Mund — MCP Security Scanner

🕸️ Weave_Protocol

AI エージェントのためのインフラストラクチャセキュリティ。私たちは守る対象を攻撃します。

あらゆるハーネス、あらゆるプラットフォームで、エージェントの動作を検証可能、監査可能、かつ暗号学的に証明可能にします。MCP 統合、ブロックチェーンへのアンカリングを備えた TypeScript モノレポとして構築され、Q4 時点では、自らの防御をテストするレッドチームエンジンを公開しています。

**基本理念：**すべてのセキュリティプラットフォームは、自らの防御が機能すると主張します。私たちは、それを証明する攻撃を公開する初のプラットフォームです。同じテストスイート、同じスコアカード、同じ固定ベンチマークを、リリースごとに自社パッケージにも適用します。

---

🚀 1つのコマンドで始める

npx @weave_protocol/cli init

CLI はお使いのフレームワーク（LangChain、LlamaIndex、MCP、OpenAI、Anthropic、Microsoft、Google）を検出し、スタックに適したセキュリティミドルウェアを構成します。または、すべてを一度にインストールできます。

npm install @weave_protocol/full

---

🆕 最新情報

🗓️ 2026年10月のアップデート — リリース内容

攻撃、防御、リリース方法にわたる大きな前進です。主な内容は次のとおりです。

⚔️ Adversary v0.3.0、npm で公開中

@weave_protocol/[email protected] を公開しました。

• **動的ミューテーション（--dynamic）。**ターゲットが拒否しつつも攻撃への応答を続ける場合、LLM が同じ意図のバリアントを作成し、Adversary が再試行します。Claude Haiku 5.5 での初回ライブ実行では、5件の攻撃のうち2件がバリアントによってのみ成功し、合計費用は $0.003 でした。これにより、セーフガードが一般化されているのか、それとも元の表現にしか反応しないのかをテストできます。
• **実モデルモードが再び動作。**以前のデフォルトモデルである Claude 3.5 Haiku は2026年2月に廃止されたため、これまでの --real 実行はすべて失敗していました。現在のデフォルトは Claude Haiku 5.5 で、料金表も修正されています。
• **誤った満点はもうありません。**以前は API エラーに遭遇した攻撃も「ブロック済み」として数えられ、API にアクセスできない実行でも100点満点になっていました。Adversary は今後、実際のエラーを返して終了します。
• **スコアカードの修正。**検出結果にエージェントのツール呼び出しが再び記録されるようになり、timeToExploit は会話のターン数を表すようになりました。また、--redact-evidence は以前漏えいしていた試行ごとの証拠もマスキングします。
• Adversary 初のテストスイートを追加。再試行ロジック、v0.2 との互換性、マスキングを対象としています。

🛡️ Mund のセキュリティ強化（Mund 0.3.0 に含まれます）

• express、qs、proxy-addr の脆弱性にパッチを適用し、MCP SDK を 1.32.1 に更新しました。npm audit で報告される本番環境の脆弱性は0件になりました。
• 重大度の高い CVE を抱えていたものの、実際には一度も組み込まれていなかった nodemailer を削除しました。メール通知機能は、アラートを黙って破棄する代わりに、未実装であることを明示するようになりました。
• Mund に初の実用的なテストスイートを追加しました。

🧬 Mund 0.3.0、npm で公開中 (詳細は以下)

@weave_protocol/[email protected] で、同等性の最低基準を実現しました。

• mund-mcp scan --format=sarif：検出結果が GitHub のコードスキャンアラートとして表示されます。
• OSV.dev からのリアルタイムの依存関係 CVE 情報を、オフラインキャッシュとともに提供します。確認できていないパッケージは、クリーンとせず未確認として報告します。
• すべてのスキャンで、重大度ラベル付きの0～100のリスクスコアを表示します。
• LLM Top 10 と Agentic Top 10 のOWASP 対応状況テーブルを用意し、対応済みと未対応を正確に示します。
• これまで一度も検出に成功していなかった23件のシークレット検出ルール（AWS シークレットキーを含む）を修正しました。

🐤 Mund 0.3.1：カナリアトークンとラグプル検出

• **カナリアトークン（OWASP LLM07）。**システムプロンプトに Mund のカナリアを配置すると、空白を挟んだもの、Base64 エンコードされたもの、逆順にされたものも含め、カナリアが漏えいした出力をすべて検出します。
• **MCP ラグプル検出（OWASP ASI04）。**Mund は最初に承認した時点で各 MCP サーバーのツールを記録し、後で変更があった際にアラートを出します。変更後のツールが悪意のあるものに見える場合や、コマンドの実行を要求する場合、判定は DO_NOT_USE になります。
• どちらの機能も、シナリオごとにテストケースを1つずつ備えたフィクスチャライブラリで検証されています。OWASP の対応状況は、Mund 単体で3/20、Weave スイート全体で10/20が対応済みとなり、対応済みの各項目には出典が紐付けられています。

🔏 リリースの仕組み

• npm Trusted Publishing（OIDC）。 CI から、長期間有効な npm トークンを使わずに公開します。
• publish-all で公開するすべてのパッケージに対し、CycloneDX SBOM と Sigstore アテステーションを生成します。
• CI を強化しました。Node 22 でビルドし、npm は 11 に固定し、GitHub Actions を Node 24 ランタイムに移行しました。publish.yml では、18 個すべてを再公開せずに、任意の単一パッケージをリリースできるようになりました。

---

⚔️ 私たちが守るものに、攻撃を仕掛ける

自らの攻撃エンジンを公開した、初のエージェントセキュリティプラットフォームです。2 つの新しいパッケージにより、スイートは純粋な防御から、互いに検証し合う防御と攻撃を同一の monorepo で実現する構成へと変わりました。

パッケージ	役割	バージョン
@weave_protocol/adversary	攻撃エンジン — 5 つのカテゴリ（IPI、ツール強制、ジェイルブレイク、抽出、目標改ざん）にわたる、文書化された攻撃 68 件と新規攻撃。4 つの侵害シグナル経路を備えた、実際の Playwright ブラウザーのターゲット。Anthropic API を利用する実際の LLM デモモード。v0.3 の新機能： LLM による動的な変異で、部分的にブロックされた攻撃を新しいバリエーションで再試行します。	✅ v0.3.0 ~!
@weave_protocol/agentsecbench	標準化ベンチマーク — 固定された攻撃スイート、A〜F のティア評価、貼り付け可能なレポート、並べて比較する機能	✅ v0.1.0

