Lelu MCP
Движок авторизации для агентов: каждое действие получает ответ allow, deny, human_review или compute, решения пишутся в журнал
- 75 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Движок решает, какие действия агента выполнять, и ошибка в политике может пропустить опасную команду
- Ручная проверка отправляет описания действий в Slack, Teams или PagerDuty
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add mcp/leluОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Движок решает, какие действия агента выполнять, и ошибка в политике может пропустить опасную команду
- Ручная проверка отправляет описания действий в Slack, Teams или PagerDuty
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Lelu — открытый движок авторизации с MIT-лицензией, который проверяет действие агента до выполнения и возвращает одно из четырех решений: `allow` разрешает, `deny` блокирует с причиной, `human_review` ставит агента на паузу до одобрения человеком, `compute` перенаправляет на безопасную замену или песочницу. Каждое решение пишется в журнал аудита, а движок работает на вашей машине. Слои проверки идут по цепочке, побеждает самый строгий исход: пятиуровневый фильтр промпт-инъекций, порог уверенности по логарифмам вероятностей модели, политики в YAML и OPA/Rego, модель оценки опасности, очередь ручной проверки с уведомлениями в Slack, Teams и PagerDuty и анализ поведения. Команда `npx -y lelu-mcp start` запускает локальный движок без учетной записи и Docker. Для Claude Code есть `claude mcp add lelu -- npx -y lelu-mcp start --transport stdio --preset coding-agent`: правка файлов, тесты и локальный git разрешены, установка пакетов, push, деплой и секреты уходят на ручную проверку, разрушительные действия запрещены. Плагин Claude Code по умолчанию работает в теневом режиме и ничего не блокирует, пока вы не включите блокировку.
Для кого. Разработчикам агентов и командам безопасности, которым нужны правила допуска, ручное одобрение и журнал для действий агента.
Подходит, если
- Агент Claude Code запускает команды, и опасные из них должны уходить на ручную проверку
- Агент поддержки может выдать возврат платежа, и сумму выше порога надо согласовывать с человеком
- Нужен журнал решений по каждому вызову инструмента для разбора инцидентов
- Требуется пилот теневого режима: сначала посмотреть, что движок заблокировал бы
Не подходит, если
- Нужно единственное разрешение на файл: для этого хватает настроек доступа самого агента
- Нет возможности запустить Node.js или движок на своей машине: он работает локально или на вашей инфраструктуре
- Нужна защита от пользователя с физическим доступом к машине: Lelu управляет действиями агента и от человека за клавиатурой не защищает
Пример запроса к агенту
Подключи Lelu с пресетом coding-agent и покажи, какие мои вчерашние команды ушли бы на ручную проверкуMCP
- Транспорт
- stdio, http
- Авторизация
- не нужна
Ограничения
Порог уверенности использует логарифмы вероятностей, которые отдает провайдер: у OpenAI и некоторых моделей Bedrock они есть, у Claude нет, и тогда действует политика `MissingSignalMode`, а выдуманный балл в расчет не берется. Ручная проверка требует настроенных каналов Slack, Teams или PagerDuty. Для продакшена автор использует Postgres, а локально хватает SQLite. Данные журнала и сокеты плагина лежат в `$HOME/.lelu/claude-plugin`.
Как отключить. Выполните `claude mcp remove lelu` для сервера и `claude plugin uninstall lelu@lelu` для плагина, затем остановите процесс `lelu-mcp`. Данные лежат в `~/.lelu`, каталог можно удалить.
Частые вопросы
Какие решения возвращает Lelu?
Четыре: `allow`, `deny` с причиной, `human_review` с паузой до одобрения и `compute` с перенаправлением на безопасную замену или песочницу.
Что делает пресет coding-agent?
Разрешает правку файлов, тесты и локальный git. Установка пакетов, push, деплой и все, что трогает секреты и env-файлы, идет на ручную проверку, разрушительные действия запрещены, остальное по умолчанию отклоняется.
Нужны ли аккаунт или Docker?
Нет, `npx -y lelu-mcp start` запускает настоящий движок на вашей машине без регистрации, Docker и настройки.
Блокирует ли плагин сразу?
Нет, плагин Claude Code стартует в теневом режиме: он фиксирует решения, но ничего не блокирует, пока вы не включите блокировку.
Есть ли SDK?
Да, `npm install lelu-agent-auth` для TypeScript и `pip install lelu-agent-auth-sdk` для Python. Один вызов `authorize` возвращает решение.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыЛокальный страж для кодовых агентов: блокирует запись секретов и принудительный пуш в main, предупреждает об опасных командах.
AgentShield проверяет папку .claude на ключи в открытом виде, широкие разрешения, опасные хуки и небезопасные MCP-серверы и ставит оценку от A до F
Плагин и сервер подтверждений для Claude Code и Codex: опасный вызов инструмента ждет вашего решения до запуска
Локальный шлюз безопасности для Claude Code и Codex: сверяет вызовы инструментов с политикой, ловит секреты и пишет аудит
Локальная панель для Claude Code, Codex CLI и OpenCode: что грузит агент, сколько это токенов, и проверка MCP-серверов
Движок политик для действий ИИ-агента: хук Claude Code оценивает опасность вызова до запуска и пускает, блокирует или ждет решения
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| Lelu (эта карточка) | нет | не нужна | 75 | |
| HOL Guard | да | 1 094 | проверяет команды агента, чтение секретов и вызовы MCP, с ожиданием вашего решения | |
| AgentGuard | нет | 493 | проверяет действия до запуска и сканирует чужие скиллы |
Коротко о README
README определяет Lelu как движок авторизации между агентом и внешним миром, объясняет отличие от OPA, Casbin и AWS AVP и дает запуск одной командой. Затем идут плагин Claude Code, SDK, конвейер проверки и примеры для LangChain и других.