Vaara MCP Server

页面还说明了通过检查并不能证明什么：密钥属于你所期望的参与方、签署的声明是真实的、没有外部时间机构时 decided_at 有任何意义，或一张回执就是完整的历史记录。

同一页面上的浏览器可以直接从你的浏览器读取公共透明日志。按摘要查找一条 trail head，或粘贴公钥以查看在该密钥下发布的所有内容。无需账户，也无需登录，因为密钥就是身份。向该日志发布内容需要主动选择，且默认关闭（vaara trail publish-head），所以日志中没有记录，只表示没有发布内容，并不表示什么都没发生。

vaara.io/conformance.html 是结果页面。它列出每个测试套件及其判定，以及所有运行检查器并公开报告检查结果的参与方（维护者除外）。各行相互链接，每行都包含前一行的摘要，因此删除或重新排序某一行都会破坏其后所有行的摘要，而且任何人都能看出这种破坏。维护者也无法删除某一行。与我们的结果不一致的运行结果也会作为一行记录，并说明原因；这里没有黑名单。

聚合运行器会一次性评估所有测试套件，也会用相同方式评估另一种实现的测试向量：

git clone https://github.com/vaaraio/vaara && cd vaara
pip install cryptography rfc8785                                     # enough for 50 of the 52 suites; the two that skip name their extra
python scripts/conformance_runner.py                                 # grade the reference corpus
python scripts/conformance_runner.py --vectors-dir ./your_vectors    # grade your own

每次运行结束时，它都会打印一个预填充链接，只需点击一次即可申请添加记录。命名并带版本号的规则集、通过检查能证明和不能证明的内容，以及完整的测试套件列表，请参阅 docs/conformance-profile.md。

装饰器会驱动同一个引擎；如果你想直接调用并获取决策对象，也可以这样做。

from vaara.pipeline import InterceptionPipeline

pipeline = InterceptionPipeline()
result = pipeline.intercept(
    agent_id="agent-007",
    tool_name="fs.write_file",
    parameters={"path": "/etc/service.yaml", "content": "..."},
    agent_confidence=0.8,
)
if result.allowed:
    pipeline.report_outcome(result.action_id, outcome_severity=0.0)
else:
    print(result.reason)

每次调用都会根据你的策略获得风险评分以及允许／阻止／升级处理的决策，随后调用、决策和实际结果都会写入审计跟踪。report_outcome 会闭合反馈环：评分器会根据哪些信号实际预测了结果重新调整权重。每个版本都会附带 SLSA v1 构建来源证明，形式为 GitHub 构件证明（SLSA Build Level 2）；PyPI wheel 也是同一文件，因此 gh attestation verify vaara-<version>-py3-none-any.whl --repo vaaraio/vaara 可以验证任一下载文件。可选的 ML 分类器：pip install 'vaara[ml]'。

写入 trail 是简单的一半。更重要的一半，是让不信任你的其他人无需密钥、访问权限或你的任何代码即可检查记录。每条 Vaara 记录都使用内容寻址，并在真实性验证失败时默认拒绝，同时附带公共一致性测试向量和独立检查器；该检查器不导入任何 Vaara 代码，因此独立参与方可以离线复现每项判定。

vaara verify-bundle evidence-bundle.json

只有在确实验证了签名时才为 ok，而不仅仅是日志中存在签名。相同特性也支撑着 Vaara Receipt Internet-Draft 背后的标准工作：即使验证者不运行你的任何软件，证据也依然经得起检验。完整的验证器集合、各动词对应的信任模型，以及每种情况下信任的来源，请参阅 docs/verifying-evidence.md。

针对真实证据链运行 vaara compliance report --db audit.db --format json，会生成审计员可直接阅读的条款级证据记录。对于没有记录事件的条款，结果为 evidence_insufficient，而非敷衍盖章。

{
  "system_name": "Acme HR Assistant",
  "overall_status": "evidence_insufficient",
  "trail_integrity": {"size": 105, "chain_intact": true},
  "articles": [
    {"article": "Article 12(1)", "title": "Record-Keeping (Logging)",
     "status": "evidence_sufficient", "strength": "strong", "evidence_count": 105},
    {"article": "Article 15(1)", "title": "Accuracy, Robustness and Cybersecurity",
     "status": "evidence_insufficient", "strength": "absent", "evidence_count": 0}
  ]
}

每项判定都包含阈值与观测值快照、理由和底层记录，因此审阅者可以将 status 追溯到具体事件。同一数据还可呈现为公告机构 PDF、静态 HTML 仪表板，或 Sigstore 签名的交接信封。请参阅 docs/COMPLIANCE.md。

