AegisGate MCP

配置优先级

配置按从高到低的优先级顺序解析：

1. CLI 标志 — 覆盖所有其他配置
2. 环境变量 — 覆盖配置文件
3. JSON 配置文件（--config）— 覆盖内置默认值
4. 内置默认值

CLI 标志

所有 CLI 标志都有对应的环境变量：

JSON 配置文件

{
  "address": ":8081",
  "auth_token": "my-secret-token",
  "audit_log_path": "/var/log/mcp-audit.json",
  "max_sessions": 100,
  "max_connections": 1000,
  "rate_limit_rpm": 120,
  "exec_timeout_seconds": 30,
  "scan_responses": true,
  "block_on_pii": true,
  "block_on_secrets": true,
  "block_on_xss": true,
  "block_on_prompt_inject": true,
  "redact_enabled": true,
  "redact_pii": true,
  "redact_secrets": true,
  "redact_placeholder": "[REDACTED]",
  "tls_enabled": true,
  "tls_cert_file": "/etc/ssl/mcp/server.pem",
  "tls_key_file": "/etc/ssl/mcp/server.key",
  "tls_client_ca_file": "/etc/ssl/mcp/ca.pem",
  "tls_min_version": "1.3",
  "demo_tools": true
}

传输模式

健康检查端点

设置 --health-addr 后，单独的 HTTP 监听器会提供可观测性端点：

RBAC 角色

AegisGate MCP 强制实施 4 级角色层次结构。角色顺序为：restricted < standard < privileged < admin。

角色比较使用 AgentRole.AtLeast()——privileged Agent 可以访问任何要求 standard 或 restricted 的工具，但不能访问要求 admin 的工具。

策略引擎

策略引擎会在任何工具执行前评估允许/拒绝规则。规则支持：

• 工具名称匹配——精确名称和通配符模式
• Agent 角色条件——仅对特定角色应用规则
• 风险分数阈值——在达到 RiskAbove 值时触发
• 优先级——优先评估高优先级规则
• 时间范围——将工具限制在特定时间范围内
• 参数模式——匹配工具调用参数
• 操作——允许、拒绝（附带原因）、日志级别、风险修饰符

内置策略规则

通过 LoadDefaultPolicies() 加载：

可以通过编程方式添加自定义规则：

server.AddPolicyRule(mcp.PolicyRule{
    ID:          "block-after-hours",
    Name:        "Block Dangerous Tools After Hours",
    Description: "No high-risk tools outside business hours",
    Condition: mcp.RuleCondition{
        ToolNames: []string{"shell_command", "file_delete"},
        TimeWindow: &mcp.TimeWindow{
            Start: "08:00",
            End:   "18:00",
        },
    },
    Action: mcp.RuleAction{
        Allow:      false,
        DenyReason: "High-risk tools only available during business hours",
        LogLevel:   "warn",
    },
    Priority: 75,
    Enabled:   true,
})

AegisGate MCP 支持 ECDSA P-256 消息签名，以防止请求伪造和篡改。 客户端对每个请求的规范 JSON 进行签名（将 Signature 和 KeyID 字段置零）， 并在请求标头中包含签名。

服务端设置

server, _ := mcp.NewSecuredMCPServer(cfg)

// Register a trusted client public key (SEC1 encoded)
server.AddTrustedKey("agent-001", clientPubKeySEC1)

客户端签名（示例）

import (
    "crypto/ecdsa"
    "crypto/sha256"
    "crypto/rand"
    "encoding/hex"
)

func signRequest(privKey *ecdsa.PrivateKey, canonicalJSON []byte) string {
    hash := sha256.Sum256(canonicalJSON)
    sig, _ := ecdsa.SignASN1(rand.Reader, privKey, hash[:])
    return hex.EncodeToString(sig)
}

服务端使用 ecdsa.VerifyASN1 根据受信任的公钥验证签名。 如果不存在 KeyID 或 Signature，则跳过验证——允许与未签名的客户端互操作， 同时强制提供这些信息的客户端使用签名。

测试覆盖率

运行测试

# Non-CGO test suite (heuristic-only, no ONNX)
CGO_ENABLED=0 go test ./... -count=1 -timeout 120s

# CGO test suite (full ML, requires libonnxruntime.so)
CGO_ENABLED=1 CGO_LDFLAGS="-L$(pwd)/lib/amd64 -lonnxruntime" go test ./... -count=1 -timeout 120s

# With race detector (CGO only — -race requires CGO)
CGO_ENABLED=1 CGO_LDFLAGS="-L$(pwd)/lib/amd64 -lonnxruntime" go test -race -count=1 -timeout 300s ./...

# Load/stress/burst/crush/chaos tests (behind build tag)
go test -tags=load -count=1 -timeout 600s -v ./...

# Benchmarks (regression tracking)
go test -bench=. -benchmem -benchtime=5s ./...

# Fuzz testing (run for 60 seconds per target)
go test -fuzz=FuzzHandleRequest -fuzztime=60s ./...

性能特征

通过 k6 风格的负载测试套件（//go:build load）验证：

核心性能

AegisGate MCP 没有任何外部模块依赖。go.mod 文件中不包含 require 指令。所有第三方代码（ONNX Runtime 绑定、Unicode 规范化、ML 模型）均已存放在 internal/、lib/ 和 models/ 中。

module github.com/aegisgatesecurity/aegisgate-mcp

go 1.26.9

// Zero external module dependencies (no `require` directives).
// All third-party code is vendored into internal/ — see NOTICE for details.

