Agent Runtime Proof

Agent Runtime Proof

证明你启动的 Agent 运行时就是你批准的制品。

Agent Runtime Proof（ARP）是一款本地、只读的运行时身份验证工具，适用于 AI Agent 和 MCP 服务。它能检测过时、被替换、不匹配或无法验证的运行时，且不会上传代码、机密、进程参数或进程数据。

ARP 针对的故障很简单：你替换了 Agent 或 MCP 可执行文件，但昨天启动的进程仍在执行任务。磁盘上的文件是新的，已加载的运行时却不是。ARP 将实时进程身份与明确的制品预期绑定，并报告不确定性，而不会把磁盘上的文件视为运行中内容的证明。

请参阅可复现的过时运行时演示，或从五分钟快速入门开始。

快速入门

当前版本为 v1.1.0，适用于 macOS arm64、Linux amd64 和 Windows amd64。从该版本下载归档文件和 SHA256SUMS，验证文件内容，然后将唯一的二进制文件安装到用户拥有的目录中。各平台的完整命令见 docs/quickstart.md；生命周期和回滚详情见 docs/install.md。

安装后：

agent-runtime-proof --version
agent-runtime-proof doctor --format json
agent-runtime-proof inspect --all --limit 20

根据明确的预期验证进程：

agent-runtime-proof verify \
  --expectation /absolute/path/to/expectation.json \
  --pid 1234 \
  --format json

只有当证据足以支持结论时，ARP 才会返回 MATCHED。 UNKNOWN、STALE、LEAKED、CONFLICT 和 NOT_RUNNING 是领域判定结果， 而非传输错误。

本地 stdio MCP

ARP 可以作为本地 MCP 服务运行：

{
  "mcpServers": {
    "agent-runtime-proof": {
      "command": "/absolute/path/to/agent-runtime-proof",
      "args": ["mcp"]
    }
  }
}

它仅提供三个只读工具：

• list_local_runtime_candidates
• inspect_local_runtimes
• verify_local_runtime

Codex、Claude Code、Cursor、OpenCode、DeepSeek Harness、VS Code/GitHub Copilot 和通用主机均可使用主机配置文件。请参阅 主机配置指南。ARP 不会修改主机的配置。

v1.1.0 Release 还包含 agent-runtime-proof_1.1.0.mcpb，可供兼容的 MCP 客户端使用。其 Registry 元数据将捆绑包 URL 与其 SHA-256 摘要绑定；相同的三个原生二进制文件仍可作为常规平台归档文件获取。

同一版本也发布在官方 MCP Registry 中，名称为 io.github.fantasyce/agent-runtime-proof。

ARP 能证明什么

这些控制措施回答的问题各不相同，结合使用效果最佳：

证据	回答的问题
SBOM	此构建中声明了哪些依赖项？
签名或构建证明	谁通过什么构建流程生成了这些制品字节？
校验和	下载的字节是否发生变化？
Agent Runtime Proof	正在运行的本地进程是否与我批准的制品预期绑定？

ARP 不会取代签名、来源证明、SBOM、沙箱或主机策略。它弥合了获批文件与实际执行任务的进程之间的差距。

隐私与安全边界

ARP 的设计范围有意保持狭窄：

• 仅限本地进程和本地文件；
• CLI、本地 stdio MCP，以及可选的启动 Witness；
• 只读观察 Agent 和主机状态；
• 无守护进程、网络监听器、修复操作或配置写入；
• 不依赖 Across Agents Assistant、Across Context、Across Orchestrator 或 Across Autopilot。

MCP 响应会省略原始 argv、环境变量值、命令行、文件内容、凭据和对话记录。有关具体保证和限制，请阅读 docs/data-handling.md、 docs/privacy-model.md 和 docs/threat-model.md。

CLI 和 Witness

检查单个进程或有范围限制的当前用户清单：

agent-runtime-proof inspect --pid 1234 --format json
agent-runtime-proof inspect --all --limit 100

通过字节透明的启动 Witness 运行本地命令：

agent-runtime-proof witness --expectation expectation.json -- command arg

Witness 会记录进程身份和内容寻址的启动回执， 然后代理 stdin/stdout，不会改写协议字节。负责创建进程的宿主可以通过 sdk/witness 嵌入相同的契约。

检查、doctor 或 MATCHED 的退出代码为 0；确定性的否定判定为 2；UNKNOWN 为 3；输入无效为 64；内部故障为 70。JSON 模式会向 stdout 写入一个 JSON 值；经过清理的诊断信息会写入 stderr。

支持的平台和限制

发布归档针对 macOS 14+ arm64、Linux amd64 和 Windows 11 amd64 构建。当无法观测到当前活动入口点时，对解释器和声明树运行时的被动检查仍采取保守处理。仅凭磁盘上的摘要，绝不会报告为已加载运行时匹配。

远程证明、守护进程、网络监听器、修复操作和 Agent 配置写入均不在 v1 范围内。

架构和验收

CLI、MCP 服务、Witness 和仅含数据的 Host Profiles 使用相同的契约和应用层。技术设计记录在 architecture-development-acceptance.md 中。

验收记录：

• Phase 0 契约
• Phase 1 macOS 核心
• Phase 1 Windows 核心
• Phase 2 MCP
• Phase 3 Witness
• Phase 4 宿主矩阵
• Phase 5 开源发布

维护者可以运行完整的源代码门禁：

bash scripts/check.sh

发布资源包括 CycloneDX SBOM、SHA-256 校验和及 GitHub 工件证明。发布状态以公开的 GitHub Release 为准，而非本地验收记录。

Agent Reliability Toolkit

ARP 是一套小型、本地优先可靠性工具包中的一个独立部分：

• Agent Recall Trail 将私有 Agent 记忆与经过审核的共享知识分开保存。
• Agent Runtime Proof 验证运行中的 Agent 或 MCP 运行时是否与您批准的工件一致。
• Agent Residue Evidence 记录测试和构建留下的、与任务相关的文件、进程和监听端口。

每个项目均可单独安装，并保留各自的信任边界。

社区

欢迎贡献，以及提供独立的宿主/运行时案例。若要分享经过清理的 Codex 或 DSH 集成信息，请在设计合作伙伴议题中提供宿主、版本、启动关系和已观测到的证明边界。DSH 用户也可以加入官方社区讨论。请阅读 CONTRIBUTING.md、CODE_OF_CONDUCT.md 和 SUPPORT.md。如需报告漏洞，请按照 SECURITY.md 中的说明私下报告；请勿在公开议题中提供机密或敏感进程数据。

采用 Apache-2.0 许可证。详见 LICENSE。