Mund — MCP Security Scanner

🕸️ Weave_Protocol

为 AI Agent 提供基础设施安全。我们攻击自己所防护的对象。

让 Agent 的行为在任何 harness、任何平台上都可验证、可审计，并能通过密码学手段证明。项目采用 TypeScript monorepo 架构，集成了 MCP 和区块链锚定；截至第四季度，还推出了公开发布的红队引擎，用于测试我们自己的防御能力。

核心观点： 每个安全平台都声称自己的防御有效。我们是首个公开发布攻击手段来证明这一点的平台。相同的测试套件。相同的评分卡。相同的锁定基准——每次发布时都应用于我们自己的软件包。

---

🚀 一条命令即可开始

npx @weave_protocol/cli init

CLI 会检测你的框架（LangChain、LlamaIndex、MCP、OpenAI、Anthropic、Microsoft、Google），并为你的技术栈搭建合适的安全中间件。也可以一次性安装所有内容：

npm install @weave_protocol/full

---

🆕 最新动态

🗓️ 2026 年 10 月更新——新发布内容

在攻击、防御和发布流程方面取得了重大进展。重点如下：

⚔️ Adversary v0.3.0，现已在 npm 发布

@weave_protocol/[email protected] 已发布。

• 动态变异（--dynamic）。 当目标拒绝攻击但仍与其交互时，大模型会编写一个意图相同的变体，然后由 Adversary 重试。首次在 Claude Haiku 5.5 上进行实战运行时，5 次攻击中有 2 次仅通过变体得手，总成本为 $0.003。这可以测试安全措施是否具有泛化能力，而不只是识别原始措辞。
• 真实模型模式恢复正常。 之前的默认模型 Claude 3.5 Haiku 已于 2026 年 2 月退役，因此所有 --real 运行都曾失败。现在默认模型为 Claude Haiku 5.5，定价表也已更正。
• 不再出现虚假的满分。 过去，攻击遇到 API 错误时会被算作“已拦截”，因此没有 API 访问权限的运行也能得到 100/100。现在 Adversary 会直接退出并返回实际错误。
• 评分卡修复。 发现记录会再次包含 Agent 的工具调用，timeToExploit 再次表示对话轮数，--redact-evidence 也会清除过去可能泄露的每次尝试证据。
• Adversary 的首个测试套件，覆盖重试逻辑、v0.2 兼容性和脱敏。

🛡️ Mund 安全加固（已纳入 Mund 0.3.0）

• 修补了 express、qs 和 proxy-addr，并将 MCP SDK 更新至 1.32.1。现在 npm audit 报告 0 个生产环境漏洞。
• 移除了存在高危 CVE 且从未实际接入的 nodemailer。现在邮件通知器会明确说明该功能尚未实现，而不是静默丢弃告警。
• Mund 有了首个真正的测试套件。

🧬 Mund 0.3.0，现已在 npm 发布（详情见下文）

@weave_protocol/[email protected] 带来了基线功能：

• mund-mcp scan --format=sarif：扫描结果会显示为 GitHub 代码扫描告警。
• 来自 OSV.dev 的实时依赖项 CVE，并支持离线缓存。未经检查的软件包会标记为未经检查，绝不会标记为干净。
• 每次扫描都会提供 0–100 风险评分和严重性标签。
• 提供 OWASP 覆盖情况表，涵盖 LLM Top 10 和 Agentic Top 10，如实标明已覆盖和未覆盖的项目。
• 修复了 23 条从未匹配到任何内容的密钥检测规则（包括 AWS 秘密密钥）。

🐤 Mund 0.3.1：金丝雀令牌与 rug-pull 检测

• 金丝雀令牌（OWASP LLM07）。 在系统提示词中放入 Mund 金丝雀令牌，任何泄露该令牌的输出都会被标记，即使令牌被插入空格、进行 Base64 编码或反转也一样。
• MCP rug-pull 检测（OWASP ASI04）。 Mund 会在你首次批准 MCP 服务时记住其工具，并在之后发生变化时发出告警。如果某个工具发生变化后看起来具有恶意或要求运行命令，判定结果将为 DO_NOT_USE。
• 这两项功能都有配套的测试样例库，每种场景都有一个测试用例。现在，单独使用 Mund 时，OWASP 覆盖情况为 20 项中 3 项通过；使用整个 Weave 套件时为 20 项中 10 项通过，每个通过的项目都关联了对应来源。

🔏 发布流程

• npm 可信发布（OIDC）。 CI 发布时无需使用任何长期有效的 npm 令牌。
• 每个由 publish-all 发布的包都会附带 CycloneDX SBOM 和 Sigstore 证明。
• 强化 CI：使用 Node 22 构建、将 npm 固定为 11，并将 GitHub Actions 迁移到 Node 24 运行时。现在，publish.yml 可以只发布任意一个包，而无需重新发布全部 18 个包。

---

⚔️ 我们攻击所守护的对象

首个发布自有攻击引擎的 Agent 安全平台。两个新包让整个套件从纯防御转变为 同一单体仓库中的防御 + 攻击，并通过相互验证：

Package	Role	Version
@weave_protocol/adversary	攻击引擎——涵盖 5 类攻击（IPI、工具胁迫、越狱、提取、目标破坏），包含 68 种已记录攻击及新型攻击。真实 Playwright 浏览器目标，提供 4 种入侵信号通道。通过 Anthropic API 实现真实 LLM 演示模式。**v0.3 新增：**由 LLM 驱动的动态变异重试，可使用全新变体重试被部分拦截的攻击。	✅ v0.3.0 ~!
@weave_protocol/agentsecbench	标准化基准测试——固定攻击套件、A–F 级评分、可直接粘贴的报告、并排比较	✅ v0.1.0

