🔱 إطار عمل TriSuElla-AIDLCA

دورة حياة التطوير المدفوعة بالذكاء الاصطناعي وحوكمة الوكلاء المستقلين (LLMSecOps)
إصدار البرنامج: 3.2.0 | إصدار الإطار: 3.2.0 | الحالة: مؤسسي (جاهز للإنتاج، جاهز لـ DevSecOps ومُتحقق منه عبر CI)
الثوابت المُجمّعة: 305 فحوصات | القواعد: 204 | عائلات النطاقات: 26

🏛️ نظرة عامة تنفيذية

إطار عمل TriSuElla-AIDLCA هو معمارية ومعيار أمني بمستوى المؤسسات، محكوم بالسياسات، مخصص لـ هندسة البرمجيات بمساعدة الذكاء الاصطناعي وأنظمة الوكلاء المتعددة المستقلة. يضمن الإطار أن تعمل الذكاء الآلي بتنفيذ حتمي، وتحقق تشفيري بثقة صفرية، وحوكمة منسّقة بمشاركة العنصر البشري.

متجذر في الرمح الثلاثي (Trishula) الرمزي المستمد من المبادئ الإسكندنافية والسنسكريتية:

• 🔴 SISU (المرونة والتنفيذ): ينفّذ الوكلاء ضمن حدود حتمية، مع استعادة من الأعطال وثوابت أمان.
• 🔵 TILLIT (الثقة والحوكمة): الثقة الصفرية ("لا تثق أبدًا، تحقق دائمًا")، هوية تشفيرية، ومسارات تدقيق مقاومة للتلاعب.
• 🟢 DUGNAD (التعاون الجماعي): تسليمات متعددة الوكلاء مع بوابات موافقة إلزامية بمفتاح مزدوج ومشاركة بشرية (HITL).

📈 التقدم ومعالم التنفيذ (v3.2.0 مؤسسي ومُتحقق منه عبر CI)

حقق الإطار تنفيذًا مؤسسيًا بنسبة 100% عبر جميع ركائز الحوكمة والأدوات المؤتمتة ومعايير الوضع متعدد السحابات:

🌟 الميزات والقدرات الرئيسية للحل

يوفّر حل TriSuElla-AIDLCA محرّك أمان وحوكمة بمستوى الإنتاج وطيف كامل، مصمّمًا لهندسة الذكاء الاصطناعي الحديثة وأسر الوكلاء المستقلة:

1. 🛡️ بوابة السياسات CLI بدون تبعيات (TRISU-CLI)

• قابلية نقل أصلية: يعمل على Windows (.\trisu.cmd) وLinux/macOS (./trisu) أو كأمر عام عبر pip install -e tools/trisu-cli.
• مكتبة Python القياسية الخالصة: يعمل بدون أي تبعيات خارجية (argparse، ast، json، re، pathlib)، مما يلغي مخاطر سلسلة التوريد على المدقّق نفسه.
• سرعة فائقة: تنفيذ في أقل من ثانية (<1.5s) مما يجعله مثاليًا للتغذية الراجعة السريعة للمطورين ومهام CI/CD الخفيفة.
• رموز خروج حتمية مغلقة عند الفشل: يُرجع 0 عند الحالة النظيفة و1 عند انتهاكات [CRITICAL] / [HIGH] الحاجبة.

2. 🔍 اختبار أمان التطبيقات الساكن الهجين عبر AST (TRISU-SAST / ZTC)

• تحليل شجرة الصياغة المجرّدة (AST): يفحص أشجار مصدر Python تلقائيًا لاكتشاف أحواض التنفيذ الديناميكي المحظورة (eval()، exec())، وإلغاء التسلسل غير الآمن (pickle.load/loads، YAML غير المُحمّل)، وتنفيذ الصدفة الخطير (subprocess.run(shell=True)).
• فرض معالجة الأخطاء الحتمية (TRISU-ZTC-04): يحدد ويحجب كبت الاستثناءات العارية المفتوحة عند الفشل (except: pass)، مما يضمن أمانًا مغلقًا عند الفشل.
• منع الحدود والحقن (TRISU-ZTC-01): يكتشف سلاسل SQL f-strings غير المُعاملة، ودمج SQL الخام، وتجاوزات التحقق من TLS غير الآمنة (verify=False).

3. 🔑 بيانات اعتماد صفرية محيطة وفحص الأسرار (TRISU-ZTC-03)

• ماسح بيانات اعتماد متعدد المتجهات: يفحص جميع ملفات المستودع بحثًا عن مفاتيح AWS المكشوفة (AKIA*)، ورموز GitHub PATs (ghp_*)، ومفاتيح RSA/EC/SSH الخاصة، ورموز API المضمّنة.
• فرض بيانات الاعتماد في الوقت المناسب (JIT): يفرض استرجاع الهوية المؤقتة عبر اتحاد أحمال العمل والتصفير الفوري للذاكرة.