トロフィー攻撃 — 実際に発生したインシデントをコーパス内で再現し、文書化したものです。

• 🏦 Atlan の自律型不正行為（2025 年 12 月） — エージェント主導の金融詐欺として初めて文書化された事例
• 🔒 EchoLeak（CVE-2025-32711） — Microsoft Copilot におけるゼロクリックの情報窃取
• 👻 Brave/Comet OTP の情報窃取（2025 年） — 非表示 CSS を介したブラウザーエージェントによる秘密情報の漏えい
• 🚫 Forcepoint の偽著作権主張（2026 年 4 月） — 偽の著作権侵害の申し立てによる DoS

# Run the canonical benchmark against the demo target — proves the suite lands
npx @weave_protocol/agentsecbench run

# Or run the full 68-attack corpus directly
npx @weave_protocol/adversary demo

# v0.3: when a real model half-blocks an attack, generate a variant and retry
npx @weave_protocol/adversary demo --real --dynamic

これが重要な理由： モデルのリリース、WARD ポリシーの変更、アダプターの更新のたびに、同じ固定スイートを使って再ベンチマークできます。スコアが低下しましたか？ agentsecbench compare で確認できます。WARD ポリシーは実際に何かを防御できていますか？ --measure-ward-delta で確認できます。これが、新たなカテゴリーを確立する方法です。

Adversary の README を見る → · AgentSecBench の README を見る → · METHODOLOGY.md を見る →

---

🛡️ Mund のパリティ下限 — GitHub コードスキャンと連携

@weave_protocol/[email protected] は MCP サーバーに加えて、ファイルスキャナーとしても実行できるようになりました。

• mund-mcp scan --format=sarif：GitHub の security-severity を含む SARIF 2.1.0 形式で出力するため、どのリポジトリでも検出結果がコードスキャンアラートとして表示されます。
• npm のロックファイルに対する OSV.dev の最新依存関係 CVE を確認します。オフライン実行用のディスクキャッシュも備えています。確認できなかったパッケージは未確認として報告し、安全とは判定しません。
• スキャンごとに 0〜100 のリスクスコアと重大度ラベルを表示します。
• LLM Top 10（2025）と Agentic Top 10の OWASP カバレッジ表では、対応済み、一部対応、未対応の項目を正直に示します。
• リリースのサプライチェーン：publish-all は、パッケージごとの CycloneDX SBOM と、公開する正確な tarball を対象とした Sigstore 署名済み SBOM アテステーションを生成します。

npx @weave_protocol/mund scan . --format=sarif -o mund.sarif

この作業では、JavaScript が拒否する PCRE の (?i) 構文を使っていたため、一度もマッチしていなかったシークレット検出ルール 23 件も修正しました。

---

💰 Q4 ガバナンス — 自律的な支出上限

現在、企業向けエージェントに関する質問は、どれも 「これに使える上限はいくらですか？」 です。ツール呼び出し回数だけでなく、金額で測られます。@weave_protocol/[email protected] がその答えを提供します。実行／時間／日／週／月ごとの予算で LLM 呼び出しとツール呼び出しを制限し、ブロック、承認／合意を要求、通知の3つのアクションを実行します。

複数プロバイダーの LLM 料金に標準対応しています。Anthropic、OpenAI、Google、ローカル（無料）に対応します。ツールごとの金額上限（send_payment は1日あたり最大500ドル）も設定できます。人間が介在するターミナルでは、対話型の TTY 承認プロンプトを利用できます。Slack／PagerDuty／カスタム UI 向けの非同期コールバックにも対応します。安全なデフォルト設定により、非対話型の環境で承認が黙って実行されることはありません。

npx @weave_protocol/[email protected] spending caps         # inspect WARD.md caps
npx @weave_protocol/[email protected] spending simulate     # dry-run scenarios

# Extend your WARD.md:
spending_limits:
  - window: day
    budget: { usd: 5.00 }
    on_exceeded: require_approval
  - window: run
    budget: { tool_calls: 100 }
    on_exceeded: block
  - window: day
    budget:
      tools:
        send_payment: { max_amount_usd: 500 }
    on_exceeded: require_approval

既存の behavioral_limits.maxCostUSD との後方互換性があります。v1.1 ではインメモリストレージを使用し、プラグイン可能なインターフェースを通じて v1.2 の Redis／SQLite バックエンドに対応する予定です。import { SpendingTracker } from '@weave_protocol/witan/spending' でプログラムから利用できます。

Witan の支出上限に関する README をご覧ください →

---

🔐 Yoxallismus v2 — 耐量子暗号（オープンベータ）

@weave_protocol/[email protected] は、X25519 とハイブリッド化した NIST FIPS 203（ML-KEM-768） を基盤とする、耐量子暗号のコンポジション層です。AES-256-GCM AEAD、HKDF-SHA-256 KDF、セッションの前方秘匿性を実現する対称ラチェットを備えています。これは発明ではなく、プリミティブを組み合わせたものです。プリミティブは NIST 標準であり、新しいのはコンポジション（PQ ハイブリッド KEM + エージェントスコープのコンテキストバインディング + ラチェット）です。

# Explicit opt-in required — the beta tag is NOT installed by default
npm install @weave_protocol/yoxallismus@beta

import { PQCipher } from '@weave_protocol/yoxallismus';

const alice = PQCipher.generateKeypair();
const bundle = PQCipher.encryptTo(PQCipher.publicKeyOf(alice), plaintext);
const message = PQCipher.decryptFrom(alice, bundle.ciphertext, bundle.payload);

⚠️ 実験段階 — 監査未実施です。 規制対象、医療、金融、法務のデータには使用しないでください。検証は一般公開での利用、フォーク、コミュニティによる検証、責任ある脆弱性開示を通じて行われており、有償監査によるものではありません。採用する前に、THREAT_MODEL.md と SECURITY.md をご確認ください。

すべての主張を必ずご自身で検証してください：

npx @weave_protocol/yoxallismus@beta --package weave-yoxall test         # 13 reproducible-claims tests
npx @weave_protocol/yoxallismus@beta --package weave-yoxall audit-self   # 5 known-attack vectors
npx @weave_protocol/yoxallismus@beta --package weave-yoxall benchmark    # perf micro-benchmarks

