Warden CLI
Защищенный шлюз между ИИ-агентами и корпоративными системами: идентичность, политики и аудит вместо долгоживущих ключей у агента.
- 185 ★ репозитория
- Последний коммит
- MPL-2.0
Широкий доступ
Почему такой уровень
- Шлюз держит или получает реальные ключи корпоративных систем и стоит на пути всех вызовов агентов.
- Ошибка в политике открывает агенту лишний доступ к производственным системам.
Установка
- Работает в
Ручная установка
curl -sL https://wardengateway.com/install.sh | bashПервый вариант из README: статический бинарный файл, он же клиент и сервер. Есть образ контейнера и чарт Helm.
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Шлюз держит или получает реальные ключи корпоративных систем и стоит на пути всех вызовов агентов.
- Ошибка в политике открывает агенту лишний доступ к производственным системам.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Warden — единый бинарный файл на Go, который служит и клиентом командной строки, и сервером: шлюз между ИИ-агентами и системами, где они должны работать (облака, репозитории кода, мониторинг, базы данных, ITSM, хранилища секретов, MCP-серверы). Агент предъявляет собственную идентичность: JWT, клиентский сертификат TLS, SPIFFE SVID или токен сервисной учетной записи Kubernetes, и обращается к Warden как к самому сервису. На каждый запрос шлюз проверяет идентичность, сверяет вызов с политикой в момент обращения, подставляет настоящий ключ вышестоящей системы и проксирует вызов, возвращая ответ без изменений. Агент не хранит секретов и получает ровно тот доступ, который ему разрешен. Warden может вообще не держать постоянный секрет: он подтверждает вышестоящему сервису, кто вызывает, и тот сам выдает ключ, либо достает секрет из внешнего хранилища на каждый запрос. Агенты узнают, какие роли и системы им открыты, и читают по каждой систему рецепт подключения в рабочем режиме. Есть песочница `docker run`, чарт Helm для кластера из трех реплик на Kubernetes 1.27 и новее и сквозной аудит.
Для кого. Платформенным и безопасным командам, которые выдают агентам доступ к производственным системам и хотят одну точку для идентичности, политик и аудита вместо россыпи ключей.
Подходит, если
- Агенту нужен доступ к облаку и репозиториям без выдачи ему долгоживущего секрета.
- Десяток MCP-серверов держит десяток статичных ключей, и их хотят убрать.
- Каждый вызов агента должен попасть в единый аудит с привязкой к идентичности.
- Команда пробует схему в песочнице с готовым провайдером идентичности.
Не подходит, если
- Нужен простой скилл для личного компьютера: шлюз рассчитан на корпоративную среду.
- Нет ресурсов на Postgres, TLS и кластер Kubernetes для режима с высокой доступностью.
- Агент работает без собственной идентичности.
Пример запроса к агенту
Подними песочницу Warden и покажи, как агент получает доступ к демо-системе по своей идентичности без хранения ключа.Ограничения
Это инфраструктурный компонент для организаций, а не плагин на пять минут. Режим высокой доступности требует своего Postgres, своего сертификата TLS и либо Vault Transit, либо другого способа авторазблокировки, а чарт Helm рассчитан на Kubernetes 1.27 и новее. Песочница `-dev-playground` с корневым токеном `root` годится только для знакомства, не для продакшена. Установка скриптом `curl | bash` выполняет скачанный сценарий. Warden получает реальные ключи систем, поэтому его защита и доступ к нему критичны. Описание сверено с README.
Как отключить. Остановите контейнер или удалите релиз Helm. Удалите бинарный файл `warden`, базу Postgres и выданные шлюзу ключи в вышестоящих системах.
Частые вопросы
Как агент проходит аутентификацию?
Своей идентичностью: JWT, клиентским сертификатом TLS, SPIFFE SVID или токеном сервисной учетной записи Kubernetes. Настоящие секреты агенту не выдаются.
Что делает шлюз с запросом?
Проверяет идентичность, оценивает вызов по политике, подставляет настоящий ключ вышестоящей системы и проксирует запрос, возвращая ответ без правок.
Какие агенты и клиенты подходят?
Гид по запуску описан для Claude Code, Codex, Cursor, Gemini CLI, opencode, VS Code и любого MCP-клиента. Для каждого есть свои шаги.
Как развернуть в кластере?
Через собственный чарт Helm: трехреплика HA-кластер на Kubernetes 1.27 и новее с вашим Postgres и сертификатом TLS и автоматической разблокировкой через Vault Transit.
Может ли Warden обходиться без хранения секретов?
Да. Он подтверждает вышестоящему сервису, кто вызывает, и тот сам выпускает ключ, либо берет секрет из внешнего хранилища при каждом запросе.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыagent-secrets выдает ИИ-агенту ключи на время: шифрование age, аренда секрета с TTL, журнал доступа и аварийный отзыв.
Шлюз политик для ИИ-агентов: проверяет вызовы инструментов до выполнения, опасные ставит на согласование и пишет аудит
Открытый протокол, CLI aac и SDK от Bitwarden: агент получает нужные учетные данные из менеджера паролей, а не весь сейф.
MCP-сервер и CLI проверяют команды, пути, ответы и описания MCP-инструментов, а scan ищет нарушения китайских требований
Утилита хранит ключи в системной связке и подставляет их в запрос на транспортном уровне, так что агент значения не видит.
Песочница для ИИ-агентов на Linux и macOS без контейнеров: файлы, сеть и системные вызовы закрыты, пока вы не откроете их явно
Коротко о README
Агент получает доступ по идентичности и политике, а настоящие ключи остаются у шлюза или вовсе не хранятся.