Agent Runtime Guard

io.github.DSHCorrectoverv1.0.0更新於 Oct 5, 2026

Agent 运行时全栈拦截: allow/deny tool calls, Ed25519 receipts, blocks RCE, theft, SSRF, injection. stdio.

已驗證STDIO僅桌面Developer Tools AI & ML Security & Monitoring

概覽

AI 產生的概覽

一套本機執行期防護層，攔截 AI 代理的工具呼叫、shell 指令與網路請求，在執行前擋下危險動作。

功能: Agent Runtime Guard 以 fail-closed 的攔截層身分，介於代理與危險操作之間。verify_tool_call 工具執行多維執行期檢查與語意攻擊鏈分析，涵蓋指令注入、路徑穿越、SSRF（含雲端中介資料位址）、憑證外洩、混淆提權、數值溢位，以及工具結果中的提示注入。issue_evidence 會為放行與攔截的每次裁決產生可鏈結的 Ed25519 簽章收據，verify_receipt 可離線驗證收據，audit_mcp_config 稽核 MCP 設定風險，verify_intent_binding 比對實際參數與宣告意圖是否一致。
適用情境: 當代理接上 shell、網路或雲端憑證類工具，而你希望在執行點就擋下危險動作、而不是事後稽核時，適合安裝。可用於 Claude Code、Cursor、Cline、Windsurf 等 MCP 用戶端，也能透過透明 stdio 代理包住其他 MCP 伺服器。
執行需求: 需要本機 Node.js 18 或更新版本，透過 npx agent-runtime-guard 執行或設定為 stdio MCP 伺服器。預設不需要 API key、帳號或環境變數，首次執行會自動產生簽章金鑰。選用環境變數 CCS_KEY_DIR、CCS_PRIVATE_KEY、CCS_PUBLIC_KEY 可固定持久金鑰。

安裝前請注意

這是安全控制元件，設定不當或被繞過會帶來虛假的安全感；README 本身也指出前綴放行規則以及依賴宿主模型或遠端分類器並不可靠。除非設定 CCS_KEY_DIR、CCS_PRIVATE_KEY 或 CCS_PUBLIC_KEY，否則 Ed25519 簽章金鑰會寫入磁碟；它會檢查工具參數與輸出，其中可能包含機密。README 提到支付寶 SkillPay 上另有付費的人工深度稽核與合規憑證服務，與免費驗證分開。

安裝

在 SourceWeft 中

開啟儀表板中的 Agent Runtime Guard，將其新增到工作區。
為需要使用其工具的對話啟用該服務。

Desktop only，透過 STDIO。 STDIO 服務會啟動本機處理程序，因此需要 SourceWeft 桌面主機。

其他 MCP 客戶端

參照儲存庫中的啟動說明。

README

Agent Runtime Guard · Agent 运行时全栈拦截

[IETF Internet-Draft] [npm version]

给 AI Agent 配一个运行时保安：它删库、偷密钥、闯内网、被注入诱导——当场拦下。它是一道运行时拦截层，不是事后审计工具：危险动作在执行点就被挡住；每张 Ed25519 签名收据，都是拦截/放行时当场附带的裁决凭证。

你给 Agent 接上 shell、网络、云凭证这些工具后，最大的风险是：它手一抖，一条命令删掉整台机器；或被诱导，把密钥和数据偷偷传走。一个容易点过的"确认弹窗"挡不住。

agent-runtime-guard 在 Agent 与危险操作之间站一道确定性的拦截层——工具调用、shell 命令、网络请求、输出结果全栈覆盖，危险动作在真正执行前被 fail-closed 拦下，无需人工点击。

✅ 零运行时依赖，纯 Node.js 标准库（Node ≥ 18），无 install 脚本
✅ 全栈拦截：命令注入 / 路径穿越 / SSRF（含云元数据）/ 凭证外泄 / 提示注入 / 跨工具攻击链
✅ fail-closed：判危险、验证器出错或超时，都不转发、不执行
✅ Ed25519 证据收据：每次决策双哈希 + 可链，第三方可离线验证
✅ 随处可用：MCP server（Claude Code / Cursor / Cline / Windsurf）、透明 stdio 代理、DeepSeek Harness 插件

⚡ 30 秒跑起来

把它加进任意 MCP 客户端的 mcpServers 配置：

json

{  "mcpServers": {    "agent-runtime-guard": {      "command": "npx",      "args": ["-y", "agent-runtime-guard"]    }  }}

