AgenticRail Gate - sequence enforcement and verifiable audit receipts for AI agent compliance

agenticrail-mcp

一个 Model Context Protocol 服务，可将实时的 AgenticRail 执行门作为两个工具提供给任何 MCP 客户端。

AgenticRail 是面向 AI Agent 的确定性执行层：它会要求 Agent 按声明的步骤顺序执行，拒绝重放和跳步，并为每个完成的序列生成带签名的收据。本服务是其前端 MCP 适配器。

通常人们会这样描述这个问题：它是 AI Agent 工具调用的策略执行点。它会在乱序步骤运行前拒绝该步骤，从而拦截跳步和流程幻觉（Agent 报告某个从未运行过的步骤已成功）；每个决策，无论是 ALLOW 还是 DENY，都会成为防篡改审计跟踪记录。

端点： https://mcp.agenticrail.nz/（Streamable HTTP，无状态） 协议： 2026-07-28 — 此版本取消了 initialize 握手和 Mcp-Session-Id。本服务从一开始就是无状态设计，不使用二者，因此无需迁移。仍会响应旧客户端的 initialize 请求。 注册表： 官方 MCP 注册表中的 nz.agenticrail/gate

工具

工具	功能	调用
evaluate_step	在单个 Agent 步骤运行之前对其执行 ALLOW/DENY 判定；生成带签名的收据	POST https://api.agenticrail.nz/v1/evaluate
verify_receipt	获取序列的验证报告；确认收据链完整无损	POST https://report.agenticrail.nz/report

在运行序列的每个步骤之前调用 evaluate_step，不要运行执行门判定为 DENY 的步骤。

DENY 会告诉你如何修正

每次拒绝都会在响应封套中附带相应的补救信息——仅适用于 DENY，且不带签名，因为这些信息描述的是序列当前的状态，而不是已经作出的判定：

拒绝原因	返回内容
ACTION_NOT_ALLOWED	allowed_action_types — 此步骤确切接受的操作类型
SEQUENCE_VIOLATION	next_expected_step — 序列正在等待的步骤
STEP_ORDER_MISMATCH	locked_step_order — 首次调用时为此序列锁定的步骤顺序
UNKNOWN_STEP	expected_step_order + step_order_source（caller 或 msmd_spine）

action_type 是一个恰好包含八个值的枚举，每个步骤只接受其中的一个子集。工具架构中的枚举只是提示，不是控制机制——它仅对会自行验证参数的客户端起约束作用；自造动词是最常见的首次拒绝原因：READ、QUERY、TOOL_CALL、LOOKUP、EXECUTE 等都不是操作类型，无论它们多么贴切地描述了你的步骤。执行门才是真正的控制机制。它拒绝请求时，allowed_action_types 会返回此步骤原本会接受的操作类型。

被拒绝的调用不会锁定任何内容。 拒绝会在写入序列存储之前返回，因此不会破坏本次运行：错的是调用，而不是序列。修正拒绝信息指出的字段，然后重新发送该步骤。 只有在获准的调用中实际发送 step_order 后，步骤顺序才会锁定；此后将强制执行该顺序，发送不同顺序会被 STEP_ORDER_MISMATCH 拒绝。省略 step_order 不会设置任何锁定——这只意味着本次调用会按照内置的 MSMD 主干进行判定，而其中的步骤名称几乎肯定与你的不一致。

因此，如果你的流程有自己的步骤名称，请发送包含这些名称的 step_order，执行门就会改为强制执行你的步骤顺序。一个步骤也可以构成有效序列。

连接

在 Claude Code 中：

# zero config — uses the public demo key
claude mcp add --transport http agenticrail https://mcp.agenticrail.nz/

# with your own key
claude mcp add --transport http agenticrail https://mcp.agenticrail.nz/ \
  --header "Authorization: Bearer <your-agenticrail-key>"

任何 Streamable-HTTP MCP 客户端都可使用——将其指向该 URL 即可。

无需安装即可试用

BASE=https://mcp.agenticrail.nz/

curl -s -X POST "$BASE" -H 'content-type: application/json' \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}' | jq .

# ⚠️ Use a sequence_id nobody else will pick. On the shared demo key the id is
# GLOBAL and sealing is PERMANENT — a fixed one in an example works once for one
# person on earth and returns SEALED_SEQUENCE for everyone after.
SEQ="mcp-smoke-$(date +%s)-$RANDOM"

curl -s -X POST "$BASE" -H 'content-type: application/json' \
  -d "{\"jsonrpc\":\"2.0\",\"id\":2,\"method\":\"tools/call\",\"params\":{
        \"name\":\"evaluate_step\",
        \"arguments\":{\"sequence_id\":\"$SEQ\",\"step\":\"intake\",
                       \"action_type\":\"CHECK_STATE\"}}}" | jq .

如果没有 Authorization 标头，系统会使用公共演示密钥，并将你的 sequence_id 改写为 demo-mcp-<your id>——demo- 表示公共通道，mcp- 表示匿名 MCP 流量。**之后请使用响应中返回的 ID；你发送的 ID 将无法解析。**这是有意为之，并非信息泄露。

读取 demo- 序列的报告无需密钥，因此请将你在其中发送的任何内容都视为公开信息。

设计——更改前请阅读

• 仅作协议适配器。此工作器不持有任何内部机密，也没有通往执行核心的特权路径。它调用外部调用方使用的同一公共 API，因此工具逻辑既与 AgenticRail 的内部实现解耦，也与 MCP 传输版本解耦。
• 使用服务绑定，而非 fetch。mcp.agenticrail.nz 与 api. 和 report. 位于同一个区域，因此普通的 fetch() 会形成同区域环回（Cloudflare 错误 1002）。这些绑定会访问相同的公共处理程序——它们不是内部绕过机制。
• **无状态 Streamable HTTP。**不会签发或要求 Mcp-Session-Id；每个 POST 都是独立完整的。传输外壳是 handleRpc + fetch 处理程序——规范修订只会影响这一部分。承载实际值的调用（callEvaluate / callVerify）使用普通 HTTPS，不会改变。
• **GET / 提供发现卡片；其他所有 GET 路径均返回 404。**有意允许 POST 使用任意路径，以便客户端在端点 URL 后附加路径时仍可正常工作。
• /.well-known/oauth-* 返回 404 是正确的——这是 MCP 服务表明无需身份验证的方式。agent.json、agent-card.json、x402 和 ai-plugin.json 都是本服务未实现的协议；响应这些请求就等于声称已实现。

部署

npx wrangler deploy

链接

• 文档 — https://agenticrail.nz/docs/
• 自行验证序列 — https://report.agenticrail.nz/report
• OpenAPI — https://agenticrail.nz/openapi.json
• 执行规范 — https://agenticrail.nz/spec/

---

由 TUARA KURI LIMITED（NZBN 9429053582867）运营，位于新西兰 Aotearoa 的 Hokianga。