AgentGuard

AgentGuard 是 AI 代理与 MCP 服务器之间的一个进程。代理的客户端配置指向它，不再直接指向服务器。真正的服务器由它启动，此后两侧的每条消息都经过它。它工作在 MCP 的 stdio 传输上，即按行分隔的 JSON-RPC，代理和服务器都不需要改代码。每个 tools/call 和 resources/read 请求在转发前检查。这两类调用的结果，连同 prompts/get 的结果，在返回前检查。

第一条命令从 PyPI 安装。第二条用 agentguard 启动 MCP 服务器，代替直接启动。第三条校验审计日志。默认策略随包安装。要改规则，先用 agentguard default-policy 导出一份，改后用 --config 指定。客户端配置里只改启动命令一处，服务器不改。

pip install agentguard-mcp
agentguard run -- python3 your_mcp_server.py
agentguard verify-audit agentguard_audit.log

仓库里的 demo/run_demo.sh 用默认策略对一个自身不设限制的服务器运行十二步，先不经代理，再经过代理。读取 ~/.ssh/id_rsa，被拒绝并记录。同一个读取换用一个参数名不叫 path 的工具，同样被拒绝。读取一个含 AWS 密钥的文件，内容返回，密钥被遮盖。抓取一个被投毒的网页，URL 合法，抓取放行，返回内容被判为注入并整条拦下。agentguard report 列出这个会话访问过的内容。手工改动一条已写入的审计记录，下一次校验报出被改的行。录像以 0.2.0 录制，约 40 秒。

• 不给 MCP 服务器进程加沙箱。服务器在操作系统层面的行为，协议层的代理看不到。
• 不保证捕获所有注入措辞。规则公开在策略 YAML 里，读过规则的人可以绕开。匹配前的规范化只处理零宽字符、同形字、全角字符和一层 base64，识别不了多层编码和图片里的文字。计划中的 LLM 分类层用于补这个缺口，尚未实现。
• 审计日志能发现篡改，不能阻止篡改。链头没有另存时，删掉末尾记录或整体重写无法发现。另存之后也只是能发现，不能阻止。
• 对不上任何一类的参数默认放行，只在审计日志里记为 unclassified。把 unclassified_arguments 设为 deny 才会拒绝。
• 单次工具调用没有超时，也没有速率限制。

完整论证在仓库的 THREAT_MODEL.md。

garak、promptfoo 一类工具在部署前对模型做红队测试，不接触运行中代理收到的内容。AgentGuard 在运行时的流量路径上，对每次调用执行策略。两类工具互补，不属于同一类别。

同一类别是 MCP 运行时网关：mcp-firewall、Lasso 的 MCP Gateway、微软的 MCP Gateway，以及若干更小的拦截器。它们在同一时期形成了大致相同的形态。AgentGuard 与它们的差别在规模。它有一个运行时依赖，核心代码 13 个模块约 3,900 行，没有仪表盘，没有 SaaS 组件，审计日志的防篡改性质有文档说明，可以独立校验。它的功能比这些工具少。相应地，代码可以完整读完、完整审完。仓库里的调研逐项对比了这些工具，包括更成熟的方案领先的地方。

• 在规则之后加一层 LLM 分类，对正则未标记的输出做第二次判断。0.2 有意未做这一层，先保证已有部分成立。规则会保留，因为结果确定，可以审计。
• 在增加规则之前先收集真实流量。误报率目前只能写「未观察到」，因为检测器处理过的真实内容还太少。
• 把审计链的锚点自动存到主机之外。目前 agentguard anchor 输出链头，保存位置由使用者自己安排。
• 让人工确认在 Windows 上可用，并支持 Streamable HTTP 传输。目前只支持 stdio。
• 用这些证据决定方向：向功能更全的网关扩展，还是保持现在的规模。