Node 22 でシングルスレッド測定した結果は、ハイブリッド鍵ペア生成 3.1 ms・カプセル化＋カプセル解除 2.4 ms・AEAD（1 KB）0.024 ms で、目標の <5 ms を十分に下回ります。

Yoxallismus の README をご覧ください →

---

🛡️ 4つのランタイム。3つのベンダー。1つのポリシーファイル。

WARD.md はポータブルなエージェントセキュリティ標準になり得る、つまり一度記述すれば、どこでも適用できるというのが当初の構想でした。本日、その構想はエージェントハーネス全体で実現し、稼働しています。

ランタイム	ベンダー	適用ツール	状態
MCP サーバー	オープン標準	Hundredmen v1.1.0	✅ npm で公開中
Claude Code	Anthropic	adapter-claudecode v0.1.0	✅ npm で公開中
Google Antigravity（デスクトップ + agy CLI + SDK）	Google	adapter-antigravity v0.1.0	✅ npm で公開中
Microsoft Agent Framework	Microsoft	adapter-msaf v0.1.0	✅ npm で公開中
ブラウザーエージェント	オープン標準	browser v0.1.0	✅ npm で公開中

プロジェクトルートに置いた同じ WARD.md ファイルが、プラットフォームごとの編集なしで、Anthropic、Google、Microsoft、MCP、ブラウザーハーネスの各ランタイムによって読み込まれ、適用されるようになりました。

my-agent-project/
├── AGENTS.md          # what the agent does
├── SKILL.md           # how the agent does it
└── WARD.md            # what the agent can't do  ← all five surfaces respect this

---

🌐 ブラウザーエージェントのセキュリティ（Q3）— 5つ目の強制適用レイヤー

@weave_protocol/browser は、ブラウザーを操作するエージェントにランタイムでの IPI（間接プロンプトインジェクション）スキャンを追加します。33種類の検出パターンで、文書化された脅威の範囲をカバーします。隠された CSS ペイロード、ロール乗っ取りの指示、ツール呼び出しの偽装、アクションインジェクションの指示、支払い先の近接パターン（Atlan）、著作権 DoS マーカー（Forcepoint）などに対応しています。

Browser Guard 拡張機能と組み合わせることで、エージェントに見える内容と、ユーザーに見える内容の違いをクライアント側で確認できます。

ブラウザーの README を見る →

---

📊 AI エージェントセキュリティの現状：2026年第3四半期レポート

エージェントのセキュリティ動向、プラットフォームの成熟度、サプライチェーンのリスク、市場の課題に関する業界分析です。公開先：tyox-all.github.io/Weave_Protocol/q3-2026.html

---

これまでにリリース済み（Q3）

• adapter-msaf v0.1.0 — ミドルウェアによる Microsoft Agent Framework の強制適用。WardMiddleware クラス、1行での統合、Azure 認証情報のヒューリスティック検出を備えています。
• adapter-antigravity v0.1.0 — Google Antigravity の強制適用。1回のインストールでデスクトップ、agy CLI、SDK を保護します。
• adapter-claudecode v0.1.0 — PreToolUse フックによる Claude Code の強制適用。
• Hundredmen v1.1.0 — MCP の判定フローで、WARD.md がレピュテーション／ドリフト／承認より先に適用される最初のゲートになりました。
• WARD.md v0.1.0 — エージェントセキュリティポリシーの標準です。ファイルシステム、ネットワーク、機能、データ境界、動作制限、マルチエージェント、コンプライアンス、検証、脅威モデル、インシデント対応の10領域に対応しています。仕様 →
• Tollere v0.2.2 — マルチチャネルのサプライチェーンセキュリティ。npm、PyPI、Cargo、Go、Maven、Docker Hub、VS Code Marketplace、Open VSX、JetBrains に対応しています。サンドイッチパターンを検出します。
• Weave CLI v0.1.0 + Full Bundle v0.1.0 — weave init／audit／dashboard／doctor。コマンド1つでセキュリティをセットアップできます。

---

📦 パッケージ

このスイートは現在、防御、攻撃、運用の3つのレイヤーに整理されています。17個すべてのパッケージが npm の @weave_protocol スコープで公開されており、さらに1つの Python パッケージが PyPI で公開されています。

🛡️ 防御レイヤー（12 パッケージ）

エージェントをポリシーの範囲内に保つパッケージです。ポリシーを宣言し、すべてのハーネスに適用して、入力されるすべてのものをスキャンし、出力されるすべてのものを暗号化します。

パッケージ	バージョン	説明
🛡️ @weave_protocol/ward	0.1.0	WARD.md — エージェントセキュリティポリシー標準（パーサー、バリデーター、ランタイムチェック）
🛡️ @weave_protocol/adapter-claudecode	0.1.0	Claude Code アダプター — PreToolUse フックを介して WARD.md を適用
🛡️ @weave_protocol/adapter-antigravity	0.1.0	Google Antigravity アダプター — デスクトップ、agy CLI、SDK 全体で WARD.md を適用
🛡️ @weave_protocol/adapter-msaf	0.1.0	Microsoft Agent Framework アダプター — ミドルウェアベースで WARD を適用
🌐 @weave_protocol/browser	0.1.0	ブラウザーエージェントセキュリティ — ヘッドレスエージェント向けランタイム IPI スキャナー（33 パターン）
🔍 @weave_protocol/hundredmen	1.1.0	MCP プロキシ — ツール呼び出しを傍受、スキャン、制御し、最初のゲートとして WARD.md を適用
🛡️ @weave_protocol/mund	0.3.1	スキャナー — シークレット、PII、インジェクション、MCP 審査、OSV 依存関係 CVE、SARIF 出力、脅威インテリジェンス
🏛️ @weave_protocol/hord	0.1.6	Vault — Yoxallismus デュアルタンブラー暗号による暗号化ストレージ
🔐 @weave_protocol/yoxallismus	0.1.0-beta.0	耐量子暗号 — X25519 + ML-KEM-768 ハイブリッド KEM · AES-256-GCM · HKDF · ラチェット · ⚠️ 監査未実施
⚖️ @weave_protocol/domere	1.3.4	判定 — コンプライアンス（PCI-DSS、ISO27001、SOC2、HIPAA、GDPR、CCPA）、ブロックチェーンへのアンカリング
👥 @weave_protocol/witan	1.1.0	評議会 — マルチエージェントの合意形成とガバナンス、自律支出上限（Q4 v1.1）
🛂 @weave_protocol/tollere	0.2.2	税関 — サプライチェーンセキュリティ（npm、PyPI、Docker、IDE 拡張機能、サンドイッチ攻撃の検出）

