Carapace

Carapace MCP 服务

为你的 AI Agent 提供护甲。

Carapace 是一套本地优先的安全系统，专为自主 AI Agent 打造。它可接入任何兼容 MCP 的 Agent（OpenClaw、Claude Code、Codex 等），提供安全验证、目标锚定、偏移检测、操作日志和会话评分——全部在你的机器上运行，无需依赖云服务。

---

问题

自主 AI Agent 可以执行实际操作：发送电子邮件、购物、删除文件、浏览网页。这种能力伴随着两大关键风险：

提示词注入——隐藏在电子邮件、网页或文档中的恶意指令会诱骗你的 Agent 执行你从未授权的操作。CrowdStrike 和 Cisco 都曾发布警告，指出 OpenClaw 用户遇到了此类情况。

目标偏移——你的 Agent 开始整理收件箱，三小时后却在浏览 Reddit，因为它沿着一连串链接走偏了，失去了专注。这里没有恶意行为——只是缺少持久的目标锚定。

Carapace 同时解决这两个问题。

---

工作原理

Carapace 作为 MCP 服务在你的机器上运行。你的 Agent 会连接到它，并在执行操作之前、期间和之后调用它的工具。

安全检查点——在执行任何敏感操作（花钱、发送消息、删除文件）之前，Agent 会向 Carapace 确认。你可以设置规则（“花费不得超过 50 美元”“不得给这些人发送消息”）。Carapace 会拦截任何违反规则的操作。

轮换密钥防劫持——每 30 分钟，Carapace 会使用一个永远不会进入 Agent 上下文窗口的秘密生成加密验证密钥。真正的 Agent 持有密钥。提示词注入无法伪造它。这就像场馆的门卫检查入场手环。

目标锚定——每 15 分钟，Carapace 会向 Agent 重新提供你的目标、优先事项和约束条件。它会检测 Agent 是否偏离任务，并在偏移演变成问题之前发出标记。

会话评分——每次会话结束时，Carapace 会根据你配置的目标评估 Agent 的表现。针对目标一致性、安全合规性和约束遵守情况进行评分，并生成可操作的洞见，供下一次会话参考，让你的 Agent 随着时间推移变得更敏锐。

---

工具

Carapace 通过模型上下文协议提供 5 个工具：

工具	用途
carapace_verify	安全检查点。根据你的规则验证操作，并返回通过／拦截判定及轮换密钥。
carapace_anchor	目标日志。返回你的目标、优先事项和约束条件。通过将 Agent 的活动与已配置的类别进行比较来检测偏移。
carapace_log	操作记录器。记录 Agent 执行的操作，并标记未经验证的敏感操作。
carapace_status	安全态势摘要。包括健康状态、操作次数、密钥轮换时间和偏移级别。
carapace_review	会话评分器。根据目标分析所有操作，生成包含评分、亮点和改进洞见的评分卡。

---

安装

git clone https://github.com/jdesl55/carapace-mcp.git
cd carapace-mcp
npm install
npm run build

首次运行时，Carapace 会创建 ~/.carapace/，其中包含你的配置、数据库和安全密钥。

添加到 OpenClaw

将其添加到你的 OpenClaw MCP 配置（~/.config/openclaw/mcp.json）中：

{
  "mcpServers": {
    "carapace": {
      "command": "node",
      "args": ["/path/to/carapace-mcp/dist/index.js"]
    }
  }
}

使用 MCP Inspector 测试

npx @modelcontextprotocol/inspector node dist/index.js

---

配置

所有配置都存储在 ~/.carapace/config.json 中。你可以手动编辑，也可以使用 Carapace Dashboard 进行可视化配置。

{
  "security": {
    "keyRotationMinutes": 30,
    "spendingLimits": {
      "perAction": 50,
      "daily": 200,
      "warnAbove": 20
    },
    "contacts": {
      "mode": "blocklist",
      "blocked": ["[email protected]"]
    },
    "domains": {
      "mode": "blocklist",
      "blocked": []
    },
    "blockedActions": [],
    "customRules": []
  },
  "anchor": {
    "refreshIntervalMinutes": 15,
    "goals": ["Manage inbox and respond to important emails"],
    "priorities": [{ "rank": 1, "text": "Never spend money without confirmation" }],
    "constraints": ["Never share personal information with unknown contacts"],
    "goalCategories": ["email", "calendar", "productivity"]
  }
}

---

架构

┌─────────────────┐     ┌──────────────────────┐     ┌─────────────────┐
│   AI Agent      │────▶│  Carapace MCP Server  │────▶│  ~/.carapace/   │
│  (OpenClaw)     │◀────│  (local, stdio)       │◀────│  config.json    │
└─────────────────┘     └──────────────────────┘     │  logs.db        │
                                                      │  .secret        │
┌─────────────────┐                                   │  insights.md    │
│   Dashboard     │──────────────────────────────────▶│                 │
│  (localhost)    │◀──────────────────────────────────│                 │
└─────────────────┘                                   └─────────────────┘

MCP 服务和仪表板完全解耦。它们通过共享的本地文件进行通信，绝不直接通信。仪表板写入配置，服务读取配置；服务写入日志，仪表板读取日志。

---

本地文件

文件	用途	写入方	读取方
~/.carapace/config.json	安全规则、目标、优先级	Dashboard	MCP 服务
~/.carapace/logs.db	操作日志、会话评审	MCP 服务	Dashboard
~/.carapace/.secret	HMAC 签名密钥（600 权限）	MCP 服务	仅 MCP 服务
~/.carapace/insights.md	用于改进 Agent 的会话经验	MCP 服务	Agent（会话开始时）

---

反馈循环

Carapace 为你的 Agent 建立持续改进循环：

1. Agent 执行任务 - 采取操作，Carapace 记录所有内容
2. 会话结束 - carapace_review 根据你的目标评估会话
3. 生成经验 - 将可执行的经验写入 insights.md
4. 开始下一次会话 - Agent 读取 insights.md 并吸收这些经验
5. Agent 持续改进 - 在你的特定任务上逐渐表现得更出色

Agent 无需记忆或自我改进。Carapace 从外部进行观察，并将结构化指令反馈给它。

---

Dashboard

如需用于配置规则、编辑目标、监控活动和查看表现评分卡的可视化界面，请参阅 Carapace Dashboard。

---

技术栈

• TypeScript / Node.js
• MCP SDK（@anthropic-ai/sdk）
• 使用 better-sqlite3 进行本地日志记录
• 使用 HMAC-SHA256 验证轮换密钥
• 核心安全操作零外部依赖

---

许可证

MIT

---

安全

Carapace 是一款安全工具。如果你发现漏洞，请通过提交 GitHub issue 或直接联系维护者，负责任地报告问题。

HMAC 密钥 ~/.carapace/.secret 创建时设置了 600 文件权限（仅所有者可读写）。它不会进入 Agent 的上下文窗口，也不会通过任何网络传输。