mcpField
A
AegisCore

AegisCore

本地服务
github.com安全12 天前更新
代码仓库访问官网

关于 AegisCore

AegisCore 是面向 AI Agent 的零信任网关，在执行工具操作前按严格模式和确定性策略检查提案。它结合隔离执行、个人信息令牌化、人工审批和防篡改审计账本。

主要功能

  1. 01模式校验与不变量策略
  2. 02隔离且清理环境的执行边界
  3. 03个人信息令牌化与密钥销毁
  4. 04高风险操作人工审批
  5. 05基于 Merkle 链的 WORM 账本

适用场景

  1. 01拒绝注入或超出模式的工具请求
  2. 02应用交易限额和数据访问规则
  3. 03在审计记录前屏蔽个人信息
  4. 04检查 Agent 操作的防篡改记录

MCP 相关

AegisCore 提供原生 stdio MCP 服务，使 MCP 客户端能够访问受策略约束的工具执行边界。

配置

本地服务的配置在各客户端中通用，复制后粘贴到客户端的 MCP 配置文件即可。

mcp.json · 通用配置
{
  "mcpServers": {
    "sandeep-hipparagi-aegiscore": {
      "command": "npx",
      "args": [
        "-y",
        "@aegiscore-ai/core"
      ]
    }
  }
}
启动命令npx -y @aegiscore-ai/core

本地服务需要在你的电脑上安装运行环境（如 Node.js 18+）。各客户端的配置文件位置不同，请参考客户端文档。

安装包
npm@aegiscore-ai/core0.1.3
pypiaegiscore-ai0.1.3

工具

还没有获取到工具列表

本地服务需要在你的电脑上运行后才能读取工具，维护者暂未提供工具列表。

详细介绍

🛡️ AegisCore：面向 AI Agent 的零信任确定性治理隔离区

npm version npm sdk PyPI version License CI Zero-Trust DPDP Ready

AegisCore 是一款开源反向代理、确定性不变策略隔离区和加密 WORM 审计账本，专为自主 AI Agent 打造。它会拦截模型工具调用，根据严格的架构和确定性不变条件进行验证，并仅在隔离边界内执行获准的操作。

📺 终端演示与场景深入解析

AegisCore 确定性网关概览

🎯 重点场景演示（点击展开）
场景 01：模型工具劫持与数据外泄防护

威胁向量：间接提示词注入指示自主 Agent 导出 users.credentials。
AegisCore 防御：在 $<2\text{ ms}$ 内以确定性边界拒绝请求，不消耗任何 CPU 周期，也不会向主机数据库打开任何套接字。

场景 1：拦截模型劫持

实时运行： node --experimental-strip-types scripts/demo-scenario-1.js

场景 02：在途 DPDP 个人身份信息脱敏与加密销毁

威胁向量：Agent 处理个人身份标识符（印度 PAN / Aadhaar），这与印度 DPDP 法案规定的法定删除权相冲突。
AegisCore 防御：在写入 WORM 账本前进行在途加盐令牌化。shredVault() 可彻底删除数据，同时保留 100% 的加密 Merkle 链。

场景 2：在途 DPDP 个人身份信息脱敏

实时运行： node --experimental-strip-types scripts/demo-scenario-2.js

场景 03：加密 Merkle 链与防篡改审计

威胁向量：事后篡改 Agent 执行日志，以掩盖未经授权的操作。
AegisCore 防御：采用只写一次、多次读取（WORM）的仅追加账本，并通过加密 SHA-256 区块遍历追溯至创世区块。任何位的更改都会破坏链验证。

场景 3：防篡改 WORM 审计

实时运行： node --experimental-strip-types scripts/demo-scenario-3.js

📦 开发者软件包与分发

软件包语言 / 协议状态描述
@aegiscore-ai/coreNode.js / TypeScript (v0.1.3)可用核心确定性引擎、WORM 账本、内置策略和 HTTP 网关守护进程
@aegiscore-ai/sdkTypeScript (v0.1.3)可用零依赖客户端，支持 OpenAI 工具调用、LangGraph 和 MCP，功能完全一致
aegiscore-aiPython (>=3.8, v0.1.3)可用面向 LangGraph、CrewAI、AutoGen 的零依赖 Python 客户端（pip install aegiscore-ai）
MCP 适配器JSON-RPC Stdio可用面向 Claude Desktop、Cursor 和 LibreChat 的原生边车
DPDP 指南文档已完成印度 DPDP Act 2023 合规架构与密码学擦除
审计报告安全与审计已认证 (v0.1.2)外部生产就绪审计、DevSecOps 报告与实证基准测试
Show HN社区已就绪Hacker News 发布介绍与技术分析

⚡ 实证性能与安全审计 (v0.1.2)

AegisCore 经历了端到端生产就绪审计、故障隔离分析、高并发压力测试和对抗性渗透测试探测（SkillSpector 静态分析与 PentAGI 风格的对抗性规避探测）。请在 AUDIT_REPORT.md 中阅读完整的审计与验证报告。