⚔️ 攻撃レイヤー（2 パッケージ）— Q4 新登場

レッドチームです。防御対象を攻撃します。

パッケージ	バージョン	説明
⚔️ @weave_protocol/adversary	0.3.0	攻撃エンジン — 68 種類の攻撃 · LLM による動的な変異 · 実際の Playwright ブラウザーを標的にする機能 · 実際の LLM を使用するデモモード · WARD を考慮した攻撃選択
🎯 @weave_protocol/agentsecbench	0.1.0	標準ベンチマーク — 固定スイート（ASB-Browser-v1）、A〜F の段階評価、トロフィー攻撃、WARD 差分、すぐに貼り付けられるレポート

🔧 運用と統合（5 パッケージ、さらに PyPI 版 1 つ）

入り口、ダッシュボード、他のフレームワークへのブリッジです。

パッケージ	バージョン	説明
🕸️ @weave_protocol/cli	0.1.0	weave CLI — init、audit、dashboard、doctor
📦 @weave_protocol/full	0.1.0	バンドル — 1 つのコマンドですべてのパッケージをインストールします
🔌 @weave_protocol/api	1.1.1	REST API + オペレーターダッシュボード — npx @weave_protocol/api → http://localhost:3000/dashboard
🔗 @weave_protocol/langchain	1.0.2	LangChain.js のセキュリティコールバックとツールラッパー（npm overrides により監査での脆弱性は 0 件）
🐍 weave-protocol-llamaindex	0.1.0	Python/LlamaIndex のセキュリティコールバックとツール（PyPI で提供）

---

🤖 AI エージェントスキル

各パッケージには、Claude Agent Skills specificationに準拠した SKILL.md ファイルが含まれています。これらのファイルは、AI エージェントが Weave Protocol のツールを効果的に使用する方法を説明します。

パッケージ	スキル名	トリガー
🕸️ CLI	weave-cli	Weave のセットアップ、プロジェクトの初期化、セキュリティのひな形作成、監査、ダッシュボード、doctor
🛡️ Ward	ward	WARD.md、エージェントのセキュリティポリシー、ガードレール、エージェントのロックダウン
🛡️ adapter-claudecode	adapter-claudecode	Claude Code の保護、WARD フックのインストール、Claude Code のアクションのブロック
🛡️ adapter-antigravity	adapter-antigravity	Antigravity の保護、agy フック、GCP 認証情報の読み取りのブロック
🛡️ adapter-msaf	adapter-msaf	MSAF エージェントの保護、WardMiddleware、Copilot SDK のロックダウン、Azure の強制適用
🌐 browser	browser-security	ブラウザーエージェントの保護、IPI スキャン、非表示 CSS の検出、ページコンテキストの安全性
🛡️ Mund	security-scanning	スキャン、シークレットの検出、インジェクションの確認、MCP サーバーの審査、脅威インテリジェンス
🏛️ Hord	encrypting-data	暗号化、復号、ボルト、Yoxallismus、保護
🔐 Yoxallismus	pq-crypto	ポスト量子、ML-KEM、Kyber、ハイブリッド KEM、PQ ハイブリッド、量子耐性
⚖️ Domere	compliance-auditing	監査、チェックポイント、SOC2、HIPAA、PCI-DSS、GDPR、CCPA、ブロックチェーン
👥 Witan	consensus-governance	コンセンサス、投票、承認、ポリシー、エスカレーション
🔍 Hundredmen	security-inspection	傍受、ドリフト、レピュテーション、承認、ブロック、ライブフィード、WARD の強制適用
🛂 Tollere	supply-chain-security	npm install、docker pull、拡張機能のインストール、タイポスクワッティング、CVE、サンドイッチパターン
⚔️ Adversary	adversarial-testing	レッドチームエージェント、攻撃、侵入テスト、脆弱性の発見、IPI テスト、攻撃コーパスの実行
🎯 AgentSecBench	security-benchmarking	エージェントのベンチマーク、セキュリティスコア、ティア評価、ASB-Browser、引用可能なセキュリティレポート、実行結果の比較
🔗 Langchain	langchain-security	LangChain、コールバック、安全なツール、RAG セキュリティ、PII のマスキング
🔌 API	weave-api-calling	REST API、HTTP エンドポイント、curl、fetch

インストール：

SKILL.md 形式は Claude Code と Antigravity で共通のため、同じファイルを両方で使用できます。異なるのはインストール先だけです。

git clone https://github.com/Tyox-all/Weave_Protocol.git
cd Weave_Protocol

# For Claude Code:
mkdir -p ~/.claude/skills/weave-protocol
cp */SKILL.md ~/.claude/skills/weave-protocol/

# For Google Antigravity (global, all sessions):
mkdir -p ~/.gemini/antigravity-cli/skills/weave-protocol
cp */SKILL.md ~/.gemini/antigravity-cli/skills/weave-protocol/

# Or per-project under .agents/:
mkdir -p .agents/skills/weave-protocol
cp /path/to/Weave_Protocol/*/SKILL.md .agents/skills/weave-protocol/

Microsoft Agent Framework ではスキルは使用しません。MSAF はコードレベルで動作します。代わりに @weave_protocol/adapter-msaf の WardMiddleware クラスを使用してください。

---

🚀 クイックスタート

オプション 1：ガイド付きセットアップ（推奨）

npx @weave_protocol/cli init

オプション 2：すべてをインストール

npm install @weave_protocol/full

オプション 3：個別のパッケージをインストール

npm install @weave_protocol/mund @weave_protocol/tollere @weave_protocol/ward

オプション 4：まずベンチマークし、その後に防御

# See what attacks land on your agent before you start hardening
npx @weave_protocol/agentsecbench run --measure-ward-delta

Claude Desktop との統合（MCP）

claude_desktop_config.json に追加します：

{
  "mcpServers": {
    "mund":       { "command": "npx", "args": ["-y", "@weave_protocol/mund"] },
    "hord":       { "command": "npx", "args": ["-y", "@weave_protocol/hord"] },
    "domere":     { "command": "npx", "args": ["-y", "@weave_protocol/domere"] },
    "hundredmen": { "command": "npx", "args": ["-y", "@weave_protocol/hundredmen"] },
    "tollere":    { "command": "npx", "args": ["-y", "@weave_protocol/tollere"] }
  }
}