代表性攻击——语料库中复现的有记录的真实事件：

• 🏦 Atlan 自主欺诈（2025 年 12 月）——首例有记录的 Agent 驱动金融欺诈
• 🔒 EchoLeak（CVE-2025-32711）——Microsoft Copilot 零点击数据外泄
• 👻 Brave/Comet OTP 外泄（2025 年）——浏览器 Agent 通过隐藏 CSS 泄露机密
• 🚫 Forcepoint 虚假版权声明（2026 年 4 月）——通过伪造版权声明实施 DoS

# Run the canonical benchmark against the demo target — proves the suite lands
npx @weave_protocol/agentsecbench run

# Or run the full 68-attack corpus directly
npx @weave_protocol/adversary demo

# v0.3: when a real model half-blocks an attack, generate a variant and retry
npx @weave_protocol/adversary demo --real --dynamic

**这为何重要：**每次模型发布、每次 WARD 策略变更、每次适配器更新，都可以使用同一套固定测试集重新评测。你的分数退步了吗？agentsecbench compare 会告诉你。你的 WARD 策略真的能防御什么吗？--measure-ward-delta 会给出答案。这就是一个类别得以确立的方式。

查看 Adversary README → · 查看 AgentSecBench README → · 查看 METHODOLOGY.md →

---

🛡️ Mund 覆盖基线——接入 GitHub 代码扫描

@weave_protocol/[email protected] 现在既可作为文件扫描器运行，也可作为 MCP 服务运行：

• mund-mcp scan --format=sarif：输出 SARIF 2.1.0，并包含 GitHub security-severity，因此扫描结果会作为代码扫描警报显示在任何仓库中
• 来自 OSV.dev 的实时依赖项 CVE，适用于 npm 锁文件，并提供磁盘缓存以支持离线运行。无法检查的包会标记为未检查，绝不会标记为安全
• 0–100 风险评分，每次扫描都会附带严重性标签
• OWASP 覆盖表，涵盖 LLM Top 10 (2025) 和 Agentic Top 10，如实标明已覆盖、部分覆盖或未覆盖的项目
• 发布供应链：publish-all 会为每个包生成 CycloneDX SBOM，并为其发布的确切 tarball 生成由 Sigstore 签名的 SBOM 证明

npx @weave_protocol/mund scan . --format=sarif -o mund.sarif

这项工作还修复了 23 条从未匹配到任何内容的机密检测规则，因为它们使用了 JavaScript 不支持的 PCRE (?i) 语法。

---

💰 Q4 治理 — 自主支出上限

如今，每个企业级 Agent 都会问：“这项操作的支出上限是多少？”——衡量标准是金额，而不只是工具调用次数。@weave_protocol/[email protected] 给出了答案。设置各时间窗口（运行 / 小时 / 天 / 周 / 月）的预算，用于限制大模型调用和工具调用，并提供三种操作：阻止、要求审批 / 共识或通知。

内置多家提供商的大模型定价——Anthropic、OpenAI、Google 和本地服务（免费）。支持按工具设置金额上限（send_payment 每天最多 500 美元）。面向人工参与终端的交互式 TTY 审批提示。支持用于 Slack、PagerDuty 和自定义 UI 的异步回调。采用安全默认设置——在非交互式环境中绝不静默批准。

npx @weave_protocol/[email protected] spending caps         # inspect WARD.md caps
npx @weave_protocol/[email protected] spending simulate     # dry-run scenarios

# Extend your WARD.md:
spending_limits:
  - window: day
    budget: { usd: 5.00 }
    on_exceeded: require_approval
  - window: run
    budget: { tool_calls: 100 }
    on_exceeded: block
  - window: day
    budget:
      tools:
        send_payment: { max_amount_usd: 500 }
    on_exceeded: require_approval

向后兼容现有的 behavioral_limits.maxCostUSD。v1.1 使用内存存储，并提供可插拔接口，支持 v1.2 的 Redis / SQLite 后端。可通过 import { SpendingTracker } from '@weave_protocol/witan/spending' 使用编程 API。

查看 Witan 支出上限 README →

---

🔐 Yoxallismus v2 — 后量子密码（公开测试版）

@weave_protocol/[email protected] — 基于 NIST FIPS 203（ML-KEM-768） 并与 X25519 混合的后量子密码组合层。采用 AES-256-GCM AEAD、HKDF-SHA-256 KDF，以及用于会话前向保密的对称棘轮机制。这是组合，而非发明——底层原语已由 NIST 标准化；新颖之处在于组合方式（后量子混合 KEM + Agent 范围上下文绑定 + 棘轮机制）。

# Explicit opt-in required — the beta tag is NOT installed by default
npm install @weave_protocol/yoxallismus@beta

import { PQCipher } from '@weave_protocol/yoxallismus';

const alice = PQCipher.generateKeypair();
const bundle = PQCipher.encryptTo(PQCipher.publicKeyOf(alice), plaintext);
const message = PQCipher.decryptFrom(alice, bundle.ciphertext, bundle.payload);

⚠️ 实验性产品——未经审计。 请勿用于受监管、医疗、金融或法律数据。验证方式包括公开使用、分支、社区验证和负责任披露，而非付费审计。采用前请参阅 THREAT_MODEL.md 和 SECURITY.md。

请自行验证每项声明：

npx @weave_protocol/yoxallismus@beta --package weave-yoxall test         # 13 reproducible-claims tests
npx @weave_protocol/yoxallismus@beta --package weave-yoxall audit-self   # 5 known-attack vectors
npx @weave_protocol/yoxallismus@beta --package weave-yoxall benchmark    # perf micro-benchmarks