• 管控你通过它路由的每次工具调用，遵循你自己的策略：允许、阻止或升级处理。覆盖范围取决于你封装的内容；每个适配器都会说明它能看到的范围，Claude Code 插件则明确列出了四项。
• 防篡改证据链，外部各方无需信任你的技术栈即可验证；链头可锚定到外部 RFC 3161 / eIDAS 时间戳，从而依据你无法控制的时钟证明其存在。
• 欧盟 AI 法案条款级证据，如实呈现缺口，而不是掩盖问题。
• 对模型调用本身进行治理，而不仅是周边工具：以硬件为根的推理收据，由另一个不同的本地模型进行交叉核验。这是主权推理工具链，在 v1.0 中推出。
• 强制执行，而不只是记录（v1.1.0）：凭据代理会签发与证明摘要绑定的短时凭据，并将其限定到单个工具、其参数承诺和租户；带类型的能力范围则限定调用可以执行的操作。受保护工具前的网关会拒绝任何没有有效且绑定证明的授权的调用，因此绕过管控不再悄无声息。默认关闭。
• 可揭示缺口的完整性（v1.4.0）：每份授权收据都可以包含签名的边界序列和累计计数，因此，仅凭持有的收据即可证明声明边界内丢失了收据，无需访问签发方，也无需外部见证方（vaara verify-contiguity）。默认关闭。
• 独立重新生成（v1.14.0）：每组公共向量中都有第二个生成器，仅依据声明的规范化规则，逐字节重新生成签名载体，且不导入 Vaara。即使从未运行过 Vaara 软件的验证器，也能重新生成相同字节。

原生适配器通过相同的管道路由主流 Python Agent 框架；每个适配器都使用框架自身的钩子，并生成相同的审计事件：

若要让 Vaara 位于 MCP 服务前面，可将其作为代理运行。每个 tools/call 都会在到达上游之前经过管道；允许的调用会透明转发，被阻止的调用则返回 MCP 错误。

vaara-mcp-proxy \
  --upstream npx --upstream-arg -y --upstream-arg @sap/mdk-mcp-server \
  --db ./mcp_audit.db --shadow

从 --shadow 开始：每次调用都会分类、评分并记录，不会拦截任何内容。运行几天后，vaara trail shadow-report --db ./mcp_audit.db 会显示执行拦截策略会产生什么效果；然后移除该标志并开始执行策略，可先使用为常见 MCP 服务准备好的边界策略 examples/policies/mcp-starters/。将 MCP 客户端（Claude Code、Cursor 或任何宿主）指向代理，而不是上游服务。此外，还提供 HTTP API（pip install 'vaara[server]'、vaara serve），以及面向非 Python Agent 的官方 TypeScript 客户端 npm 包（@vaara/client）。框架详情、云端和开源护栏适配器（Bedrock、Azure、GCP、NeMo、Guardrails AI、LLM Guard、Rebuff）以及多租户代理详见 docs/adapters.md。

策略就是代码，因此应与修改策略的变更一起纳入拉取请求。该 Action 会验证策略、运行测试用例，并在策略无法解析、测试用例失败，或审计轨迹的链或签名无效时使构建失败。

- uses: vaaraio/vaara@v2
  with:
    policy: policies/production.yaml
    cases: policies/production.cases.yaml

将 trail 指向某个任务生成的已签名 zip 文件即可进行验证。未提供 pubkey 时，会检查审计轨迹内部是否完整；传入单独获取的密钥还可以验证签名者，运行结果会说明执行了哪一种检查。输入、输出和固定版本说明见 docs/github-action.md。

此处检查的是构件。在工具调用发生时拦截 Agent，则是运行时的职责。

每个风险评分都融合了五种专家信号，并随着结果反馈不断调整，同时附带置信区间，其覆盖保证不受输入分布影响。在留出的对抗语料上，分类器的召回率达到 85.6%（95% Wilson 区间为 [83.4, 87.6]），误报率为 5.1%；在实时注入压力下，对良性调用的误报率为 0.0%。热路径规则评分器在通用 CPU 上每次调用平均增加 140 µs；机器学习分类器为可选功能（vaara[ml]），不在该路径上运行。make bench 可针对仓库中附带的模型包复现下方的分类器数据；需要运行 pip install 'vaara[ml]'，并会在首次运行时下载嵌入模型。

方法和各单元明细：docs/architecture.md 和 bench/。

详细信息及每项功能的离线检查器见：docs/standards.md。

公共接口已固定：签名封装（vaara.receipt/v1）、能力约束、凭据授权和网关，以及 @vaara.govern 入口点。不会规划新的原语。新行为将以依托 vaara.receipt/v1 的配置文件形式发布，而非作为新的核心类型；也不会再添加新的格式绑定（最后一个版本为 v1.13.0）。今后的工作将在这一接口范围内进行加固与精简，让基于它构建的用户拥有稳定的目标。