Claude Code / Antigravity / MSAF との統合

# Anthropic
npm install -g @weave_protocol/adapter-claudecode && weave-claude-code init

# Google
npm install -g @weave_protocol/adapter-antigravity && weave-antigravity init

# Microsoft (code-level)
npm install @weave_protocol/adapter-msaf

import { WardMiddleware } from '@weave_protocol/adapter-msaf';
const ward = new WardMiddleware();
agent.useFunctionMiddleware(ward.functionMiddleware());

プロジェクトのルートに WARD.md を配置します。いずれか（またはすべて）のアダプターが、すべてのツール呼び出しをゲートします。

---

✨ パッケージの詳細

🕸️ CLI — すべてをひとつのコマンドで

npx @weave_protocol/cli init        # detect framework, scaffold middleware
npx @weave_protocol/cli audit       # supply chain scan (Tollere)
npx @weave_protocol/cli dashboard   # launch monitoring UI
npx @weave_protocol/cli doctor      # environment health check

📄 スキル： weave-cli

---

🛡️ Ward — ポリシー標準

WARD.md ファイルでは、エージェントが実行できる操作を宣言します。AGENTS.md および SKILL.md とともにバージョン管理されます。

セクション	制御内容
ファイルシステム	glob パターンを使用した読み取り／書き込み／実行／削除／一覧表示のルール
ネットワーク	必要に応じてメソッド制限を設定できる、送信 HTTP の許可リスト
機能	エージェントが呼び出せるツール（必要に応じて承認ゲートを設定可能）
データ境界	データ送信時の分類（PII、PHI、認証情報など）とマスキング
動作上の制限	イテレーション数、実行時間、コスト、トークン数、ツール呼び出し回数
マルチエージェント	信頼チェーン、分離レベル、意味的ドリフトのしきい値
コンプライアンス	SOC2 ／ HIPAA ／ GDPR ／ CCPA ／ ISO27001 ／ PCI-DSS
検証	アテステーションのバックエンド（Dōmere）、ブロックチェーン、頻度
脅威モデル	対象範囲内／対象範囲外の脅威
インシデント対応	違反時の措置（ログ記録／アラート／終了／アテステーション）

実行時には、独立した5つのサーフェスで適用されます。Hundredmen（MCP）、adapter-claudecode（Claude Code）、adapter-antigravity（Antigravity）、adapter-msaf（Microsoft Agent Framework）、browser（ブラウザーエージェント）です。

📄 スキル： ward · 📋 仕様： WARD.md 仕様 →

---

🛡️ ハーネスアダプター

4つの適用サーフェスはすべて、同じ WARD.md ファイルを共有します。使用するハーネスに合わせてアダプターを選択してください。

• adapter-claudecode — PreToolUse フックを介した Claude Code
• adapter-antigravity — Google Antigravity（1回のインストールで3つのサーフェスに対応）
• adapter-msaf — ミドルウェアを介した Microsoft Agent Framework
• browser — ブラウザーエージェント（Playwright／Stagehand／Puppeteer 駆動）、33パターンの IPI スキャナー

WARD の解決順序（全アダプター共通）：$WEAVE_WARD_PATH → <cwd>/WARD.md → <cwd>/.weave/WARD.md → ハーネス固有のユーザーグローバルの場所。

---

🛡️ Mund — ガーディアン

AI エージェント向けのリアルタイムセキュリティスキャンです。シークレット（30以上のパターン）、PII、プロンプトインジェクション、危険なコード、悪意のある MCP サーバーの説明を検出します。脅威インテリジェンスはコミュニティのフィードから自動更新されます。

CLI としても実行できます。mund-mcp scan を実行すると、ディスク上のファイルをスキャンし、npm の依存関係を OSV.dev と照合します。リスクスコアを0～100で表示し、テキスト、JSON、または GitHub コードスキャン用の SARIF 形式で出力できます。OWASP 対応表を参照してください。

📄 スキル： security-scanning

---

🏛️ Hord — 保管庫

Yoxallismus デュアルタンブラー暗号を使用した暗号化ストレージです。AES-256-GCM、ChaCha20-Poly1305、Argon2id による鍵導出、安全なメモリ処理に対応しています。

📄 スキル： encrypting-data

---

🔐 Yoxallismus — 耐量子暗号（オープンベータ）

単独で使用できる耐量子暗号の構成レイヤーです。KEM には NIST FIPS 203（ML-KEM-768）と X25519 のハイブリッド方式、AEAD には AES-256-GCM、KDF には HKDF-SHA-256、セッションの前方秘匿性には対称ラチェットを採用しています。新しい方式を発明するのではなく、既存の方式を組み合わせています。すべてのプリミティブは NIST 標準または業界の事実上の標準です。

⚠️ 実験的なもので、監査は受けていません。 規制対象、医療、金融、法律に関するデータには使用しないでください。検証は有償監査ではなく、一般公開での利用、フォーク、責任ある脆弱性開示を通じて行われます。

# Explicit opt-in required — beta tag not installed by default
npm install @weave_protocol/yoxallismus@beta

# CLI subcommands
weave-yoxall status         # library posture + known limitations
weave-yoxall keygen         # hybrid keypair (X25519 + ML-KEM-768)
weave-yoxall encrypt        # encrypt to a recipient's public key
weave-yoxall decrypt        # decrypt with private key
weave-yoxall test           # reproducible-claims tests
weave-yoxall audit-self     # known-attack test vectors
weave-yoxall benchmark      # perf micro-benchmarks

パフォーマンス — ハイブリッド鍵ペア生成：3.1 ms · カプセル化＋非カプセル化：2.4 ms · AEAD（1 KB）：0.024 ms。いずれも目標の <5 ms を達成しています。

📄 スキル： pq-crypto · 📋 脅威モデル： THREAT_MODEL.md · 🔒 脆弱性開示： SECURITY.md

---

⚖️ Domere — 審判

エンタープライズ向けの検証、オーケストレーション、コンプライアンス、監査のインフラストラクチャです。SOC2、HIPAA、PCI-DSS、ISO27001、GDPR、CCPA に対応しています。Solana と Ethereum のブロックチェーンにアンカーを記録し、改ざん不可能な監査証跡を実現します。

