

クイックスタート（無料、ローカル優先、アカウント不要）

{
  "mcpServers": {
    "fidacy": { "command": "npx", "args": ["-y", "@fidacy/mcp"] }
  }
}

マシン上でオフライン動作し、デフォルトで拒否します。信頼する受取人と上限額を ~/.fidacy/config.json に追加してください。任意の判定を、公開鍵を使ってご自身で検証できます。 /.well-known/jwks.json。

理由

エージェントは、幻覚やプロンプトインジェクションによって、誤った受取人や金額、架空の請求書への支払いを実行する可能性があります。プロンプトレベルのガードレールは確率的で、回避可能です。@fidacy/mcp は、エージェントの意図と実行側の間にある決定論的なゲートです。署名済みの委任状に照らして検証されない限り、アクションは開始時点で拒否され、すべての判定が改ざんできないハッシュチェーン監査ログに記録されます。

強制モデル

1. @fidacy/mcp を、エージェントが利用できる唯一の支払い対応ツールとして登録します。エージェントに生の支払いツールを渡さないでください。実行時のファイアウォールとなるのは、ツールの一覧です。
2. エージェントが request_payment を呼び出します。Fidacy は委任状（受取人の許可リスト、取引ごとの上限、総額上限、通貨、時間枠、失効）と照合します。
3. ALLOW の場合は、有効期間の短い Ed25519 グラントを返します。DENY の場合はグラントを返さず、違反したルールを返します。下流の実行側はグラントを必須としなければならないため、拒否されたアクションは実行できません。
4. すべての判定がハッシュチェーンログに追記されます。get_audit_proof は、持ち運び可能で検証可能な証明を返します。

1 回のインストールで 2 つのバックエンド

@fidacy/mcp は、1 回のインストールで 2 つの補完的な機能を提供します。

• 判定レイヤー（助言）：assess_action は稼働中の Fidacy エンジンを呼び出し、署名済みの信頼判定を返します。資金は動きません。判定とその証明（riskPayloadJws + signingKeyId）を返し、エンジンの JWKS（/.well-known/jwks.json）に対して @fidacy/verify を使えば誰でも検証できます。
• 支払いファイアウォール（強制）：request_payment / verify_mandate / get_audit_proof は、コアを通じて署名済みの委任状に照らして支払いを制御・証明し、有効期間の短い Ed25519 グラントを返します。

基本モデル：assess_action -> エンジン（署名済み判定）； request_payment など -> コア（支払いファイアウォール）。

ツール

ツール	バックエンド	目的
assess_action	エンジン	提案されたアクションに対する、Fidacy の署名済み信頼判定。助言を提供します。
request_payment	コア	支払いアクションを認可します。ALLOW + グラント、または DENY + ルールを返します。
verify_mandate	コア	委任状のエンベロープと Fidacy の公開鍵を読み取ります。
get_audit_proof	コア	指定された判定 ID のハッシュチェーン証明を返します。

assess_action

提案されたアクションに対する、稼働中のエンジンからの署名付き Fidacy 信頼判定を返します。署名付き証明 riskPayloadJws + signingKeyId は、@fidacy/verify を使って {engineUrl}/.well-known/jwks.json と照合することで、誰でも検証できます。

入力：

• kind（省略可、デフォルトは ap2_payment）：ap2_payment、 message_send、voice_call、custom、claim_document のいずれか。
• mandate（必須）：その kind に対応するアクション／委任オブジェクト。
• mandateType、spendingMandate、idempotencyKey、a2a.task_id（省略可）。

環境変数：

変数	デフォルト	用途
FIDACY_ENGINE_URL	https://api.fidacy.com	Fidacy エンジンのベース URL。
FIDACY_ENGINE_API_KEY	（なし）	スコープ assess:write を持つ fky_live_／fky_test_ キー。

FIDACY_ENGINE_API_KEY がなくてもサーバーは起動し、ツールは常に登録されます。キーなしで assess_action を呼び出した場合に限り、キーを設定するよう促す分かりやすいエラーが返されます。キーがログに記録されたり、エコーされたり、エラーに含まれたりすることはありません。

インストール

npm install -g @fidacy/mcp   # or run via npx, no install

Claude Code

claude mcp add fidacy -- npx -y @fidacy/mcp

Claude Desktop（claude_desktop_config.json）

{
  "mcpServers": {
    "fidacy": { "command": "npx", "args": ["-y", "@fidacy/mcp"] }
  }
}

Hermes（config.yaml）

mcp_servers:
  fidacy:
    command: npx
    args: ["-y", "@fidacy/mcp"]

OpenClaw

Tools パネルまたはエージェント設定の mcpServers ブロックから、同じサーバーを追加します。MCP 対応ホストなら、どれでも同じコマンドを使用できます。

実際のコアとの接続（本番環境）

MCP レイヤーは、1 つのインターフェース（FidacyCore）を通じてコアと通信します。リポジトリは非公開のまま維持されます。FIDACY_MODE=http を設定し、次の 3 つのエンドポイントを実装します。

• POST /v1/mandate/get -> Mandate
• POST /v1/decide -> Decision（Ed25519/AP2 の検証と監査ログへの追加を実行）
• POST /v1/audit/proof -> AuditProof

MCP レイヤーを変更する必要はありません。

開発

npm install
npm run build
npm start      # stdio server, in-memory demo mandate