已验证的微基准测试 (v0.1.2)
基准指标测量值运行影响
冷启动时间0.291 ms容器即时启动，无需 JVM/Python 运行时预热
P50（中位数）流水线开销58.2 µs (0.058 ms)对 Agent 循环延迟的影响可忽略不计，低于 1 ms
平均执行开销78.1 µs (0.078 ms)完整的不变量验证、PII 令牌化和 Merkle 链接
内存中网关吞吐量>12,500 req/sec在无线程争用的情况下持续处理高并发事件循环
内存占用增量（1k 个请求）+1.30 MB HeapGC 压力严格受限，适用于内存受限的边缘侧车
WORM 账本篡改检测100% 确定性从 Genesis 哈希指针精确定位被篡改条目的索引
SkillSpector 安全评分0 风险评分（0 项发现）通过官方 Model Context Protocol Registry 合规认证

提示

生产就绪评分：9.8 / 10（企业级）、9.9 / 10（初创企业）、9.9 / 10（OSS）。
Release v0.1.2 中，针对 SEC-01 至 SEC-09 的修复（原型污染防护、深层嵌套 DoS 防护、持久会话速率限制、失败时关闭的 CLI 审计验证、小写 PII 令牌化、不区分大小写的制裁执行，以及非正数/非有限转账边界）均已通过验证，测试通过率为 100%。请参阅 AUDIT_REPORT.md。

⚡ 核心问题：为什么提示词护栏无法奏效

现代 AI Agent 架构将模型意图直接与工具执行耦合。开发者会将原始数据库连接、支付 API 凭据和写入权限直接传递给 LLM Agent 运行时：

[User / Jailbreak Prompt] ──> [LLM Model Weights] ──> [Direct Tool Execution] ──> 🔥 Disaster

为什么提示词护栏无法保证安全：

  1. 概率性非确定性：系统提示词（"Never delete user records"）只是概率性建议，并非数学保证。对抗性越狱、间接提示词注入和上下文漂移经常绕过提示词指令。
  2. 凭据扩散：直接向 Agent 提供工具，会将基础设施机密、数据库密码和第三方 API 密钥暴露给模型运行时。
  3. 不可逆的修改：一旦 LLM 幻觉出越权转账或破坏性 DROP TABLE 操作，造成的损害就无法挽回。
AegisCore 解决方案：严格解耦意图与执行

AegisCore 会剥夺 Agent 的所有执行权限。Agent 只能生成意图提案。在触发任何下游代码之前，AegisCore 会通过确定性的零信任策略隔离区评估该提案：

                                  AEGIS-CORE GATEWAY ENCLAVE
                             ┌────────────────────────────────────────┐
                             │ 1. DPDP PII Tokenizer & Vault          │
                             │ 2. Strict Schema Quarantine            │
[Agent Intent] ──(Proposal)──>│ 3. Invariant Engine (Rate / Bounds)   │──(Only if APPROVED)──> [Isolated Execution Boundary]
                             │ 4. WORM Cryptographic Merkle Chain    │                          │ (Sanitized Env / Timeout)
                             │ 5. Asynchronous HITL Escalation Gating │                          ▼
                             └────────────────────────────────────────┘                 [Real Backend / DB / API]

📊 核心架构

               +-------------------------------------------------------------+
               |                       AI AGENT LOOP                         |
               |             (LangGraph / MCP / Raw OpenAI)                  |
               +-------------------------------------------------------------+
                                              |
                                     (POST /v1/gateway/dispatch)
                                              v
+-------------------------------------------------------------------------------------------+
|                                 AEGIS-CORE GATEWAY PIPELINE                               |
|                                                                                           |
|  [Step 1: PII Sanitizer]   ──> Detects PAN, Aadhaar, Phone, Email & tokenizes via salt     |
|  [Step 2: Schema Validate] ──> Enforces strict types; extra fields fail closed            |
|  [Step 3: Policy Engine]   ──> Invariants: param_boundary, rate_limit, disallowed_targets  |
|                                                                                           |
|       |                              |                                       |            |
|       | (BLOCKED)                    | (REQUIRES_HITL)                       | (APPROVED) |
|       v                              v                                       v            |
|  [WORM Ledger Entry]        [HITL Challenge Created]                   [WORM Ledger Entry]|
|  Return 403 Forbidden       Wait for Supervisor Signoff               Dispatch to Sandbox |
+------------------------------------------------------------------------------|------------+
                                                                               v
                                                          +---------------------------------+
                                                          |    ISOLATED SANDBOX RUNNER      |
                                                          |  - process.env secrets scrubbed |
                                                          |  - Hard safety timeout abort    |
                                                          |  - Stack trace leak isolation   |
                                                          +---------------------------------+
                                                                               |
                                                                               v
                                                                  [Protected Real System]