ブロックチェーンへのアンカー記録：

• Solana Mainnet：6g7raTAHU2h331VKtfVtkS5pmuvR8vMYwjGsZF1CUj2o
• Solana Devnet：BeCYVJYfbUu3k2TPGmh9VoGWeJwzm2hg2NdtnvbdBNCj
• Ethereum：0xAA8b52adD3CEce6269d14C6335a79df451543820

📄 スキル： compliance-auditing

---

👥 Witan — 評議会

マルチエージェントの合意形成とガバナンスを実現します。全会一致、過半数、重み付け、定足数の各プロトコルに対応しています。ルールの適用、エスカレーション、エージェントバスを備えています。

v1.1.0 の新機能 — 自律的な支出上限。LLM のコスト、トークン、ツール呼び出しに対する期間ごとの予算と、ツールごとの支出上限を設定できます。block、require_approval、notify の 3 つのアクションで制御します。複数プロバイダーの LLM 料金（Anthropic、OpenAI、Google、ローカル）を標準でサポートしています。承認ワークフローには、対話型 TTY プロンプトまたは非同期コールバックを利用できます。非対話型のコンテキスト向けに安全なデフォルト設定を用意しています。

npx @weave_protocol/witan spending caps        # inspect WARD.md spending caps
npx @weave_protocol/witan spending simulate    # dry-run scenarios

import { SpendingTracker } from '@weave_protocol/witan/spending';

const tracker = new SpendingTracker({
  caps: [{ window: 'day', budget: { usd: 5.00 }, onExceeded: 'require_approval' }],
});
const check = await tracker.checkAction({ kind: 'tool', tool: 'send_payment', amountUSD: 1000 });
if (check.blocked) throw new Error(check.reason);
if (check.requiresApproval && !(await check.approve!())) throw new Error('denied');

📄 スキル： consensus-governance

---

🔍 Hundredmen — 監視者

リアルタイムの MCP セキュリティプロキシです。v1.1.0 では、意思決定フローの最初のゲートとして WARD.md を適用し、レピュテーション、ドリフト、承認の各チェックよりも先に確認します。

📄 スキル： security-inspection

---

🛂 Tollere — 税関検査官

AI 生成コードのサプライチェーンセキュリティを実現します。悪意のあるパッケージ、Docker イメージ、IDE 拡張機能が、node_modules/、コンテナー、エディターに到達する前に検出します。npm、PyPI、Cargo、Go、Maven、Docker Hub、VS Code Marketplace、Open VSX、JetBrains に対応しています。

📄 スキル： supply-chain-security

---

⚔️ Adversary — レッドチーム

ほかのパッケージが防御するのに対し、Adversary は攻撃します。5 つのカテゴリにわたる、文書化済みおよび新規の攻撃を 68 件収録しています。IPI（33 件）、ツール使用の強制（15 件）、ジェイルブレイク（10 件）、抽出（5 件）、目標の改ざん（5 件）です。対象は 3 種類です。pattern-mock（CI のスモークテスト、API 不要）、real-LLM（Anthropic API 経由で --real を指定、デフォルトは Claude Haiku 5.5）、real-browser（Playwright を使用し、ネットワーク、フォーム、DOM、コンソールの 4 つの侵害シグナルチャネルを検出）です。WARD に対応した攻撃選択では、ポリシーが適用を主張する機能を優先的に調査します。

**v0.3 動的ミューテーション（--dynamic）：**対象が攻撃を拒否しつつも応答を続ける（部分的なブロック）場合、LLM が同じ意図を持つバリアントを作成し、Adversary が --dynamic-max-retries（デフォルトは 2）まで再試行します。これにより、セーフガードが攻撃全般に対応できるのか、それとも元の表現だけを検出したのかをテストします。コーパスは固定されたままです。各試行は Finding.attempts[] に記録され、既存のスコアカード利用側との互換性も維持されます。Claude Haiku 5.5 を使った最初の実運用では、5 件の攻撃のうち 2 件がバリアント経由でのみ成功し、合計費用は $0.003 でした。API の呼び出しがすべて失敗した場合、Adversary はクリーンなスコアを報告するのではなく、エラーを返して終了するようになりました。

npx @weave_protocol/adversary demo               # mock, ~50ms
npx @weave_protocol/adversary demo --real        # real LLM (Haiku 5.5)
npx @weave_protocol/adversary demo --real --dynamic   # + LLM variants on half-blocks
npx @weave_protocol/adversary attack --url=...   # real browser agent
npx @weave_protocol/adversary demo --real --redact-evidence   # shareable scorecard

AgentSecBench がそのまま使用する、ロック済みのスコアカードスキーマ v1.0。

📄 スキル： adversarial-testing

---

🎯 AgentSecBench — ベンチマーク

Adversary の上位に位置する解釈レイヤーです。ロックされ、バージョン管理された攻撃スイートにより、ティア別の評価レポートを作成します。ASB-Browser-v1（v1.0）は、厳選された 40 件の攻撃で構成されています。IPI 全 33 件、重大なツール強制攻撃 4 件、最も影響度の高い抽出攻撃 3 件です。

npx @weave_protocol/agentsecbench run                          # default suite, tier-graded report
npx @weave_protocol/agentsecbench run --measure-ward-delta     # quantify policy effectiveness
npx @weave_protocol/agentsecbench compare baseline.json new.json

A〜F のティア評価、4 つのトロフィー攻撃（Atlan、EchoLeak、Brave/Comet、Forcepoint）、カテゴリ別のギャップ分析、任意の WARD 差分、平易な英語による解釈文を提供します。レポートは、ブログ記事、RFP への回答、ベンダー監査、社内レビューにすぐ貼り付けられる Markdown 形式です。

📄 スキル： security-benchmarking · 📋 方法論： METHODOLOGY.md →

---

🔌 API + オペレーターダッシュボード

npx @weave_protocol/api
# → http://localhost:3000/dashboard

5 つすべての適用サーフェスを、ひとつの画面でリアルタイムに監視できます。ダッシュボードでは、階層図の最上部に WARD.md を表示し、そこから設定済みの適用機能（Hundredmen、3 つのベンダーアダプター、ブラウザー）へ枝分かれします。使用していないサーフェスは暗く表示されるため、エージェントを保護しているものと利用可能なものをすぐに判別できます。

リアルタイムのアクティビティフィード（許可／拒否／IPI 検出／承認）、WARD ポリシーパネル、過去 24 時間の集計統計を備えています。5 秒ごとに自動更新します。マーケティング資料ではなく、運用ルーム向けに設計されたモノクロのデザインです。

