mcpField
H
harness-oia-audit

harness-oia-audit

github.com/ruvnet安全80.0k236 次安装今天更新
代码仓库

关于 harness-oia-audit

harness-oia-audit 是用于 MetaHarness 环境的安全审计技能，会汇总架构对齐、威胁模型和 MCP 扫描结果，并将审计记录存入记忆空间，便于定期检查风险变化。

主要功能

  1. 01运行三类静态审计
  2. 02计算最高严重级别
  3. 03保存审计记录供后续比较
  4. 04支持按严重级别触发告警
  5. 05组件缺失时降级运行

适用场景

  1. 01在每周 CI 任务中执行安全审计
  2. 02比较多次审计以发现风险变化
  3. 03在发现高严重度问题时阻止 CI

MCP 相关

该技能运行 MCP 表面威胁模型和逐服务器及工具的策略、权限与依赖扫描，并汇总其结果。

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/ruvnet/ruflo --skill harness-oia-audit

安装后在 Claude Code 中输入/harness-oia-audit确认已加载。

详细介绍

第 13 个 worker（ADR-150 Phase 2）——一次运行三个 MetaHarness 静态 表面，计算复合最严重级别信号，并将审计记录持久化到记忆中，以便了解随时间推移的偏移。

算法

实现：scripts/oia-audit.mjs。

  1. 运行 harness oia-manifest <path>——Open Infrastructure Architecture 层对齐（L1-L9）。
  2. 运行 harness threat-model <path>——按类别整理的 MCP 表面威胁 报告，包含 worst: clean|low|medium|high。
  3. 运行 harness mcp-scan <path>——逐服务器/工具的策略 + 权限
    • 依赖项发现结果。
  4. 复合最严重级别 = max(threatModel.worst, max(mcpScan.findings.severity))。
  5. 将载荷持久化到记忆命名空间 metaharness-audit，键为 audit-<iso-timestamp>（除非使用 --dry-run）。
  6. --alert-on-worst <severity>：如果复合最严重级别 ≥ 阈值，则以状态码 1 退出。

优雅降级

当三个组件全部报告 metaharness-not-available 时，脚本会 输出标准降级载荷并以状态码 0 退出。如果只有部分组件 处于降级状态，则审计记录中每个对应组件都会带有自身的 degraded: true 标志——审计仍会运行，并持久化它能够收集到的内容。

CI / cron 集成

设计用于在 .github/workflows/ 中通过每周 cron 运行：

on:
  schedule:
    - cron: '17 4 * * 0'  # Sundays at 04:17 UTC
jobs:
  oia-audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
      - run: node plugins/ruflo-metaharness/scripts/oia-audit.mjs --alert-on-worst high

--alert-on-worst high 会在发现任何 HIGH 严重级别问题时使作业失败； 低于 HIGH 的偏移只会记录，不会阻止作业继续。

记忆命名空间

每次审计运行都会存储在 metaharness-audit:audit-<iso-ts> 下。查看 近期审计记录：

npx @claude-flow/cli@latest memory list --namespace metaharness-audit --limit 10

比较两次审计（检测偏移）：

A=$(npx ... memory retrieve --key audit-2026-06-01... --namespace metaharness-audit)
B=$(npx ... memory retrieve --key audit-2026-06-15... --namespace metaharness-audit)
# Compare composite.worst, components.threatModel.worst, etc.

未来的 ADR 可以将其接入专用的 cost-diff 风格差异查看器， 专门用于查看审计偏移。

配套工具

  • harness-threat-model——底层威胁模型组件
  • harness-mcp-scan——底层 MCP 扫描组件
  • harness-score + harness-genome——就绪度指标（与审计正交）

评论

支持 Markdown