lm203688/aishield

AI Agent 安全生态基础设施
让任何 Agent 可以安全地发现、验证、委托、支付另一个 Agent
🖥️ 本地优先 · 零依赖 · 代码不出机
开源本地版 — 与同名云 SaaS aishield.ai 是完全不同的产品
---
> 🖥️ **本地优先 · 开源 · 无云**
> AIShield 开源版**完全在你机器上运行**：零第三方依赖、可 100% 离线、代码与配置**绝不上传**云端、扫描时**绝不执行**被扫配置。
> ⚠️ **与 aishield.ai 的区别**：本仓库是**本地开源版**，与同名商业云 SaaS **aishield.ai**（注册 / 密钥 / 计费式云端服务）是**完全不同的产品**，请勿混淆。
核心特性
🛡️ **264 条规则（静态 237 + 情报 8 + 雷达 19）** — 对齐 OWASP MCP Top 10 (2025 v0.1) 与 OWASP Agentic AI Top 10 (2026) 的全部 10 类风险，覆盖 Prompt 注入、越权访问、数据泄露、协议攻击、供应链风险、沙箱逃逸 6 大维度
> **编号体系说明（重要）**：报告中 owasp_category 字段的 ASI01–ASI10 是**本库内部归纳编号**，
> 与 OWASP 官方 *Top 10 for Agentic Applications 2026* 的编号**不是同一套**——仅 ASI01/ASI02/ASI03
> 恰好同号。例如本库 ASI04（记忆操纵与投毒）在官方体系中是 ASI06 Memory & Context Poisoning，
> 而官方 ASI04 是 Agentic Supply Chain。逐条交叉表见 scanner/compliance.py 的
> INTERNAL_ASI_TO_OWASP（也随 compliance_summary() 返回）与
> docs/owasp-agentic-taxonomy-alignment.md。
> 引用 OWASP 官方措辞前必须经此换算。
🧰 **Agent 计算机的内容安全平面** — Cloudflare Sandboxes、forgevm、E2B、Open Interpreter、Goose 这类运行时管的是**爆炸半径**（agent 能碰到什么），AIShield 管的是**内容可信**（agent 读进来的 MCP server、skill、工具描述该不该信）。两者互补：启动前工作区预扫 → 沙箱硬化规则 → 每次调用准入 → 持续鉴证。详见 Agent 计算机的两个安全平面
📄 **Markdown 按可执行体扫描** — 对 Skill 类资产，SKILL.md 本身就是程序。把 .md 一律当「文档示例」降级的扫描器，会整条漏掉 skill 供应链
🧠 **智能 Prompt 注入检测** — 原生支持中文检测，识别拼音变体、谐音替换、拆字攻击等本土化绕过手法
🪪 **Agent 身份系统** — DID 去中心化身份生成、多级信誉评分、API Key 生命周期管理、完整审计日志链
🤝 **Agent 协作通信** — 内置发布/订阅消息总线、协作会话管理、跨 Agent 任务委托，让 Agent 之间安全对话
📦 **安全沙箱执行** — 代码预检查拦截危险模式，支持 Python / JavaScript / Shell 多语言隔离执行，结果自动安全审查
🏪 **技能市场** — 技能发布、搜索与调用一体化，内置评分系统，支持 HTTP RPC 真实调用验证
📘 **Agent 原生文档** — AGENTS.md（架构 / 核心不变量 / 贡献约定，供 AI 编码 agent 直接读取）+ COMMUNITY.md（分发与上架渠道清单）
🔗 **A2A 协议网关** — 兼容 Google A2A 协议，Agent Card 注册与发现，智能任务路由与跨 Agent 调度
🔌 **6 大外部项目集成模块** — 即插即用的安全增强套件：
| 模块 | 功能 | 依赖 |
|:---|:---|:---|
| BB Browser | 36 平台 103 命令威胁情报采集适配器 | 零依赖 |
| Browser Use | AI 驱动浏览器安全扫描（XSS/SQLi/CSRF/Recon） | browser-use |
| Graph DB | Neo4j/FalkorDB/ArangoDB 威胁图谱，攻击链查询 | neo4j |