在 Node 22 上以单线程测得：混合密钥对生成 3.1 ms · 封装 + 解封装 2.4 ms · AEAD（1 KB）0.024 ms——远低于 5 ms 的目标。

查看 Yoxallismus README →

---

🛡️ 四种运行时。三家供应商。一份策略文件。

我们的设想是，WARD.md 可以成为一项可移植的 Agent 安全标准——编写一次，随处执行。截至目前，这一设想已在整个 Agent 工具链领域发布并投入使用：

运行时	供应商	执行器	状态
MCP 服务	开放标准	Hundredmen v1.1.0	✅ 已在 npm 上发布
Claude Code	Anthropic	adapter-claudecode v0.1.0	✅ 已在 npm 上发布
Google Antigravity（桌面应用 + agy CLI + SDK）	Google	adapter-antigravity v0.1.0	✅ 已在 npm 上发布
Microsoft Agent Framework	Microsoft	adapter-msaf v0.1.0	✅ 已在 npm 上发布
浏览器 Agent	开放标准	browser v0.1.0	✅ 已在 npm 上发布

现在，你项目根目录中的同一份 WARD.md 文件会被Anthropic、Google、Microsoft、MCP 和浏览器工具链的运行时读取并执行，无需进行任何平台专属修改。

my-agent-project/
├── AGENTS.md          # what the agent does
├── SKILL.md           # how the agent does it
└── WARD.md            # what the agent can't do  ← all five surfaces respect this

---

🌐 浏览器 Agent 安全（Q3）——第五个执行层面

@weave_protocol/browser 为浏览器操控 Agent 添加运行时 IPI（间接提示词注入）扫描。33 种检测模式覆盖已记录的威胁面：隐藏 CSS 载荷、角色劫持指令、工具调用伪装、操作注入指令、支付收款方邻近模式（Atlan）、版权 DoS 标记（Forcepoint）等。

与 Browser Guard 扩展 搭配使用，可在客户端查看 Agent 所见与您所见的差异。

查看浏览器 README →

---

📊 AI Agent 安全现状：2026 年 Q3 报告

对 Agent 安全趋势、平台成熟度、供应链风险和市场空白的行业分析。现已发布：tyox-all.github.io/Weave_Protocol/q3-2026.html

---

此前已发布（Q3）

• adapter-msaf v0.1.0 — 通过中间件实现 Microsoft Agent Framework 执行防护。提供 WardMiddleware 类、单行集成和 Azure 凭据启发式检测。
• adapter-antigravity v0.1.0 — 实现 Google Antigravity 执行防护。一次安装即可保护桌面应用、agy CLI 和 SDK。
• adapter-claudecode v0.1.0 — 通过 PreToolUse hooks 实现 Claude Code 执行防护。
• Hundredmen v1.1.0 — WARD.md 现已成为 MCP 决策流程中的第一道关卡，优先于信誉、漂移和审批检查。
• WARD.md v0.1.0 — Agent 安全策略标准。涵盖十个领域：文件系统、网络、能力、数据边界、行为限制、多 Agent、合规、验证、威胁模型、事件响应。规范 →
• Tollere v0.2.2 — 多渠道供应链安全。涵盖 npm、PyPI、Cargo、Go、Maven、Docker Hub、VS Code Marketplace、Open VSX、JetBrains。可检测夹心模式。
• Weave CLI v0.1.0 + Full Bundle v0.1.0 — 提供 weave init / audit / dashboard / doctor。一条命令即可完成安全设置。

---

📦 软件包

该套件现已分为三个层级——防御、进攻和运维。全部 17 个软件包均发布在 npm 的 @weave_protocol 作用域下，另有一个 Python 软件包发布在 PyPI 上。

🛡️ 防御层（12 个软件包）

让你的 Agent 遵守策略的软件包：声明策略，在每个运行环境中强制执行，扫描所有输入内容，并加密所有输出内容。

软件包	版本	描述
🛡️ @weave_protocol/ward	0.1.0	WARD.md — Agent 安全策略标准（解析器、验证器、运行时检查）
🛡️ @weave_protocol/adapter-claudecode	0.1.0	Claude Code 适配器 — 通过 PreToolUse hooks 强制执行 WARD.md
🛡️ @weave_protocol/adapter-antigravity	0.1.0	Google Antigravity 适配器 — 在桌面应用、agy CLI 和 SDK 中强制执行 WARD.md
🛡️ @weave_protocol/adapter-msaf	0.1.0	Microsoft Agent Framework 适配器 — 基于中间件强制执行 WARD
🌐 @weave_protocol/browser	0.1.0	浏览器 Agent 安全 — 面向无头 Agent 的运行时 IPI 扫描器（33 种模式）
🔍 @weave_protocol/hundredmen	1.1.0	MCP 代理 — 拦截、扫描并控制工具调用；将 WARD.md 作为第一道关卡强制执行
🛡️ @weave_protocol/mund	0.3.1	扫描器 — 检查密钥、PII、注入攻击、MCP，扫描 OSV 依赖项 CVE，输出 SARIF，并提供威胁情报
🏛️ @weave_protocol/hord	0.1.6	保险库 — 使用 Yoxallismus 双转子密码进行加密存储
🔐 @weave_protocol/yoxallismus	0.1.0-beta.0	后量子密码 — X25519 + ML-KEM-768 混合 KEM · AES-256-GCM · HKDF · 密钥棘轮 · ⚠️ 未经审计
⚖️ @weave_protocol/domere	1.3.4	裁判 — 合规性（PCI-DSS、ISO27001、SOC2、HIPAA、GDPR、CCPA），区块链锚定
👥 @weave_protocol/witan	1.1.0	议会 — 多 Agent 共识与治理、自主支出上限（Q4 v1.1）
🛂 @weave_protocol/tollere	0.2.2	海关 — 供应链安全（npm、PyPI、Docker、IDE 扩展、夹心攻击检测）

