Agent Action Gate

Agent Action Gate

用于Agent 和 MCP 工具调用的 Gate/Prove 运行时。

规范化工具意图 → 拒绝未知操作 → 绝不将模型置信度视为批准 → 对破坏性操作／配置资源／停用资源进行 HITL 证明 → Action Ledger（哈希链）。

提取自 GRC_Claw @grc-claw/agent-policy-firewall。此仓库是精简的核心部分：一条命令，无需搭建庞大系统。

商业模式（销售方式）： $499 即时审计和咨询，详见 a2zsoc.com。

为何开发此项目（营收 + 成本）

AI Agent 公司不会为“又一个 MCP”付费。他们付费是为了阻止无人值守的破坏性工具，并在 SOC 2 Type I、PE 尽职调查或保险续保前证明 Gate/Prove 缺口。

成本驱动因素	此 Gate 的作用	买方收益
未设 Gate 的 shell.exec / 禁用控制／停用资源	除非提供 HITL 证明令牌 + approved，否则 DENY	避免生产环境遭受冲击
Agent“有 95% 把握”	never_equate_intent_to_approval: true	意图 ≠ Ledger 证明
写入工具一有想法就执行	默认模拟（无副作用）	花费 FDE 分钟，而非承担事故成本
无审计跟踪记录	采用哈希链的仅追加 Action Ledger	尽职调查材料包

硬性规则：绝不将 Agent 意图或模型评分等同于人工批准。

示例成本估算（非报价）：make bench。

快速开始

make demo

PYTHONPATH=. python3 -m aag demo
PYTHONPATH=. python3 -m aag check fixtures/t1059_unattended_shell.json
PYTHONPATH=. python3 -m aag bench

无人值守的高等级调用一律 DENY，即使置信度为 0.99 也不例外。ALLOW 需要 AAG_PROVE_TOKEN（或 --prove-token）并且需要 approved: true。

export AAG_PROVE_TOKEN='replace-me'
PYTHONPATH=. python3 -m aag check fixtures/proved_decommission.json --prove-token "$AAG_PROVE_TOKEN"

紧急停止开关：AAG_KILL_SWITCH=1 或创建 artifacts/KILL 文件。

MCP stdio 服务

此进程绝不执行工具。客户端在调用破坏性工具前会调用 gate_check。

PYTHONPATH=. python3 -m aag serve

Cursor / Claude 示例（mcpServers）：

{
  "agent-action-gate": {
    "command": "python3",
    "args": ["-m", "aag", "serve"],
    "cwd": "/path/to/agent-action-gate",
    "env": { "PYTHONPATH": ".", "AAG_PROVE_TOKEN": "replace-me" }
  }
}

Docker / registry 镜像：

docker run --rm -i ghcr.io/aah20/agent-action-gate:0.2.0

官方 MCP Registry 名称：io.github.AAH20/agent-action-gate

Envelope

每项决策都包含：

• never_equate_intent_to_approval: true
• allow_auto_execute（无人值守的高等级操作时为 false）
• mode：deny | simulate | allow
• ledger_id / receipt_hash
• CTA：即时审计 + 咨询

Library mapper

无需 stdio 循环，即可在 Python 中使用相同的 Gate/Prove 策略：

from aag.gate import AgentActionGate
from aag.mcp import evaluate_mcp_call

gate = AgentActionGate(prove_token="replace-me")
evaluate_mcp_call(gate, {"params": {"name": "shell.exec", "arguments": {"note": "no payload"}}})

Fixtures（仅标注，不含载荷）

文件	技术	预期结果
t1059_unattended_shell.json	T1059	无人值守的破坏性操作为 DENY
t1078_read_identity.json	T1078	读取为 ALLOW
t1562_impair_defenses.json	T1562	无人值守的破坏性操作为 DENY
write_ticket_simulate.json	—	写入为 SIMULATE
proved_decommission.json	T1578	仅在提供 HITL 令牌时为 ALLOW

目录结构

aag/
  gate.py      HITL + kill-switch + unknown deny
  ledger.py    hash-chained JSONL
  server.py    MCP stdio (gate_check, ledger_verify)
  mcp.py       MCP tools/call mapper (no execution)
  cost.py      illustrative avoidance sketch
  demo.py      fixture runner
fixtures/      ATT&CK-tagged cases
server.json    MCP Registry metadata
tests/         Gate/Prove + MCP contract

付费评估（非免费证明）

如果你部署了 Agent 或 MCP 服务，并且需要在 SOC 2、PE 尽职调查或保险事项前进行 Gate/Prove 审查：

→ $499 即时审计
→ 咨询（冲刺项目 / vCISO）

无偿的居家测试任务：拒绝——运行 make demo 并购买即时审计。

许可证

MIT