🚀 60 秒快速入门

选项 A：本地 CLI
# Clone and verify
git clone https://github.com/Sandeep-Hipparagi/aegis-core.git
cd aegis-core

# Run full test suite (37 tests across 10 suites)
npm test

# Start HTTP Gateway daemon on port 8080
node --experimental-strip-types bin/aegis.ts start --port 8080
选项 B：Docker Compose
# Spin up AegisCore gateway with persistent audit volume
docker compose up -d

# Check health
curl http://localhost:8080/health
# {"status":"healthy","version":"0.1.1"}
选项 C：运行银行业务不变量演示
npm run demo:banking

🧩 模型上下文协议（MCP）集成

AegisCore 提供原生 stdio 模型上下文协议（MCP）服务。

Claude Desktop 设置

将 AegisCore 添加到 Claude Desktop 配置（claude_desktop_config.json）中：

macOS / Linux：

{
  "mcpServers": {
    "aegiscore": {
      "command": "node",
      "args": ["--experimental-strip-types", "/path/to/AegisCore/bin/aegis.ts", "mcp"]
    }
  }
}

Windows：

{
  "mcpServers": {
    "aegiscore": {
      "command": "node",
      "args": ["--experimental-strip-types", "C:\\Users\\username\\Downloads\\AegisCore\\bin\\aegis.ts", "mcp"]
    }
  }
}
Cursor IDE 设置

在 Cursor 设置 ➔ 功能 ➔ MCP 服务 ➔ 添加新的 MCP 服务：

  • 名称：AegisCore
  • 类型：command
  • 命令：node --experimental-strip-types <PATH_TO_AEGISCORE>/bin/aegis.ts mcp

💎 功能矩阵

功能AegisCore 保证传统提示词护栏
架构隔离失败时关闭。 额外字段或注入字段会立即触发 REJECTED_SCHEMA。容易受到提示词注入参数挟带的攻击。
不变量策略引擎确定性。 数学规则（例如 amount <= 10000、每分钟最多调用 5 次）。概率性指令会随着对话长度增加而逐渐失效。
DPDP 合规自动化。 对 Aadhaar、PAN、电话号码和电子邮件进行令牌化；销毁保险库。原始 PII 会永久泄露到模型上下文和日志中。
WORM 审计账本加密 Merkle 链。 SHA-256 哈希链可检测任何篡改。可修改、无链式关联的纯文本日志文件。
临时沙箱清理后的环境。 从 process.env 中移除密钥；设置超时保护。LLM 可访问完整环境和网络套接字。
异步 HITL 门控加密门控。 高风险操作会保持 PENDING 状态，直到完成签名。“请询问用户”提示很容易被提示词注入绕过。

🛡️ 预配置策略包

AegisCore 在 /policies 中提供企业级策略包：

  • policies/dpdp-india.json：执行印度《数字个人数据保护法》。限制批量导出客户数据、阻止访问未脱敏的身份信息表，并要求数据保护官授权后才能清除客户档案。
  • policies/fintech-guardrails.json：执行交易限额、将可用货币列入白名单（USD、EUR、INR、GBP），并要求金额超过 $25,000 的交易获得双人托管主管批准。
  • policies/banking-policy.json：将自动转账限额设为 $10,000、阻止向受制裁或列入黑名单的目的地转账，并升级处理中等金额的转账。
  • policies/data-governance.json：禁止具有破坏性的 DDL 语句（DROP TABLE、TRUNCATE）和未经授权的账户删除。

📜 HTTP 网关 API 参考

POST /v1/gateway/dispatch

提交意图提案以供评估和执行。

curl -X POST http://localhost:8080/v1/gateway/dispatch \
  -H "Content-Type: application/json" \
  -d '{
    "tool": "transfer_funds",
    "parameters": {
      "amount": 250,
      "recipient": "ACC-SUPPLIER-01"
    },
    "context": {
      "sessionId": "sess-prod-001",
      "agentId": "copilot-agent",
      "role": "finance-operator"
    }
  }'
POST /v1/hitl/challenges/:ticketId/resolve

解决待处理的人工介入（Human-in-the-Loop）审批请求。

curl -X POST http://localhost:8080/v1/hitl/challenges/hitl-uuid-1234/resolve \
  -H "Content-Type: application/json" \
  -d '{
    "decision": "APPROVED",
    "approverSignature": "sig-compliance-officer-99"
  }'
GET /v1/audit/integrity

以密码学方式验证账本 Merkle 链的完整性。

curl http://localhost:8080/v1/audit/integrity
# {"isValid":true}

🤝 参与贡献

欢迎社区贡献！请参阅 CONTRIBUTING.md，了解本地环境设置、零信任不变量和拉取请求指南。

📄 许可证

本项目采用 Apache License 2.0 许可。详情请参阅 LICENSE。

评论

支持 Markdown

第一次接触 MCP？

从协议是什么，到在客户端里装上第一个服务，这几条回答覆盖了大多数入门问题。

一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。