AEGIS: шлюз безопасности для агентов
AEGIS
Шлюз политик для ИИ-агентов: проверяет вызовы инструментов до выполнения, опасные ставит на согласование и пишет аудит
- 523 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Шлюз видит аргументы всех вызовов агента, в том числе пароли и персональные данные
- Режим блокировки может остановить работу агента до ручного одобрения
- Установочный скрипт скачивается из сети и поднимает контейнеры
Установка
- Работает в
Ручная установка
curl -fsSL https://aegistraces.com/install | shСкачивает и ставит бинарник в /usr/local/bin: прочитайте скрипт заранее. Другие пути: docker compose up -d из клонированного репозитория или pip install agentguard-aegis для агента.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Шлюз видит аргументы всех вызовов агента, в том числе пароли и персональные данные
- Режим блокировки может остановить работу агента до ручного одобрения
- Установочный скрипт скачивается из сети и поднимает контейнеры
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
AEGIS стоит между агентом и его инструментами и проверяет каждый вызов до выполнения. Шлюз классифицирует вызов (база данных, файл, сеть, оболочка, внедрение инструкций, цепочка поставок), сверяет его с политиками и детекторами и выносит решение: пропустить, поставить на согласование человеком или заблокировать. Каждый разрешенный вызов попадает в журнал с цепочкой хэшей и подписью. Подключение рассчитано на минимум правок. Для Python достаточно `agentguard.auto(...)` в начале программы, для Claude Code есть `agentguard claude-code setup --blocking`: вызовы Read, Write, Bash и Edit проверяются и записываются, а опасные ждут одобрения в панели Compliance Cockpit. Любой MCP-сервер можно обернуть прокси `agentguard mcp-proxy`, он проверяет вызовы и закрепляет описания инструментов, чтобы смена описания после одобрения не прошла незамеченной (пункт MCP03 списка OWASP). Отдельный MCP-сервер отвечает Claude на вопросы по журналу, нарушениям и политикам. Панель показывает обзор действий, согласования, нарушения и покрытие по десяти типам атак. Есть реестр агентов с лимитами инструментов, ограничение бюджета, экспорт в SIEM и аварийная остановка агента.
Для кого. Командам безопасности и разработчикам агентов, которые запускают Claude Code или собственных агентов с доступом к базам, файлам и сети и хотят блокировать опасные вызовы.
Подходит, если
- Агенту с доступом к оболочке нужен журнал и блокировка опасных команд до выполнения
- Каждый вызов Claude Code (Read, Write, Bash, Edit) должен проходить проверку, а опасные ждать одобрения человека
- Сторонний MCP-сервер подключают так, чтобы смена описания инструмента после одобрения была заметна
- Для аудита нужен журнал с подписью и доказательством неизменности
- Расходы на агента надо ограничить по дням и сессиям
Не подходит, если
- Нужна защита от опасных shell-команд в одном агенте: проще локальный хук вроде destructive-command-guard
- Нужна защита без пропусков: автор прямо называет классы атак, которые обнаружение не видит
- Агент должен работать полностью автономно без пауз: проверки и согласования замедляют ход
- Нужен только статический разбор кода агента: для этого в каталоге есть agent-audit
Пример запроса к агенту
Подключи AEGIS к Claude Code в режиме блокировки и покажи, какие вызовы потребуют моего одобрения в панелиОграничения
Автор приводит цену защиты: на AgentDojo полезность чистых задач падала с 69,1% до 38,1% без ревьюера и до 56,7% с аудитором, часть безобидных двухшаговых вызовов уходит на согласование. Не ловятся атаки, которые остаются внутри запрошенного инструмента и не меняют проверяемых значений, и случаи, когда пользователь делегирует задачу документу. Шлюзу нужны Docker или собственный запуск Node, панель и ключ API; Windows поддержан через WSL2. Коммерческие условия описаны в `COMMERCIAL.md`.
Как отключить. Отмените изменения, внесенные командой `agentguard claude-code setup`, в настройках Claude Code (посмотрите `~/.claude/settings.json`) и перезапустите его. В конфигурации MCP верните исходную команду вместо прокси, шлюз остановите командой `docker compose down` в папке `aegis`.
Частые вопросы
Как подключить AEGIS к Claude Code?
Поставьте пакет `pip install agentguard-aegis`, настройте шлюз командой `agentguard configure --url <адрес> --bootstrap` и выполните `agentguard claude-code setup --blocking`. После перезапуска вызовы Read, Write, Bash и Edit проверяются, а вызовы с высокой и критической оценкой ждут одобрения в панели.
Что такое закрепление инструментов MCP?
Прокси запоминает имя, описание и схему каждого инструмента при первой встрече. Если сервер потом меняет описание или оно похоже на внедренную инструкцию, вызов останавливается. Для закрепления нужен ключ `AEGIS_API_KEY`.
Сколько задержки добавляет проверка?
Автор измерил 0,44 мс медианы на вызов и 2300–3000 проверок в секунду на процесс шлюза. На 128 одновременных клиентах p99 составлял 84–93 мс.
Что происходит с заблокированным вызовом?
Агент получает отказ с причиной прямо в диалоге, и инструмент не запускается. Вызов, которому нужен человек, приостанавливает агента до решения в панели.
Куда уходят журналы?
В журнал шлюза с цепочкой хэшей и деревом Меркла по RFC 6962. Их можно отправлять в Splunk, Datadog, Sumo, QRadar и Graylog, а трассы выгружать в бэкенды OTLP.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыAgentShield проверяет папку .claude на ключи в открытом виде, широкие разрешения, опасные хуки и небезопасные MCP-серверы и ставит оценку от A до F
CLI проверяет на вашей машине скиллы и конфиги MCP, ищет отравленные описания инструментов и прогоняет системный промпт через 225 атак
Локальный шлюз безопасности для Claude Code и Codex: сверяет вызовы инструментов с политикой, ловит секреты и пишет аудит
CLI проверки безопасности ИИ: сканирует модели и код, пробует живые эндпоинты и MCP-серверы, разбирает записи работы агентов
HOL Guard проверяет команды ИИ-агента, чтение секретов, вызовы MCP и установку пакетов перед выполнением и ждет вашего решения по опасным действиям
CLI с политиками, который перехватывает опасные команды AI-агентов вроде rm -rf, force push или чтения .env до их выполнения
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Звезды репозитория | Главное отличие |
|---|---|---|---|
| AEGIS: шлюз безопасности для агентов (эта карточка) | нет | 523 | |
| Agent Audit | нет | 244 | статический сканер кода агентов, а AEGIS стоит на пути вызова во время работы |
| MCP Audit | нет | 165 | сканер конфигов MCP на утечки и опасные доступы |
| Destructive Command Guard | нет | 6 259 | хук проверки команд одного агента, без панели согласований и журнала с подписью |
Коротко о README
Описание открывается ссылками на установщики и одной строкой запуска, затем показывает три сценария (разрешено, заблокировано, на согласовании), семь экранов панели, развертывание, измерения с указанием цены и сравнение с другими защитными средствами.