{  "mcpServers": {    "agent-runtime-guard": {      "command": "npx",      "args": ["-y", "agent-runtime-guard"]    }  }}

无需 API key、账号或环境变量——首次运行自动生成 Ed25519 签名密钥（想固定持久密钥再设 CCS_KEY_DIR 或 CCS_PRIVATE_KEY/CCS_PUBLIC_KEY）。

三种用法

场景	怎么用
MCP 客户端（Claude Code、Cursor、Cline、Windsurf）	配置上面的 `mcpServers`，工具调用先过保安
DeepSeek Harness	`dsh plugin add agent-runtime-guard`，默认 bundle patch 自动启用，住进 `tools/pre-execute` / `post-execute`
网络边界独立拦一道	用透明 stdio 代理 `agent-runtime-proxy` 包住目标 MCP server，不信宿主内任何插件

它拦什么

命令注入：shell 元字符、curl|sh、rm -rf、eval()
路径穿越：../、/etc/passwd、/proc/self/
SSRF：169.254.169.254 云元数据、localhost、私网地址——跨任何工具
跨工具攻击链：读敏感文件 → 网络外传 = exfil_chain
凭证外泄：API key、secret、credential 出现在参数或输出
混淆提权：hex/base64 编码、提权信号
数值安全：整数溢出（>2^53-1）、NaN/Infinity
提示注入：工具结果里的"忽略以上指令"等诱导

Tools

Tool	用途
`verify_tool_call`	7 维运行时验证 + 语义攻击链分析 + 数值溢出检测，默认拦截
`issue_evidence`	出具防篡改证据（`content_hash` + `evidence_hash`，可链），放行和拦截都产生
`audit_mcp_config`	审计 MCP 配置的安全风险
`verify_intent_binding`	校验实际参数与声明意图是否一致——零容忍、零 LLM，抓跨模型参数漂移（规划写 `amount:100`，执行写成 `amount:10000` → 拦截）
`verify_receipt`	离线校验 Ed25519 收据签名、检测篡改，可固定可信签名者

证据链

每次决策产生双哈希（content_hash + evidence_hash）与链指针（parent_evidence_hash）。任何第三方都能独立验证证据未被篡改，无需信任运营方。收据为 Ed25519 签名、JSON 形态，可用内置 verify_receipt 或任意 Ed25519 库离线验证。

FAQ（给 AI Agent 配运行时保安，常见疑问）

黑名单为什么永远拦不全？危险命令可以用同义词、编码、拼接绕过，且新型调用不断出现。agent-runtime-guard 用语义判定（这段代码的意图是不是危险执行）而不是匹配关键词，未知攻击靠意图异常也能识别。

Bash(prefix*) 放行规则够安全吗？不够。git status* 这类前缀规则会被 git status; rm -rf /、&&、管道拼接绕过。判定应基于 shell 解析后的实际命令结构，而不是字符串前缀。

安全判定能依赖宿主模型/远程分类器吗？不建议。远程服务一挂，要么全部拒绝（业务瘫痪）要么被建议绕过（裸奔）。本层策略在本地、默认 deny，裁决与模型可用性完全解耦。

子 agent 一开权限会被放大吗？会，这是真实出现过的问题：子 agent 把权限状态整个换成 allow-all。运行时权限状态应不可被子任务覆盖，并在每次实际调用时强制校验。

凭证为什么会自动泄露给子命令？子进程默认继承父进程全部环境变量，provider key、云凭证随之暴露给 /run、/test 等本不需要它们的命令。应按白名单最小化传递环境变量。

拦了还是放了，事后怎么说清是谁的责任？每次裁决都出 Ed25519 签名收据（含内容哈希、时间、原因码、链指针），任何第三方可离线验证。这是把"AI 干的"变成可审计责任链的关键。

🇨🇳 免费验证之外 · 支付宝 SkillPay

运行时验证与证据签发免费使用。如需人工深度审计或正式合规凭证，可在支付宝 SkillPay 货架获取：https://skillpay.alipay.com/public/correctover

协议背景

IETF：draft-correctover-ccs —— 个人 Internet-Draft，不是 RFC，也不代表 IETF 背书，Datatracker 页面为权威状态
互补：VAP（范围/预算/目的）、Microsoft ACS（策略决策）、AP2（人工授权）
不替代：认证、支付网络、策略引擎

License

Elastic License 2.0 (ELv2). See LICENSE.

來源：README.md，提交 97304ea

工具

工具後設資料尚未被收錄。

版本歷史

v1.0.0最新Oct 5, 2026