📄 スキル： weave-api-calling

---

🔗 Langchain — ブリッジ

LangChain.js アプリケーション向けのセキュリティ統合です。すぐに使えるコールバック、セキュリティ保護されたツールラッパー、PII の墨消しに対応した RAG リトリーバーのスキャンを提供します。

📄 スキル： langchain-security

---

🏗️ アーキテクチャ

flowchart TD
    CLI["🕸️ <b>weave init / audit</b><br/><i>front door — @weave_protocol/cli</i>"]
    WARD["🛡️ <b>WARD.md</b><br/><i>policy standard — declares what the agent can't do</i>"]
    CLI --> WARD

    WARD -.->|enforced at runtime by| HM
    WARD -.->|enforced at runtime by| CC
    WARD -.->|enforced at runtime by| AG
    WARD -.->|enforced at runtime by| MSAF
    WARD -.->|enforced at runtime by| BR

    HM["🔍 <b>Hundredmen</b><br/>MCP layer<br/><i>open standard</i>"]
    CC["🛡️ <b>adapter-claudecode</b><br/>Anthropic<br/>✅ Live"]
    AG["🛡️ <b>adapter-antigravity</b><br/>Google · desktop + agy + SDK<br/>✅ Live"]
    MSAF["🛡️ <b>adapter-msaf</b><br/>Microsoft · middleware<br/>✅ Live"]
    BR["🌐 <b>browser</b><br/>Browser agents<br/>✅ Live"]

    HM --> AGENT
    CC --> AGENT
    AG --> AGENT
    MSAF --> AGENT
    BR --> AGENT

    subgraph AGENT["🤖 AI Agent System"]
        direction TB
        subgraph CORE["Defense — Core security"]
            direction LR
            MUND["🛡️ Mund<br/>Guardian<br/><i>scanning</i>"]
            HORD["🏛️ Hord<br/>Vault<br/><i>encryption</i>"]
            DOMERE["⚖️ Domere<br/>Judge<br/><i>compliance</i>"]
            WITAN["👥 Witan<br/>Council<br/><i>consensus</i>"]
        end
        subgraph OPS["Operations"]
            direction LR
            TOLLERE["🛂 Tollere<br/>Customs<br/><i>supply chain</i>"]
            API["🔌 API + Dashboard<br/><i>REST + UI</i>"]
            LC["🔗 LangChain bridge"]
        end
        CORE --> OPS
    end

    subgraph OFFENSIVE["⚔️ Offensive — we attack what we defend"]
        direction LR
        MUT["🧬 <b>Dynamic mutation</b><br/>LLM variants on half-blocks<br/><i>v0.3</i>"]
        ADV["⚔️ <b>Adversary</b><br/>68 attacks · 5 categories<br/><i>offensive engine</i>"]
        MUT -.->|retries with variant| ADV
        ASB["🎯 <b>AgentSecBench</b><br/>locked suites · tier A–F<br/><i>citable benchmark</i>"]
        ADV --> ASB
    end

    subgraph EXTERNAL["🌍 External integrations"]
        direction LR
        OSV["📚 OSV.dev<br/><i>dependency CVEs</i>"]
        GHCS["📋 GitHub code scanning<br/><i>SARIF alerts</i>"]
    end

    OSV -.->|advisories, cached offline| MUND
    MUND -.->|SARIF 2.1.0| GHCS

    AGENT -.->|attacked by| OFFENSIVE
    OFFENSIVE -.->|scorecards inform| WARD

    classDef policy fill:#1f2937,stroke:#60a5fa,stroke-width:2px,color:#fff
    classDef enforcer fill:#064e3b,stroke:#10b981,stroke-width:2px,color:#fff
    classDef core fill:#312e81,stroke:#818cf8,stroke-width:1px,color:#fff
    classDef ops fill:#1e3a8a,stroke:#60a5fa,stroke-width:1px,color:#fff
    classDef offensive fill:#7f1d1d,stroke:#ef4444,stroke-width:2px,color:#fff
    classDef external fill:#374151,stroke:#9ca3af,stroke-width:1px,color:#fff

    class CLI,WARD policy
    class HM,CC,AG,MSAF,BR enforcer
    class MUND,HORD,DOMERE,WITAN core
    class TOLLERE,API,LC ops
    class ADV,ASB,MUT offensive
    class OSV,GHCS external

この図はループを示しています。防御サーフェスは実行時にポリシーを適用します。攻撃エンジンはエージェントを攻撃します。スコアカードは新たな証拠として WARD にフィードバックされます。どの攻撃が成功したか、新しいポリシードメインが必要なのはどれか、前回のリリースから何が後退したかを示します。このループこそが、競争優位性を生み出します。

🔐 セキュリティモデル

同じモノレポ内にある攻撃エンジンによる継続的な検証を通じて、AI エージェントのライフサイクル全体に多層防御を適用します。

1. 🛡️ Ward は、エージェントが実行できることとできないことを宣言します（ポリシー・アズ・コード）。
2. 🛡️ Harness アダプター は、IDE／CLI／フレームワーク内で WARD を適用します。
   • Claude Code 用の adapter-claudecode（PreToolUse フック）
   • Google Antigravity 用の adapter-antigravity（デスクトップ／CLI／SDK 全体での PreToolUse フック）
   • Microsoft Agent Framework 用の adapter-msaf（ミドルウェアパイプライン）
   • ブラウザー操作エージェント用の browser（ランタイム IPI スキャン）
3. 🛂 Tollere は、すべての依存関係、イメージ、拡張機能をプロジェクトに取り込む前に検査します。
4. 🛡️ Mund は、処理前にすべての入力をスキャンして脅威を検出します。
5. 🏛️ Hord は、機密データを保存時と転送時に暗号化します。
6. ⚖️ Domere は、改ざん検知可能なチェックサムとブロックチェーンへのアンカリングを用いて、すべてのアクションを記録します。
7. 👥 Witan は、リスクの高い操作にコンセンサスを要求します。
8. 🔍 Hundredmen は、ツール呼び出しをリアルタイムでインターセプトして制御し、MCP レイヤーで WARD ポリシーを適用します。
9. 🔗 Langchain / Python は、LangChain.js と LlamaIndex のチェーンおよびエージェントを保護します。
10. ⚔️ Adversary は、文書化された攻撃や新たに考案した攻撃を含む 68 種類の攻撃で、スタック全体を攻撃します。
11. 🎯 AgentSecBench は、セキュリティをスコア化し、A～F で評価して、標準化され引用可能な形式で報告します。