⚔️ 攻击层（2 个软件包）—— Q4 新增

红队。我们攻击自己所守护的对象。

软件包	版本	描述
⚔️ @weave_protocol/adversary	0.3.0	攻击引擎 — 68 种攻击 · LLM 动态变异 · 真实 Playwright 浏览器目标 · 真实 LLM 演示模式 · 基于 WARD 的攻击选择
🎯 @weave_protocol/agentsecbench	0.1.0	标准化基准测试 — 锁定的测试套件（ASB-Browser-v1）、A–F 等级评定、奖杯攻击、WARD 差异、可直接粘贴的报告

🔧 运维与集成（5 个包，另有 1 个 PyPI 包）

入口、控制面板，以及连接其他框架的桥梁。

包	版本	描述
🕸️ @weave_protocol/cli	0.1.0	weave CLI — init、audit、dashboard、doctor
📦 @weave_protocol/full	0.1.0	集合包 — 一条命令即可安装所有包
🔌 @weave_protocol/api	1.1.1	REST API + 运维控制面板 — npx @weave_protocol/api → http://localhost:3000/dashboard
🔗 @weave_protocol/langchain	1.0.2	LangChain.js 安全回调与工具封装（通过 npm overrides 实现 0 项审计漏洞）
🐍 weave-protocol-llamaindex	0.1.0	Python/LlamaIndex 安全回调与工具（发布于 PyPI）

---

🤖 AI Agent 技能

每个包都包含一个遵循 Claude Agent Skills 规范的 SKILL.md 文件。这些文件教 AI Agent 如何有效使用 Weave Protocol 工具。

包	技能名称	触发词
🕸️ CLI	weave-cli	设置 Weave、初始化项目、搭建安全框架、审计、控制面板、doctor
🛡️ Ward	ward	WARD.md、Agent 安全策略、防护措施、锁定 Agent
🛡️ adapter-claudecode	adapter-claudecode	保护 Claude Code、安装 WARD 钩子、阻止 Claude Code 操作
🛡️ adapter-antigravity	adapter-antigravity	保护 Antigravity、agy 钩子、阻止读取 GCP 凭证
🛡️ adapter-msaf	adapter-msaf	保护 MSAF Agent、WardMiddleware、锁定 Copilot SDK、Azure 强制执行
🌐 browser	browser-security	保护浏览器 Agent、IPI 扫描、隐藏 CSS 检测、页面上下文安全
🛡️ Mund	security-scanning	扫描、检测密钥、检查注入、审查 MCP 服务、威胁情报
🏛️ Hord	encrypting-data	加密、解密、保险库、Yoxallismus、保护
🔐 Yoxallismus	pq-crypto	后量子、ML-KEM、Kyber、混合 KEM、PQ-hybrid、抗量子
⚖️ Domere	compliance-auditing	审计、检查点、SOC2、HIPAA、PCI-DSS、GDPR、CCPA、区块链
👥 Witan	consensus-governance	共识、投票、批准、策略、升级处理
🔍 Hundredmen	security-inspection	拦截、漂移、信誉、批准、阻止、实时动态、强制执行 WARD
🛂 Tollere	supply-chain-security	npm install、docker pull、安装扩展、typosquat、CVE、夹心模式
⚔️ Adversary	adversarial-testing	红队 Agent、攻击、渗透测试、发现漏洞、IPI 测试、运行攻击语料库
🎯 AgentSecBench	security-benchmarking	Agent 基准测试、安全评分、等级评定、ASB-Browser、可引用的安全报告、比较运行结果
🔗 Langchain	langchain-security	LangChain、回调、安全工具、RAG 安全、PII 脱敏
🔌 API	weave-api-calling	REST API、HTTP 端点、curl、fetch

安装：

Claude Code 和 Antigravity 共用 SKILL.md 格式，因此相同文件适用于两者，只有安装路径不同。

git clone https://github.com/Tyox-all/Weave_Protocol.git
cd Weave_Protocol

# For Claude Code:
mkdir -p ~/.claude/skills/weave-protocol
cp */SKILL.md ~/.claude/skills/weave-protocol/

# For Google Antigravity (global, all sessions):
mkdir -p ~/.gemini/antigravity-cli/skills/weave-protocol
cp */SKILL.md ~/.gemini/antigravity-cli/skills/weave-protocol/

# Or per-project under .agents/:
mkdir -p .agents/skills/weave-protocol
cp /path/to/Weave_Protocol/*/SKILL.md .agents/skills/weave-protocol/

对于 Microsoft Agent Framework，不使用技能——MSAF 是代码级框架。请改用 @weave_protocol/adapter-msaf 中的 WardMiddleware 类。

---

🚀 快速开始

选项 1：引导式设置（推荐）

npx @weave_protocol/cli init

选项 2：安装所有内容

npm install @weave_protocol/full

选项 3：安装单个包

npm install @weave_protocol/mund @weave_protocol/tollere @weave_protocol/ward

选项 4：先进行基准测试，再进行防护

# See what attacks land on your agent before you start hardening
npx @weave_protocol/agentsecbench run --measure-ward-delta

Claude Desktop 集成（MCP）

添加到 claude_desktop_config.json：

{
  "mcpServers": {
    "mund":       { "command": "npx", "args": ["-y", "@weave_protocol/mund"] },
    "hord":       { "command": "npx", "args": ["-y", "@weave_protocol/hord"] },
    "domere":     { "command": "npx", "args": ["-y", "@weave_protocol/domere"] },
    "hundredmen": { "command": "npx", "args": ["-y", "@weave_protocol/hundredmen"] },
    "tollere":    { "command": "npx", "args": ["-y", "@weave_protocol/tollere"] }
  }
}

