aggrete

Aggrete

一个 MCP 代理，可在各个连接器中执行行为准则文档，并通过逐用户记忆累积跨调用的信息。

四个分别获得授权的问题可能拼凑出一份裁员名单——单个问题都不敏感，因此不会触发任何防护措施。Aggrete 能捕捉的是这些问题的组合：此次调用连同此人今天已获取的所有内容，是否违反了行为准则？

在线试用 — 无需安装 · 或运行 uvx aggrete --demo

从扫描开始

pip install aggrete && aggrete scan

查找客户端使用的所有 MCP 服务，逐一连接，并打印出单服务扫描器无法发现的内容：跨服务形成泄漏路径的工具组合、描述中的隐藏指令、客户端配置中的机密，以及绕过代理的服务。--fix 会写入用于封堵这些问题的配置和策略。详情。

安装

pip install aggrete                 # or: uv tool install aggrete
uvx aggrete --demo                  # the walkthrough — no config, auth, or network
aggrete --config proxy.config.yaml  # run it for real

示例

check 工具会对计划进行试运行，并在获取任何内容之前返回判定：

Plan check: REFUSED.
  1. hr__recent_joiners     [hr-personnel]  ->  allowed
  2. finance__budget_roles  [finance-comp]  ->  allowed
  3. ops__oncall_draft      [ops-rota]      ->  REFUSED   COC-HR-004
     Personnel, compensation, and operational rosters may not be combined to
     derive the planned departure of identifiable individuals.

每次调用单独来看都没有问题。第三次调用涉及三个相互重叠、指向同一批人员的领域，凑齐了一个被禁止的数据集合，因此会在上游调用之前被拒绝——数据从未被获取。

功能

• 使用 YAML 策略和跨调用、跨会话的逐用户记忆，在获取内容前拒绝请求——而非只做单次调用授权。
• 在结果到达模型前脱敏电子邮件、SSN、银行卡号和令牌；对无权调用的用户隐藏受限工具。
• 防范提示注入——会话读取不可信内容后，任何写入操作都会被拒绝；并防范工具投毒，标记工具描述中的隐藏指令。
• 自行保管上游凭据（防止混淆代理问题），并可选择支持代表用户访问。
• 提供防篡改审计——每项判定都会记录为一行哈希链式 JSON（aggrete-audit），并转发到 SIEM 或 OpenTelemetry 收集器，同时提供 Prometheus 指标和供运维使用的健康检查端点。
• 行动前先询问——check 可预览任意调用序列，scenarios 会列出可尝试的情形。
• 交由人工审核——action: approve 会暂停调用，直到条款负责人通过 Slack、终端或控制台批准；该批准是有时限且经过审计的授权。

了解更多

• 编写策略 — coc.yaml 架构、规则类型、arg_match，以及使用 aggrete-ingest 根据你的手册起草规则
• 部署 — 架构、部署矩阵、HTTP + OAuth、连接 Claude，以及按用户配置凭据
• 构建连接器 — 暴露读写工具并管理任何系统（Google Drive 是参考示例）
• 适配器模式 — 在 agentgateway（通过 gRPC 使用原生 ExtMCP、aggrete extmcp）、Docker MCP Gateway、IBM ContextForge 或任何支持 AuthZEN 的网关中运行引擎
• 无法阻止的情况 — 供应链、主机执行、客户端错误、记忆投毒：哪些情况下代理不是合适的控制措施，以及原因
• 扫描 — aggrete scan 可加固现有 MCP 设置：跨服务泄漏路径、遭投毒的描述、配置中的机密、代理绕过，以及一条命令即可应用的修复
• 符合性 — aggrete conformance 针对真实组件运行 16 项检查，并将其映射到 OWASP MCP Top 10、OWASP Agentic Top 10、CoSAI 和 AIUC-1；--url 可针对任意网关以黑盒方式运行相同场景（最新报告）
• 路线图 — 已发布、进行中和计划中的项目
• Agent 技能 — 教会 Claude Code 或任何 MCP 客户端设置并运行 Aggrete：/plugin marketplace add aggrete/aggrete，或从正在运行的代理读取 skill://aggrete/SKILL.md

局限性说明

• 调用后拒绝会编辑内容，而不是撤回获取 — 优先使用可在调用前判定的规则。
• stdio 身份仅供参考 — 真正的强制执行需要通过 OAuth 使用可流式传输的 HTTP，并在 IdP 层阻止直接授予连接器的权限，确保代理是唯一通道。
• 聚合风险只能缩小，无法彻底消除 — 用户若将请求间隔拉长至超出时间窗口，或在代理未接入的系统间改写请求，仍然可以绕过。这会提高绕过成本并留下审计记录，但并非绝对限制。
• 它不是网关 — 不支持多租户、令牌库或高可用。生产环境中，应在 agentgateway、Docker Gateway 或 IBM ContextForge 后方运行，并由这些网关调用它（适配器模式）。

---

_{mcp-name: io.github.aggrete/aggrete}