CORS モデルの統合

CORS レイヤー	Weave パッケージ	機能
ポリシー	🛡️ Ward	許可／拒否するアクション、動作上の制限、アテステーション要件を宣言します
ポリシー適用（Claude Code）	🛡️ adapter-claudecode	WARD を読み込み、フック経由で Claude Code のツール呼び出しを制御します
ポリシー適用（Antigravity）	🛡️ adapter-antigravity	WARD を読み込み、デスクトップ／CLI／SDK 全体で Antigravity の呼び出しを制御します
ポリシー適用（MSAF）	🛡️ adapter-msaf	WARD を読み込み、ミドルウェア経由で Microsoft Agent Framework の呼び出しを制御します
ポリシー適用（ブラウザー）	🌐 browser	ブラウザー操作エージェントを対象に、ランタイムで IPI をスキャンします
ポリシー適用（MCP）	🔍 Hundredmen	WARD を読み込み、MCP レイヤーでツール呼び出しを制御します
サプライチェーン	🛂 Tollere	インストール前に依存関係、イメージ、拡張機能を審査します
オリジン検証	🛡️ Mund	入力ソースを検証し、インジェクションを検出します
コンテキストの完全性	🏛️ Hord	暗号化によってデータの完全性を保護します
決定論的な適用	⚖️ Domere	ポリシーが一貫して適用されるようにします
敵対的検証	⚔️ Adversary + 🎯 AgentSecBench	上記のすべてのレイヤーを継続的にテストします

---

🛠️ 開発

git clone https://github.com/Tyox-all/Weave_Protocol.git
cd Weave_Protocol

# Build each package
for pkg in mund hord domere witan hundredmen tollere langchain api cli ward \
           adapter-claudecode adapter-antigravity adapter-msaf browser \
           adversary agentsecbench; do
  (cd $pkg && npm install && npm run build)
done

---

🗺️ ロードマップ

リリース済み

• GDPR／CCPA／SOC2／HIPAA／PCI-DSS／ISO27001 コンプライアンスフレームワーク
• MCP サーバーのレピュテーションスコアリング
• 脅威インテリジェンスの自動更新
• LangChain.js 統合パッケージ
• Python／LlamaIndex 統合
• 監視用ウェブダッシュボード
• サプライチェーンセキュリティ（Tollere）— npm、PyPI、Cargo、Go、Maven、Docker イメージ、IDE 拡張機能、サンドイッチパターンの検出
• バンドルパッケージ + CLI（weave init）
• WARD.md エージェントセキュリティポリシー標準
• Hundredmen ↔ WARD 適用統合（v1.1.0）
• Claude Code harness アダプター（Anthropic）
• Google Antigravity harness アダプター（Google）
• Microsoft Agent Framework harness アダプター（Microsoft）
• クロスプラットフォームの理念を実証 — 同じ WARD.md が主要ベンダー 3 社のすべてのハーネスと MCP で動作

2026 年第 3 四半期 — 導入促進の四半期

• ブラウザーエージェントのセキュリティ（@weave_protocol/browser）
• オーケストレーションの可視化機能を備えたダッシュボード v2
• AI エージェントセキュリティの現状：第 3 四半期レポート — エージェントセキュリティのトレンド、プラットフォームの成熟度、サプライチェーンのリスク、市場の課題に関する業界分析

H2 2026 Q4 — モートの四半期

• 敵対的エージェント（@weave_protocol/adversary v0.2.1）— 文書化済みの攻撃と新規攻撃を合わせて68件、実際のPlaywrightブラウザーを標的とし、実際のLLMを使ったデモモードを搭載
• Adversary v0.3（@weave_protocol/adversary v0.3.0）：半ブロック状態の攻撃をLLM主導で動的に変異させ、Claude Haiku 5.5で実環境検証済み。デフォルトモデルを提供終了したClaude 3.5 Haikuから変更。API障害時は100/100と採点せず、エラーを返すように変更
• AgentSecBench（@weave_protocol/agentsecbench v0.1.0）— 標準化ベンチマーク、A〜Fの段階評価
• Witan自律支出上限（@weave_protocol/witan v1.1.0）— LLMのコスト、トークン、ツール呼び出しに対する期間ごとの予算を設定し、ブロック／承認／通知で制御
• Yoxallismus v2（@weave_protocol/[email protected]）— オープンベータを公開。耐量子ハイブリッドKEM（X25519 + ML-KEM-768 / NIST FIPS 203）+ AEAD + ラチェット。意図的に監査未実施とし、公開利用、フォーク、責任ある脆弱性開示を通じて検証。v0.2以降でDHダブルラチェット、カスケード暗号、しきい値暗号化を追加。v0.3以降でZK/VDF/QRNGを追加。v0.4以降でFHEを追加。yoxallismus/README.mdを参照してください。
• Mundの同等性の最低基準：SARIF出力（mund-mcp scan --format=sarif）、オフライン時のフォールバックに対応したOSV.devのリアルタイムCVE検索、0〜100のリスクスコア、publish-allでのCycloneDX SBOM + Sigstore証明、OWASP LLM + Agenticのカバレッジ表

---

🤝 貢献

バグ報告や機能リクエストは、GitHub Issuesからお寄せください。

セキュリティ上の問題については、SECURITY.mdをご覧ください。

その他のお問い合わせ先：[email protected]

ガイドラインについては、CONTRIBUTING.mdをご覧ください。

---

📄 ライセンス

Apache 2.0 — LICENSEをご覧ください。

---

🔗 リンク

• GitHub： https://github.com/Tyox-all/Weave_Protocol
• npmパッケージ： https://www.npmjs.com/~tyox-all
• PyPI： https://pypi.org/project/weave-protocol-llamaindex/
• MCP Registry： https://registry.modelcontextprotocol.io（「mund」を検索）
• 2026年第3四半期レポート： https://tyox-all.github.io/Weave_Protocol/q3-2026.html
• npmのAdversary： https://www.npmjs.com/package/@weave_protocol/adversary
• npmのAgentSecBench： https://www.npmjs.com/package/@weave_protocol/agentsecbench

---

AIエージェントのエコシステムのために、心を込めて開発しました。私たちは、自ら守るものを攻撃します。