Claude Code / Antigravity / MSAF 集成

# Anthropic
npm install -g @weave_protocol/adapter-claudecode && weave-claude-code init

# Google
npm install -g @weave_protocol/adapter-antigravity && weave-antigravity init

# Microsoft (code-level)
npm install @weave_protocol/adapter-msaf

import { WardMiddleware } from '@weave_protocol/adapter-msaf';
const ward = new WardMiddleware();
agent.useFunctionMiddleware(ward.functionMiddleware());

在项目根目录放入一个 WARD.md。任何一个（或全部）适配器都会对每次工具调用进行把关。

---

✨ 包详情

🕸️ CLI — 一条命令完成所有操作

npx @weave_protocol/cli init        # detect framework, scaffold middleware
npx @weave_protocol/cli audit       # supply chain scan (Tollere)
npx @weave_protocol/cli dashboard   # launch monitoring UI
npx @weave_protocol/cli doctor      # environment health check

📄 技能： weave-cli

---

🛡️ Ward — 策略标准

WARD.md 文件用于声明 Agent 可以执行哪些操作，并与 AGENTS.md 和 SKILL.md 一同进行版本控制。

部分	控制内容
文件系统	使用 glob 模式设置读取／写入／执行／删除／列出规则
网络	出站 HTTP 允许列表，可选方法限制
能力	Agent 可调用的工具（可选审批门控）
数据边界	出站数据分类（PII、PHI、凭证……）和脱敏
行为限制	迭代次数、运行时间、成本、令牌、工具调用
多 Agent	信任链、隔离级别、语义漂移阈值
合规性	SOC2 / HIPAA / GDPR / CCPA / ISO27001 / PCI-DSS
验证	证明后端（Dōmere）、区块链、频率
威胁模型	范围内／范围外威胁
事件响应	违规时的操作（记录／警报／终止／证明）

由五个独立层面在运行时强制执行：Hundredmen（MCP）、adapter-claudecode（Claude Code）、adapter-antigravity（Antigravity）、adapter-msaf（Microsoft Agent Framework）和 browser（浏览器 Agent）。

📄 技能： ward · 📋 规范： WARD.md 规范 →

---

🛡️ Harness 适配器

所有四个强制执行层面共用同一个 WARD.md 文件。请选择适用于你的 harness 的适配器：

• adapter-claudecode — 通过 PreToolUse hooks 接入 Claude Code
• adapter-antigravity — Google Antigravity（一次安装，三个层面）
• adapter-msaf — 通过中间件接入 Microsoft Agent Framework
• browser — 浏览器 Agent（由 Playwright/Stagehand/Puppeteer 驱动），33 种模式的 IPI 扫描器

WARD 解析顺序（所有适配器）：$WEAVE_WARD_PATH → <cwd>/WARD.md → <cwd>/.weave/WARD.md → harness 专属的用户全局位置。

---

🛡️ Mund — 守护者

为 AI Agent 提供实时安全扫描。可检测机密信息（30 多种模式）、PII、提示词注入、危险代码和恶意 MCP 服务描述。威胁情报会从社区信息源自动更新。

也可作为 CLI 运行：mund-mcp scan 会扫描磁盘上的文件，并根据 OSV.dev 检查 npm 依赖项。它会输出 0–100 的风险评分，并可输出文本、JSON 或 SARIF，供 GitHub 代码扫描使用。请参阅 OWASP 覆盖表。

📄 技能： security-scanning

---

🏛️ Hord — 保险库

采用 Yoxallismus 双转子密码的加密存储。支持 AES-256-GCM、ChaCha20-Poly1305、Argon2id 密钥派生和安全内存处理。

📄 技能： encrypting-data

---

🔐 Yoxallismus — 后量子密码（公开测试版）

独立的后量子密码组合层。将 NIST FIPS 203（ML-KEM-768）与 X25519 混合用于 KEM，使用 AES-256-GCM 进行 AEAD，使用 HKDF-SHA-256 进行 KDF，并采用对称棘轮实现会话前向保密。组合优于发明——所有原语均为 NIST 标准或业界事实标准。

⚠️ 实验性项目，未经审计。 请勿用于受监管、医疗、金融或法律数据。验证方式为公开使用、分支和负责任披露，而非付费审计。

# Explicit opt-in required — beta tag not installed by default
npm install @weave_protocol/yoxallismus@beta

# CLI subcommands
weave-yoxall status         # library posture + known limitations
weave-yoxall keygen         # hybrid keypair (X25519 + ML-KEM-768)
weave-yoxall encrypt        # encrypt to a recipient's public key
weave-yoxall decrypt        # decrypt with private key
weave-yoxall test           # reproducible-claims tests
weave-yoxall audit-self     # known-attack test vectors
weave-yoxall benchmark      # perf micro-benchmarks

性能 — 混合密钥对生成耗时 3.1 ms · 封装与解封装耗时 2.4 ms · AEAD（1 KB）耗时 0.024 ms，全部低于 <5 ms 目标。

📄 技能： pq-crypto · 📋 威胁模型： THREAT_MODEL.md · 🔒 披露： SECURITY.md

---

⚖️ Domere — 裁决者

企业级验证、编排、合规与审计基础设施。支持 SOC2、HIPAA、PCI-DSS、ISO27001、GDPR、CCPA。通过 Solana 和 Ethereum 区块链锚定，实现不可篡改的审计记录。