| Event Stream | Kafka/内存事件总线，Flink 风格规则引擎 | kafka-python（可选） |
| Scan Isolation | vCluster 隔离扫描环境管理 | vCluster CLI |
| Persistent Agent | Grok Bot 持久化安全监控代理 | xAI API Key |
💳 **支付与计费** — API 按量计费、套餐管理、使用量统计，为 Agent 经济提供基础设施
🏆 **安全认证徽章** — 扫描通过自动签发认证，生成可嵌入 GitHub README 的 SVG 徽章，金 / 银 / 铜三级
🌐 **中立信任机构（Neutral Trust Authority）** — AIShield 不只是扫描器，更是 agent 生态的**信任层**：每个被扫资产都拿到一张机器可读、可签名、可嵌入发现格式的 Trust Attestation（aishield-trust/v1） 凭证。MCP Server Card / A2A Agent Card / Google ai-catalog 只需在自己的 metadata 里加一个 trust 字段，就能零成本引用 AIShield 的「内容是否可信」裁决——而这一层目前是整条 agent 供应链最薄弱、也最被抢位的空白。AIShield 的差异化锚点：**唯一本地离线、扫内容（prompt 注入 / 工具中毒 / 供应链漂移）、绝不执行被扫配置**的信任裁决。生态占位策划见 docs/ecosystem-positioning-2026.md。
---
为什么选择 AIShield
| | AIShield | 纯扫描工具 | 闭源商业方案 | 无交易的平台 |
|:---|:---:|:---:|:---:|:---:|
| 开源透明 | **MIT 全开源** | 部分开源 | ❌ 黑盒 | 部分开源 |
| 安全规则覆盖 | **264 / 291 条 (OWASP 双维对齐)** | 10-60 条 | 依赖厂商 | 有限 |
| 中文 Prompt 检测 | **6 平台违禁词覆盖** | ❌ | 依赖厂商 | ❌ |
| Agent 身份与信任 | **DID + 信誉 + 徽章** | ❌ | 商业附加 | ❌ |
| Agent 身份 / 网络层扫描 | **扫身份缺陷 + 组网过宽** | ❌ | 有限 | ❌ |
| Agent 协作与市场 | **完整生态** | ❌ | 有限 | 简单注册 |
| 计费与经济模型 | **内置支持** | ❌ | 企业版 | ❌ |
| 外部依赖 | **零依赖** | 有依赖 | N/A | 有依赖 |
| MCP 集成 | **原生支持** | 部分支持 | 有限 | 部分支持 |
🔍 **Agent 身份与凭证扫描（身份层 / NHI）** — 2026 年 agent 安全的主战场已从「工具执行」转移到「agent 身份可验证」（A2A 仓库 top issue 全在身份；Authentik 借 NHI 重燃；ANS/DNSid/Entra Agent ID 扎堆）。AIShield 从「只发信任证书」升级为「也扫身份缺陷」：AgentCard/agent 身份是否签名、凭证是否短期过期、授权是否过宽（scope: "*" 违反最小权限）、是否缺 mTLS/DID、委托是否做 scope attenuation。详见 Agent 生态 2026 态势与卡位。
🕸️ **Agent 网络 / Mesh 配置扫描（网络层）** — Cloudflare Mesh 把 agent 组网做成基础设施，却官方自认「缺 per-agent 身份与策略」（所有 agent 流量被当成来自一个 Worker）。AIShield 补这个缺口：扫描整账户 Mesh/VPC 绑定是否把全网暴露给所有 agent、agent 端点是否无鉴权（auth: none）、私有资源是否公网暴露（public: true）。内容可信 + 身份归因 + 组网可达性，三管齐下覆盖 agent 的「信任浅滩」。
🔐 **Authentik / NHI service-account 扫描（身份层 · Authentik 流派）** — 扫描 Authentik 风格的 service-account 导出：skip_authorization 跳同意、令牌永不过期（token_ttl: 0/never）、scope 过宽（"*"）、硬编码 client_secret。把身份层从「只发证书」扩展到「也扫 NHI 卫生」。