Tripwire Guard — evidence-first injection scanner

Tripwire Guard

公開パッケージ：tripwire-guard。クリーンインストールと MCP ハンドシェイクは、2026 年 8 月 13 日に確認済みです。

信頼できないテキストが AI エージェントのコンテキストに入る前に、プロンプトインジェクションを検査する、ローカルで読み取り専用のMCP サーバーです。

テキスト（ウェブページ、ドキュメント、メール、チケット、RAG チャンク）を渡すと、一致した証拠を正確に示しながら、allow／review／recommend_block の判定を返します。すべてお使いのマシン上で実行され、ネットワークリクエストは一切送信せず、メールアドレス、URL、認証情報らしき文字列をデフォルトで秘匿化します。

エンジンは決定論的で、メンテナーが作成した公開評価データ（100 ケース）が付属します。精度は 85% で、誤検知と見逃しのすべてが公開されています。高速で説明可能なシグナルレイヤーですが、安全を保証するものではありません。判定の適用は、引き続きホスト側の責任です。

MCP プロキシとは異なり、Tripwire Guard は他のツール呼び出しを傍受したり、承認したりしません。モデルベースの検出器とは異なり、モデルのランタイムや API は不要です。最小権限のツール、承認ゲート、分離、アクションシンクでの適用と組み合わせてください。

インストール／実行

Node.js 22.12 以降が必要です。

npx tripwire-guard

MCP ホストでの使用

{
  "mcpServers": {
    "tripwire": {
      "command": "npx",
      "args": ["-y", "tripwire-guard"]
    }
  }
}

ツール

tripwire_scan（読み取り専用）— 入力：

• content（文字列、必須）— 検査する信頼できないテキスト。
• source（文字列、任意）— 出所。例：ページの URL、メール、ツールの結果、ドキュメント名。
• includeEvidence（ブール値、任意）— 秘匿化せず、一致した証拠をそのまま返します。デフォルトでは秘匿化されます。

判定、検出数、検出ごとのルール ID／重大度／カテゴリ／一致範囲、エンジンとルールセットのバージョンを含む、構造化された証拠を返します。

npm パッケージのバージョンは、各結果内で報告される検出エンジンのバージョンとは独立して管理されています。現在、パッケージ 0.4.2 にはエンジン 0.3.0 とルールセット 2026.08.2 が含まれています。

正直な限界

決定論的なヒューリスティックでは、新規の攻撃、文脈に依存する攻撃、多言語の攻撃、視覚的な攻撃、または高度に難読化された攻撃を見逃す可能性があります。クリーンな結果が意味するのは「既知のシグナルに一致しなかった」ことであり、「安全」ではありません。最小権限のツール、承認ゲート、サンドボックス化と組み合わせてください。

周辺システムを把握する

無料のエージェント・アクションパス・ワークシートを使って、信頼できない入力、その入力から到達可能なツール、重大な影響をもたらすアクションシンク、既存の制御、安全性を確認するために必要な最小限のテスト証拠を整理できます。アクセス制限はなく、合成データを使った例であることが明記されています。

詳細情報

ライブデモ、ベンチマーク全文、脅威モデル、範囲を限定したチームレビュー：https://tripwire-live.netlify.app

ソースとセキュリティ境界

このリポジトリには、配布可能な MIT ライセンスの読み取り専用 Guard MCP サーバーとリリースメタデータが含まれています。Tripwire ブラウザー製品の全体と有料のレビュー資料は、別途管理されています。パッケージの不具合は、このリポジトリのイシュートラッカーから報告してください。秘密情報、顧客データ、非公開のプロンプト、使用中の認証情報は投稿しないでください。

© 2026 Kuba Opoczka。