区块链锚定：

• Solana Mainnet：6g7raTAHU2h331VKtfVtkS5pmuvR8vMYwjGsZF1CUj2o
• Solana Devnet：BeCYVJYfbUu3k2TPGmh9VoGWeJwzm2hg2NdtnvbdBNCj
• Ethereum：0xAA8b52adD3CEce6269d14C6335a79df451543820

📄 技能： compliance-auditing

---

👥 Witan — 议会

多 Agent 共识与治理。支持一致同意、多数决、加权和法定人数协议。规则执行、升级处理、Agent 总线。

v1.1.0 新增 — 自主支出上限。可为 LLM 成本、令牌、工具调用设置每个时间窗口的预算，并限制每种工具的支出。通过三种操作进行管控：block、require_approval、notify。内置多提供商 LLM 定价（Anthropic、OpenAI、Google、本地）。审批工作流支持交互式 TTY 提示词或异步回调。为非交互式上下文提供安全默认值。

npx @weave_protocol/witan spending caps        # inspect WARD.md spending caps
npx @weave_protocol/witan spending simulate    # dry-run scenarios

import { SpendingTracker } from '@weave_protocol/witan/spending';

const tracker = new SpendingTracker({
  caps: [{ window: 'day', budget: { usd: 5.00 }, onExceeded: 'require_approval' }],
});
const check = await tracker.checkAction({ kind: 'tool', tool: 'send_payment', amountUSD: 1000 });
if (check.blocked) throw new Error(check.reason);
if (check.requiresApproval && !(await check.approve!())) throw new Error('denied');

📄 技能： consensus-governance

---

🔍 Hundredmen — 守望者

实时 MCP 安全代理。v1.1.0 会在决策流程中将 WARD.md 作为第一道关卡，在信誉、偏移和审批检查之前执行。

📄 技能： security-inspection

---

🛂 Tollere — 海关检查员

面向 AI 生成代码的供应链安全。在恶意软件包、Docker 镜像和 IDE 扩展进入 node_modules/、容器或编辑器之前将其拦截。支持 npm、PyPI、Cargo、Go、Maven、Docker Hub、VS Code Marketplace、Open VSX、JetBrains。

📄 技能： supply-chain-security

---

⚔️ Adversary — 红队

其他软件包负责防御，Adversary 则负责攻击。涵盖 5 个类别，共 68 种有文档记录和新发现的攻击：IPI（33 种）、工具使用胁迫（15 种）、越狱（10 种）、提取（5 种）、目标篡改（5 种）。支持三种目标：pattern-mock（CI 冒烟测试，无需 API）、real-LLM（通过 Anthropic API 使用 --real，默认使用 Claude Haiku 5.5）和 real-browser（使用 Playwright，具备四种违规信号渠道：网络、表单、DOM、控制台）。具备 WARD 感知能力的攻击选择机制，会优先针对你的策略声称要执行的能力进行探测。

**v0.3 动态变异（--dynamic）：**当目标拒绝攻击，却仍与之互动（部分拦截）时，大模型会编写一个意图相同的变体，由 Adversary 重试，最多重试 --dynamic-max-retries 次（默认 2 次）。这样可以测试防护措施能否泛化，还是只识别了原始措辞。攻击语料库保持固定。每次尝试都会记录在 Finding.attempts[] 中，现有的评分卡使用方仍可正常工作。在 Claude Haiku 5.5 上进行的首次实测中，5 次攻击里有 2 次仅通过变体得逞，总成本为 0.003 美元。如果每次 API 调用都失败，Adversary 现在会退出并报告错误，而不是给出满分。

npx @weave_protocol/adversary demo               # mock, ~50ms
npx @weave_protocol/adversary demo --real        # real LLM (Haiku 5.5)
npx @weave_protocol/adversary demo --real --dynamic   # + LLM variants on half-blocks
npx @weave_protocol/adversary attack --url=...   # real browser agent
npx @weave_protocol/adversary demo --real --redact-evidence   # shareable scorecard

锁定的评分卡架构 v1.0 — AgentSecBench 原样使用。

📄 Skill： adversarial-testing

---

🎯 AgentSecBench — 基准测试

构建在 Adversary 之上的解读层。锁定且有版本管理的攻击套件，可生成分级报告。ASB-Browser-v1（v1.0）包含 40 种精选攻击：全部 33 种 IPI 攻击、4 种严重工具胁迫攻击，以及影响最大的 3 种提取攻击。

npx @weave_protocol/agentsecbench run                          # default suite, tier-graded report
npx @weave_protocol/agentsecbench run --measure-ward-delta     # quantify policy effectiveness
npx @weave_protocol/agentsecbench compare baseline.json new.json

A–F 级评分、4 种奖杯级攻击（Atlan、EchoLeak、Brave/Comet、Forcepoint）、类别差距分析、可选的 WARD 差值分析、通俗易懂的解读说明。报告为可直接粘贴的 Markdown，适用于博客文章、RFP 回复、供应商审计和内部评审。

📄 Skill： security-benchmarking · 📋 方法： METHODOLOGY.md →

---

🔌 API + 运维仪表板

npx @weave_protocol/api
# → http://localhost:3000/dashboard

在一个视图中实时监控全部五个执行面。仪表板会将 WARD.md 显示在层级图的顶部，并从中展开到你配置的执行器（Hundredmen、三个供应商适配器和浏览器）。未使用的执行面会以暗色显示，让你一眼看清哪些在保护你的 Agent，哪些只是可用选项。

包含实时活动流（允许、拒绝、IPI 检测、审批）、WARD 策略面板以及 24 小时汇总统计数据。每 5 秒自动刷新。采用单色设计，专为运维室打造，而非营销演示文稿。