已存放的组件（完整归属信息请参阅 NOTICE）：

这为什么重要：

• 隔离网络环境部署 — 无需执行 go mod download，不存在供应链风险
• 无传递依赖 — 除已存放的代码外，无其他内容需要审计
• 可复现构建 — 多次构建生成的二进制文件完全相同
• 最小攻击面 — 所有第三方代码均可查看和审计
• 快速编译 — 无需承担依赖解析开销

架构

┌─────────────────────────────────────────────────────────────────────────┐
│                          AegisGate MCP Server                           │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                         │
│  TCP Mode:                                                              │
│  ┌──────────┐    ┌──────────────┐    ┌───────────┐    ┌──────────────┐  │
│  │ TCP      │───▶│ Auth         │───▶│ Guardrails│───▶│ Response     │  │
│  │ Client   │    │ Middleware   │    │ (Rate +   │    │ Scan         │  │
│  │          │    │ (Token +     │    │  Chain)   │    │ (PII/Secrets │  │
│  │ (TLS/    │    │  Signature + │    │           │    │  /XSS/Inject)│  │
│  │  mTLS)   │    │  Session)    │    │           │    │              │  │
│  └──────────┘    └──────────────┘    └───────────┘    └──────┬───────┘  │
│                                                             │          │
│                                                             ▼          │
│  stdio Mode:                                    ┌──────────────────────┐ │
│  ┌──────────┐    (same security chain,          │   Request Handler    │ │
│  │ stdin /  │     stdin/stdout instead          │  ┌────────────────┐  │ │
│  │ stdout   │     of TCP)                      │  │  RBAC Check    │  │ │
│  └──────────┘                                  │  ├────────────────┤  │ │
│                                                 │  │  Policy Engine │  │ │
│                                                 │  ├────────────────┤  │ │
│                                                 │  │  Param Validate│  │ │
│                                                 │  ├────────────────┤  │ │
│                                                 │  │  Tool Registry │  │ │
│                                                 │  │  + Exec Timeout│  │ │
│                                                 │  └────────────────┘  │ │
│                                                 └──────────────────────┘ │
│                                                                         │
│  Health Endpoint (separate HTTP listener):                              │
│  ┌────────────────────────────────────────┐                             │
│  │  GET /healthz  → liveness              │                             │
│  │  GET /readyz   → readiness             │                             │
│  │  GET /stats    → server statistics     │                             │
│  └────────────────────────────────────────┘                             │
│                                                                         │
│  Audit Log: all MCP actions → file + in-memory (queryable)              │
└─────────────────────────────────────────────────────────────────────────┘

请求流程：

1. TCP 客户端连接（可选使用 TLS/mTLS），或由 stdio 通过 stdin 发送 JSON-RPC
2. 身份验证中间件验证 bearer token/API key（采用恒定时间比较），验证 ECDSA 签名，并创建／验证会话
3. 防护措施实施速率限制和会话限制，并运行链分析
4. 响应扫描（执行前的参数验证在处理程序中进行）
5. 请求处理程序检查 RBAC 权限，评估 Policy Engine 规则，根据 inputSchema 验证必需参数，并在超时时限内执行工具
6. 响应扫描（执行后）扫描工具输出中的 PII、机密信息、XSS 和提示词注入；启用时进行脱敏
7. 审计日志记录完整的操作链

AegisGate MCP 实现以下 JSON-RPC 方法（MCP 协议 2025-06-18）：

Streamable HTTP 会话管理（v1.2.2+）：

• 使用 initialize 向 /mcp 发送 POST → 响应包含 Mcp-Session-Id 标头
• 使用后续请求向 /mcp 发送 POST → 必须包含 Mcp-Session-Id 标头
• 携带 Mcp-Session-Id 标头向 /mcp 发送 DELETE → 终止会话（204 No Content）
• 会话在闲置 30 分钟后过期

AegisGate MCP 适用于 AI Agent 与工具交互的各种环境——从云端 SaaS 平台、企业数据管道到 OT/ICS 工厂网络。无论部署环境如何，均适用相同的 21 层安全防护。

常规部署

• 云端 SaaS — 保护面向用户的 AI 功能，防范提示词注入和数据外泄
• 企业数据访问 — 对由 Agent 驱动的数据库查询实施 RBAC 和审计日志记录
• CI/CD 自动化 — 限制 AI 辅助的流水线可执行的操作
• 隔离网络 — 零依赖意味着服务无需访问互联网即可运行

在 OT/ICS 环境中，AegisGate MCP 位于 AI Agent 与关键基础设施工具之间：

AI Agent (Claude, Cursor, custom)
    │
    ▼
┌──────────────────┐
│  AegisGate MCP   │  ← 23 security layers
│  (TLS/mTLS)      │
└────────┬─────────┘
         │
    ┌────┼────┬────┬────┐
    ▼    ▼    ▼    ▼    ▼
  SCADA  PLC  Hist  Tag  Log
  Read  Status Query DB  Analyzer

典型部署场景：

• 只读监控 Agent — restricted 角色，可查询 SCADA 状态和历史记录数据，但无法下达命令
• 维护 Agent — standard 角色，可在故障排查期间读取文件和搜索代码
• 运维 Agent — privileged 角色，可与大多数工具交互，但无法执行 shell 命令
• 管理员 Agent — admin 角色，可在获授权的维护窗口期间完全访问

与 OT/ICS 尤其相关的安全功能：

• TLS/mTLS 会加密工厂网络上的所有流量
• 时间窗口策略 将高风险工具限制在维护窗口期间使用
• 链路分析 可检测 Agent 是否先读取敏感流程数据，随后尝试向外部网络写入数据（数据外泄）
• 审计日志 为合规性（NERC CIP、IEC 62443）提供完整的监管链
• 气隙运行 — 零依赖意味着服务可部署在无法访问互联网的隔离网络中