ما هو HushSpec؟

HushSpec هي مواصفة مفتوحة لضوابط الأمان التي يعمل الوكيل الذكي في ظلها. اكتب سياسة بلغة YAML، وقيّمها بلغة Rust أو TypeScript أو Python أو Go، وأنتج إيصالات تربط كل قرار بالسياسة التي تقف خلفه.

تغطي المواصفة الأشياء التي يتعامل معها الوكلاء فعليًا: الملفات، والشبكات، والأصداف، والأدوات، والمتصفحات، وتنفيذ الشيفرة. تحدد المواصفة القواعد ومعانيها؛ بينما يفرض وقت التشغيل الحدود عبر HushGuard أو عبر تكامله الخاص.

أعلن	افرض	أثبت
YAML قابل للمراجعة مع سياسات أساس قابلة لإعادة الاستخدام وأذونات صريحة.	قرارات متسقة من نوع `allow` و`warn` و`deny` عند نقطة التنفيذ.	إيصالات القرار، وتوقيعات السياسة، وسجلات قابلة للتحقق.

المواصفة 1.0.0 مستقرة. صيغة المستند، ودلالات التقييم، والصيغة القانونية، وصيغ النقل مجمّدة لسلسلة الإصدارات 1.x. راجع سياسة الإصدارات ومصفوفة توافق حزم SDK للاطلاع على العقود وتغطيتها بالاختبارات.

لم يُنشر إصدار SDK 1.0 بعد. راجع حالة التسليم للاطلاع على أدلة التنفيذ والتأهيل والإصدار.

يختبر وحدة التحكم الخارجية التجريبية للتوافق ملفًا تنفيذيًا ملتقطًا مقابل مجموعة L0-L3 ويحتفظ بمدخلاته ومخرجاته وهويته. محوّل Go هو تهيئة أولية من الفريق الأول، وليس تأهيلًا مستقلًا للمحرك أو لحدود وقت التشغيل.

يتحقق منسّق الاستدعاء الموثوق التجريبي من أداة MCP مؤهلة للمضيف وآثارها مقابل لقطة سياسة موثّقة واحدة، ويسجّل تصريحًا دائمًا، ثم يوزّع. تختبر تجربته البرمجية المعزولة تعديلات حقيقية وعمليات محظورة وأدلة انهيار. هذا عرض محدود النطاق من الفريق الأول، وليس تبنّيًا خارجيًا أو احتواءً عامًا لـ MCP.

البدء السريع

ابنِ أداة h2h CLI من هذا المستودع:

cargo install --path crates/hushspec-cli --locked

احفظ هذا باسم policy.yaml. فهو يحمي بيانات الاعتماد، ويقيّد الوصول إلى الشبكة، ويطلب تأكيدًا قبل أن تتمكن أداة من كتابة ملف أو دفع شيفرة.

hushspec: "1.0.0"
name: production-agent

rules:
  forbidden_paths:
    patterns: ["**/.ssh/**", "**/.aws/**", "/etc/shadow"]

  egress:
    allow: ["api.openai.com", "*.anthropic.com", "api.github.com"]
    default: block

  tool_access:
    allow: [file_read, search]
    block: [shell_exec, run_command]
    require_confirmation: [file_write, git_push]
    default: block

تحقق من صحته، ثم جرّب ثلاثة قرارات:

h2h validate policy.yaml

h2h eval policy.yaml --type egress --target api.openai.com
# allow

h2h eval policy.yaml --type tool_call --target shell_exec
# deny

h2h eval policy.yaml --type tool_call --target file_write
# warn: confirmation required

تقيّم هذه الأوامر الإجراءات؛ لكنها لا تنفذها. يخرج eval بالرمز 0 للسماح، و1 للرفض، و4 للتحذير. يجب على وقت التشغيل معالجة القرار قبل توزيع الإجراء. اربطه بوكيلك ←

خيارات تثبيت إضافية

الطريقة	التثبيت
Cargo	`cargo install hushspec-cli`
Homebrew	`brew install backbay-labs/tap/h2h`
npm	`npm install -g @hushspec/cli`
ملفات تنفيذية جاهزة	إصدارات GitHub، مع مجاميع تحقق وشهادات مصدر البناء

تعتمد برامج التثبيت المعبأة على أن خط أنابيب الإصدار قد نشر القطع الأثرية المقابلة. أما التثبيت من المصدر أعلاه فيُبنى مباشرة من هذا المستودع.

للحصول على سياسة ومجموعة اختبارات مُهيّأة، شغّل h2h init --preset default. راجع دليل السياسة الأولى لسير العمل الكامل.

من السياسة إلى الإثبات

أعلن سياسة YAML، وافرضها عند حدود وقت التشغيل، وسجّل إيصالًا يربط القرار ببصمة السياسة المحلولة.

ضع الفحص قبل الإجراء

يقوم HushGuard بتحميل السياسة ويجمع التقييم، وأوضاع الفرض، والتأكيد، ومصارف الإيصالات، والمراقبين معًا. استدعِ enforce قبل توزيع الأداة:

import { HushGuard } from '@hushspec/core';

const guard = HushGuard.fromFile('./policy.yaml');

guard.enforce({ type: 'tool_call', target: 'shell_exec' });
// Throws HushSpecDenied under the quickstart policy.

السياسة التي تفشل في التحقق المطلوب من التوقيع تنتج حارسًا مرفوضًا: يُرفض كل إجراء مع __hushspec_policy_unverified__. وإعادة التحميل السريع الفاشلة تُبقي آخر سياسة صالحة سارية. وتُرفض الحقول غير المعروفة والمستندات غير الصالحة بشكل صريح.

حدود الفرض هي مسؤولية وقت التشغيل. وتوفر HushSpec عقد السياسة المحمول وبدائيات SDK لبنائه. دليل تكامل وقت التشغيل ←

احتفظ بالأدلة مع القرار

يأخذ التقييم المدقّق سياسة محلولة ويعيد إيصالًا يحتوي على content_hash القانوني الخاص بها، والقرار، وسياق الفاعل، وآثار القواعد والكشف، وتصرف الفرض. ويُمثَّل محتوى الإجراء ببصمته وحجمه بالبايت، دون تضمين المحتوى الخام.

# Inspect the receipt for one evaluated action.
h2h eval policy.yaml --type egress --target api.openai.com --format receipt

يمكن للأدلة أن تنتقل إلى ما هو أبعد من وقت التشغيل:

hush

الأكثر شعبية

ما هو HushSpec؟

البدء السريع

من السياسة إلى الإثبات

ضع الفحص قبل الإجراء

احتفظ بالأدلة مع القرار