AgenticRail Gate - sequence enforcement and verifiable audit receipts for AI agent compliance

agenticrail-mcp

あらゆる MCP クライアントに、稼働中のAgenticRail強制ゲートを 2 つのツールとして公開する Model Context Protocol サーバーです。

AgenticRail は、AI エージェント向けの決定論的な強制レイヤーです。宣言されたステップ順序をエージェントに厳守させ、再実行やステップのスキップを拒否し、完了した各シーケンスに署名済みレシートを封印します。このサーバーは、その手前に置かれる MCP アダプターです。

よくある問題の説明にならって言えば、AI エージェントのツール呼び出しに対するポリシー強制ポイントです。順序を無視したステップが実行される前に拒否することで、ステップのスキップや手順上の幻覚（実行されていないステップをエージェントが成功したと報告すること）を検出します。また、ALLOW、DENY のいずれの判断も、改ざんを検知できる監査証跡の記録になります。

エンドポイント： https://mcp.agenticrail.nz/（Streamable HTTP、ステートレス） プロトコル： 2026-07-28 — initialize のやり取りと Mcp-Session-Id が廃止されたリビジョンです。このサーバーはどちらも使わないステートレス設計だったため、移行は不要でした。古いクライアント向けに、initialize には引き続き応答します。 レジストリ： 公式 MCP レジストリの nz.agenticrail/gate

ツール

ツール	機能	呼び出し先
evaluate_step	単一のエージェントステップが実行される前に ALLOW/DENY を判定し、署名済みレシートを封印します	POST https://api.agenticrail.nz/v1/evaluate
verify_receipt	シーケンスの検証レポートを取得し、レシートチェーンに問題がないことを確認します	POST https://report.agenticrail.nz/report

シーケンスの各ステップを実行する前に evaluate_step を呼び出し、ゲートが DENY したステップは実行しないでください。

DENY には修正方法が示されます

拒否の応答エンベロープには、それぞれ修正方法が含まれます。これは署名されず、DENY の場合にのみ返されます。行われた判断ではなく、シーケンスの現在の状態を示すためです。

拒否	返される内容
ACTION_NOT_ALLOWED	allowed_action_types — このステップで受け付けられるアクションが正確に示されます
SEQUENCE_VIOLATION	next_expected_step — シーケンスが待機しているステップです
STEP_ORDER_MISMATCH	locked_step_order — このシーケンスの初回呼び出し時に固定された順序です
UNKNOWN_STEP	expected_step_order + step_order_source（caller または msmd_spine）

action_type はちょうど 8 つの値からなる列挙型で、各ステップが受け付けるのはその一部だけです。ツールスキーマ内の列挙型はヒントであり、制御ではありません。独自の引数を検証するクライアントに対してのみ制約として機能します。また、考案した動詞は、圧倒的に最もよくある最初の拒否理由です。READ、QUERY、TOOL_CALL、LOOKUP、EXECUTE などは、ステップをどれほど適切に表現していてもアクション型ではありません。制御を行うのはゲートです。拒否された場合、allowed_action_types にこのステップで受け付けられるアクションが返されます。

拒否された呼び出しによってロックが設定されることはありません。 シーケンスストアへの書き込み前に拒否への応答が返されるため、実行は損なわれません。間違っていたのは呼び出しであり、シーケンスではありません。拒否理由に示されたフィールドを修正し、ステップを再送信してください。 ロックは、許可された呼び出しで step_order を実際に送信した場合にのみ設定されます。その後はそのリストが強制され、異なるリストを送ると STEP_ORDER_MISMATCH で拒否されます。step_order を省略してもロックは設定されません。これは、この呼び出しが組み込みの MSMD スパインに照らして判定されるという意味にすぎません。そのステップ名は、おそらくお使いのものとは異なります。

そのため、独自のステップ名がある場合は、その名前を指定して step_order を送信してください。そうすれば、ゲートはその順序を代わりに強制します。1 ステップだけでも有効なシーケンスです。

接続

Claude Code の場合：

# zero config — uses the public demo key
claude mcp add --transport http agenticrail https://mcp.agenticrail.nz/

# with your own key
claude mcp add --transport http agenticrail https://mcp.agenticrail.nz/ \
  --header "Authorization: Bearer <your-agenticrail-key>"

Streamable-HTTP 対応の MCP クライアントならどれでも使えます。URL を指定してください。

インストールせずに試す

BASE=https://mcp.agenticrail.nz/

curl -s -X POST "$BASE" -H 'content-type: application/json' \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}' | jq .

# ⚠️ Use a sequence_id nobody else will pick. On the shared demo key the id is
# GLOBAL and sealing is PERMANENT — a fixed one in an example works once for one
# person on earth and returns SEALED_SEQUENCE for everyone after.
SEQ="mcp-smoke-$(date +%s)-$RANDOM"

curl -s -X POST "$BASE" -H 'content-type: application/json' \
  -d "{\"jsonrpc\":\"2.0\",\"id\":2,\"method\":\"tools/call\",\"params\":{
        \"name\":\"evaluate_step\",
        \"arguments\":{\"sequence_id\":\"$SEQ\",\"step\":\"intake\",
                       \"action_type\":\"CHECK_STATE\"}}}" | jq .

Authorization ヘッダーがない場合は公開デモキーが使用され、sequence_id は demo-mcp-<your id> に書き換えられて返されます。demo- は公開レーン、mcp- は匿名 MCP トラフィックを示します。以降はレスポンスで返された ID を使用してください。送信した ID では解決されません。 これは意図した動作であり、情報漏えいではありません。

demo- シーケンスのレポートは、読み取りにキーが不要です。そのため、そこに送信する内容はすべて公開情報として扱ってください。

設計 — 変更前にお読みください

• プロトコルアダプターのみです。 このワーカーは内部シークレットを一切保持せず、強制適用コアへの特権パスもありません。外部の呼び出し元と同じ公開 API を呼び出すため、ツールのロジックは AgenticRail の内部実装からも MCP トランスポートのバージョンからも切り離されています。
• fetch ではなくサービスバインディングを使用します。 mcp.agenticrail.nz は api. および report. と同じゾーンにあるため、通常の fetch() は同一ゾーン内のループバックとなり、Cloudflare エラー 1002 が発生します。バインディングは同一の公開ハンドラーを呼び出すものであり、内部バイパスではありません。
• ステートレスな Streamable HTTP です。 Mcp-Session-Id は発行も要求もされず、すべての POST はそれぞれ独立して完結します。トランスポートのシェルは handleRpc と fetch ハンドラーであり、仕様改訂で影響を受けるのはこの部分だけです。値を扱う呼び出し（callEvaluate / callVerify）は通常の HTTPS で行われ、変更されません。
• GET / はディスカバリーカードを提供し、それ以外の GET パスはすべて 404 を返します。 クライアントがエンドポイント URL にパスを追加しても機能するよう、POST は意図的に制限していません。
• /.well-known/oauth-* が 404 を返すのは正しい動作です。 これは MCP サーバーが認証不要であることを示す方法です。agent.json、agent-card.json、x402、ai-plugin.json はこのサーバーが実装していないプロトコルです。これらに応答すれば、対応していると主張することになります。

デプロイ

npx wrangler deploy

リンク

• ドキュメント — https://agenticrail.nz/docs/
• シーケンスを自分で検証 — https://report.agenticrail.nz/report
• OpenAPI — https://agenticrail.nz/openapi.json
• 強制適用仕様 — https://agenticrail.nz/spec/

---

TUARA KURI LIMITED（NZBN 9429053582867）が運営。所在地：ホキアンガ、アオテアロア・ニュージーランド。