📄 Skill： weave-api-calling

---

🔗 Langchain — 桥接层

为 LangChain.js 应用提供安全集成。可直接使用的回调、安全工具包装器，以及带 PII 脱敏的 RAG 检索器扫描。

📄 Skill： langchain-security

---

🏗️ 架构

flowchart TD
    CLI["🕸️ <b>weave init / audit</b><br/><i>front door — @weave_protocol/cli</i>"]
    WARD["🛡️ <b>WARD.md</b><br/><i>policy standard — declares what the agent can't do</i>"]
    CLI --> WARD

    WARD -.->|enforced at runtime by| HM
    WARD -.->|enforced at runtime by| CC
    WARD -.->|enforced at runtime by| AG
    WARD -.->|enforced at runtime by| MSAF
    WARD -.->|enforced at runtime by| BR

    HM["🔍 <b>Hundredmen</b><br/>MCP layer<br/><i>open standard</i>"]
    CC["🛡️ <b>adapter-claudecode</b><br/>Anthropic<br/>✅ Live"]
    AG["🛡️ <b>adapter-antigravity</b><br/>Google · desktop + agy + SDK<br/>✅ Live"]
    MSAF["🛡️ <b>adapter-msaf</b><br/>Microsoft · middleware<br/>✅ Live"]
    BR["🌐 <b>browser</b><br/>Browser agents<br/>✅ Live"]

    HM --> AGENT
    CC --> AGENT
    AG --> AGENT
    MSAF --> AGENT
    BR --> AGENT

    subgraph AGENT["🤖 AI Agent System"]
        direction TB
        subgraph CORE["Defense — Core security"]
            direction LR
            MUND["🛡️ Mund<br/>Guardian<br/><i>scanning</i>"]
            HORD["🏛️ Hord<br/>Vault<br/><i>encryption</i>"]
            DOMERE["⚖️ Domere<br/>Judge<br/><i>compliance</i>"]
            WITAN["👥 Witan<br/>Council<br/><i>consensus</i>"]
        end
        subgraph OPS["Operations"]
            direction LR
            TOLLERE["🛂 Tollere<br/>Customs<br/><i>supply chain</i>"]
            API["🔌 API + Dashboard<br/><i>REST + UI</i>"]
            LC["🔗 LangChain bridge"]
        end
        CORE --> OPS
    end

    subgraph OFFENSIVE["⚔️ Offensive — we attack what we defend"]
        direction LR
        MUT["🧬 <b>Dynamic mutation</b><br/>LLM variants on half-blocks<br/><i>v0.3</i>"]
        ADV["⚔️ <b>Adversary</b><br/>68 attacks · 5 categories<br/><i>offensive engine</i>"]
        MUT -.->|retries with variant| ADV
        ASB["🎯 <b>AgentSecBench</b><br/>locked suites · tier A–F<br/><i>citable benchmark</i>"]
        ADV --> ASB
    end

    subgraph EXTERNAL["🌍 External integrations"]
        direction LR
        OSV["📚 OSV.dev<br/><i>dependency CVEs</i>"]
        GHCS["📋 GitHub code scanning<br/><i>SARIF alerts</i>"]
    end

    OSV -.->|advisories, cached offline| MUND
    MUND -.->|SARIF 2.1.0| GHCS

    AGENT -.->|attacked by| OFFENSIVE
    OFFENSIVE -.->|scorecards inform| WARD

    classDef policy fill:#1f2937,stroke:#60a5fa,stroke-width:2px,color:#fff
    classDef enforcer fill:#064e3b,stroke:#10b981,stroke-width:2px,color:#fff
    classDef core fill:#312e81,stroke:#818cf8,stroke-width:1px,color:#fff
    classDef ops fill:#1e3a8a,stroke:#60a5fa,stroke-width:1px,color:#fff
    classDef offensive fill:#7f1d1d,stroke:#ef4444,stroke-width:2px,color:#fff
    classDef external fill:#374151,stroke:#9ca3af,stroke-width:1px,color:#fff

    class CLI,WARD policy
    class HM,CC,AG,MSAF,BR enforcer
    class MUND,HORD,DOMERE,WITAN core
    class TOLLERE,API,LC ops
    class ADV,ASB,MUT offensive
    class OSV,GHCS external

该图展示了闭环。防御面在运行时执行策略，攻击引擎则攻击 Agent。评分卡会将新证据反馈到 WARD 中——哪些攻击得逞了，哪些需要新增策略域，以及自上次发布以来有哪些退化。这个闭环正是护城河所在。

---

🔐 安全模型

覆盖整个 AI Agent 生命周期的纵深防御，并由同一单体仓库中的攻防引擎持续验证：

1. 🛡️ Ward 声明 Agent 可以和不可以执行哪些操作（策略即代码）
2. 🛡️ Harness 适配器在 IDE / 命令行 / 框架中强制执行 WARD：
   • adapter-claudecode 用于 Claude Code（PreToolUse hooks）
   • adapter-antigravity 用于 Google Antigravity（覆盖桌面应用 / 命令行 / SDK 的 PreToolUse hooks）
   • adapter-msaf 用于 Microsoft Agent Framework（中间件管道）
   • browser 用于浏览器操控 Agent（运行时 IPI 扫描）
3. 🛂 Tollere 在依赖项、镜像和扩展进入项目之前对其进行检查
4. 🛡️ Mund 在处理所有输入之前扫描威胁
5. 🏛️ Hord 对静态和传输中的敏感数据进行加密
6. ⚖️ Domere 通过防篡改校验和及区块链锚定记录所有操作
7. 👥 Witan 要求高风险操作必须达成共识
8. 🔍 Hundredmen 实时拦截并管控工具调用——在 MCP 层强制执行 WARD 策略
9. 🔗 Langchain / Python 保护 LangChain.js 和 LlamaIndex 链及 Agent
10. ⚔️ Adversary 使用 68 种已记录及新型攻击测试整个技术栈
11. 🎯 AgentSecBench 为其评分、评定 A–F 等级，并以标准化且可引用的格式报告结果

CORS 模型集成

CORS 层	Weave 软件包	功能
策略	🛡️ Ward	声明允许 / 拒绝的操作、行为限制及证明要求
策略执行（Claude Code）	🛡️ adapter-claudecode	读取 WARD，通过 hooks 管控 Claude Code 工具调用
策略执行（Antigravity）	🛡️ adapter-antigravity	读取 WARD，管控桌面应用 / 命令行 / SDK 中的 Antigravity 调用
策略执行（MSAF）	🛡️ adapter-msaf	读取 WARD，通过中间件管控 Microsoft Agent Framework 调用
策略执行（浏览器）	🌐 browser	对浏览器操控 Agent 进行运行时 IPI 扫描
策略执行（MCP）	🔍 Hundredmen	读取 WARD，在 MCP 层管控工具调用
供应链	🛂 Tollere	在安装前审核依赖项、镜像和扩展
来源验证	🛡️ Mund	验证输入来源，检测注入攻击
上下文完整性	🏛️ Hord	通过加密保护数据完整性
确定性执行	⚖️ Domere	确保一致地应用策略
对抗性验证	⚔️ Adversary + 🎯 AgentSecBench	持续测试上述每一层

---

🛠️ 开发

git clone https://github.com/Tyox-all/Weave_Protocol.git
cd Weave_Protocol

# Build each package
for pkg in mund hord domere witan hundredmen tollere langchain api cli ward \
           adapter-claudecode adapter-antigravity adapter-msaf browser \
           adversary agentsecbench; do
  (cd $pkg && npm install && npm run build)
done

---

🗺️ 路线图

已发布

• GDPR / CCPA / SOC2 / HIPAA / PCI-DSS / ISO27001 合规框架
• MCP 服务信誉评分
• 自动更新威胁情报
• LangChain.js 集成软件包
• Python/LlamaIndex 集成
• 用于监控的 Web 仪表板
• 供应链安全（Tollere）—— npm、PyPI、Cargo、Go、Maven、Docker 镜像、IDE 扩展、sandwich 模式检测
• Bundle 软件包 + 命令行（weave init）
• WARD.md Agent 安全策略标准
• Hundredmen ↔ WARD 执行集成（v1.1.0）
• Claude Code harness 适配器（Anthropic）
• Google Antigravity harness 适配器（Google）
• Microsoft Agent Framework harness 适配器（Microsoft）
• 跨平台论证完成——同一份 WARD.md 可用于三大供应商的 harness 和 MCP

2026 年第三季度下半年 — 采用推广季度

• 浏览器 Agent 安全（@weave_protocol/browser）
• 带编排可视化功能的仪表板 v2
• AI Agent 安全现状：第三季度报告 —— 对 Agent 安全趋势、平台成熟度、供应链风险及市场空白的行业分析

H2 2026 Q4 — 护城河季度

• 对抗性 Agent（@weave_protocol/adversary v0.2.1）——68 种有记录的攻击及新型攻击、真实的 Playwright 浏览器目标、真实大模型演示模式
• Adversary v0.3（@weave_protocol/adversary v0.3.0）：由大模型驱动，对部分受阻攻击进行动态变异，已在 Claude Haiku 5.5 上完成实时验证；默认模型已从退役的 Claude 3.5 Haiku 切换；API 失败的运行现在会报错，而不是打出 100/100 分
• AgentSecBench（@weave_protocol/agentsecbench v0.1.0）——标准化基准测试，等级为 A–F
• Witan 自主支出上限（@weave_protocol/witan v1.1.0）——按时间窗口限制大模型费用、Token 和工具调用次数，并通过阻止／审批／通知进行管控
• Yoxallismus v2（@weave_protocol/[email protected]）——开放 Beta 版已发布。PQ 混合 KEM（X25519 + ML-KEM-768／NIST FIPS 203）+ AEAD + 密钥棘轮。按设计未经审计；通过公开使用、分叉和负责任披露进行验证。v0.2+ 增加 DH 双棘轮、级联密码、阈值加密；v0.3+ 增加 ZK/VDF/QRNG；v0.4+ 增加 FHE。参见 yoxallismus/README.md。
• Mund 功能对等基线：SARIF 输出（mund-mcp scan --format=sarif）、OSV.dev 实时 CVE 查询并支持离线回退、0–100 风险评分、publish-all 中的 CycloneDX SBOM + Sigstore 证明、OWASP LLM + Agentic 覆盖表

---

🤝 参与贡献

欢迎通过 GitHub Issues 提交错误报告和功能请求。

如有安全问题，请参阅 SECURITY.md。

其他咨询请联系：[email protected]

请参阅 CONTRIBUTING.md 了解指南。

---

📄 许可证

Apache 2.0 — 参见 LICENSE

---

🔗 链接

• GitHub： https://github.com/Tyox-all/Weave_Protocol
• npm 软件包： https://www.npmjs.com/~tyox-all
• PyPI： https://pypi.org/project/weave-protocol-llamaindex/
• MCP Registry： https://registry.modelcontextprotocol.io（搜索 “mund”）
• 2026 年 Q3 报告： https://tyox-all.github.io/Weave_Protocol/q3-2026.html
• npm 上的 Adversary： https://www.npmjs.com/package/@weave_protocol/adversary
• npm 上的 AgentSecBench： https://www.npmjs.com/package/@weave_protocol/agentsecbench

---

为 AI Agent 生态系统倾心打造。我们攻击自己所守护的对象。