4. 📦 تحليل تكوين البرمجيات (SCA) وأمن سلسلة التوريد (TRISU-OSS)

• تثبيت تجزئة ملف القفل التشفيري (TRISU-OSS-01): يفرض تثبيت إصدار التبعية الدقيق مع تجزئات سلامة SHA-256، ويرفض نطاقات الإصدارات العائمة (>=، ~=).
• حوكمة تراخيص المصادر المفتوحة (TRISU-OSS-03): يحظر تلوث الحقوق المتروكة التقييدية (AGPL-3.0، SSPL، EUPL) في الإصدارات التجارية.
• الدفاع ضد انتحال الأسماء وارتباك التبعيات (TRISU-OSS-04): يكتشف أسماء الحزم المنتحلة أو الخبيثة أو المنتحلة.
• إثبات المصدر التشفيري (TRISU-OSS-06): يتحقق من مصدر SLSA المستوى 2+ وبيانات توقيع الحاويات.

5. 📋 قائمة مواد CycloneDX AI v1.6 المؤتمتة (TRISU-BOM / AI-BOM)

• توليد AI-BoM: ينتج بيانات CycloneDX v1.6 JSON متوافقة مع UUIDs وفق RFC-4122 (trisu bom --output ai-bom.json).
• شفافية النماذج والمطالبات: يسجّل تلقائيًا النماذج الأساسية (مثل Claude وGPT وGemma)، ومهام الاستدلال، ومخططات الإدخال/الإخراج، ومستويات المخاطر، وخصائص الحوكمة للتدقيق التنظيمي.

6. 🤖 احتواء الوكلاء المستقلين وصندوق أدوات MCP (TRISU-MCP)

• حواجز بروتوكول سياق النموذج (MCP): يفرض تعقيم المعاملات وقت التشغيل، وحدود حلقات التنفيذ التكراري، والدفاع ضد حقن بيانات الاعتماد خارج النطاق (TRISU-MCP-01..06).
• حدود نطاق تأثير الوكيل: يقيّد تنفيذ أدوات الوكيل المستقل بعمليات أقل امتيازًا مع توقيع بشري إلزامي على الاستدعاءات المُعدِّلة (TRISU-ZTC-08).

7. ☁️ إطار CSPM متعدد السحابات للمؤسسات (TRISU-CSPM)

• 14 ضابطًا سحابيًا موحّدًا: وضع أمني موحّد عبر AWS وMicrosoft Azure وGoogle Cloud (GCP) وAlibaba Cloud (Aliyun) وOracle Cloud Infrastructure (OCI).
• تغطية نطاق عميقة: وضع Kubernetes (KSPM)، ووضع أمن البيانات (DSPM)، ومحيطات نماذج الذكاء الاصطناعي (AI-CSPM)، وأقفال كائنات تخزين WORM، والتحقق من IaC بالإزاحة اليسرى.

8. 👥 مشاركة بشرية بمفتاح مزدوج (HITL) وIAM الوكيلي (TRISU-AIAM)

• مظاريف بروتوكول الثقة الصفرية (ZTP): حزم اتصال منظمة ومُتحقق منها تشفيريًا بين الوكلاء عبر دورة حياة AIDLCAa متعددة الوكلاء المكوّنة من 8 مراحل.
• بوابات موافقة بمفتاح مزدوج: تتطلب العمليات الحرجة (مثل ترحيل المخطط، النشر الإنتاجي، رفع صلاحيات IAM) تصاريح موقّعة بشكل مشترك من دورين بشريين متميزين.
• اتحاد الهوية غير البشرية (NHI): يستبدل مفاتيح السحابة الثابتة بتبادل رموز RFC 8693 ومبادئ أحمال عمل SPIFFE/mTLS.

9. 🌐 تكامل DevSecOps الشامل لـ CI/CD وOASIS SARIF 2.1.0 (TRISU-SARIF)

• توليد OASIS SARIF 2.1.0: يصدّر CLI تقارير SARIF القياسية (--sarif) التي تُستوعب بسلاسة بواسطة GitHub Code Scanning وGitLab Security Dashboard وAzure DevOps وSonarQube.
• هيكلة جاهزة (trisu init): يهيّئ سير عمل GitHub Actions كاملًا، وخطافات pre-commit، وتوجيهات IDE في أقل من 30 ثانية.

10. 🖥️ لوحة الامتثال المرئية Sisu Nexus (SISU-UI)

• واجهة سيبرانية زجاجية: تطبيق ويب مستقل بالوضع الداكن يتميز باستكشاف مساحة الكود للمستودع في الوقت الفعلي، ورسوم بيانية للتبعيات النشطة، ومقاييس صحة الركائز المباشرة (SISU، TILLIT، DUGNAD).

🎯 الشخصيات وكيفية استخدام TriSuElla

🛡️ نموذج أمان الذكاء الاصطناعي ثلاثي الطبقات القائم على المخاطر أولًا

ينظّم TriSuElla الاستثمار الأمني وفقًا لمكان حدوث الخسارة التشغيلية والمالية في العالم الحقيقي:

graph TD
    L1["<b>Layer 1: Cyber Residual Risk Floor</b><br/>(~70% Loss Impact - Foundation: IAM, Secrets, Cloud, OS)"]
    L2["<b>Layer 2: AI / App Security</b><br/>(~20% Loss Impact - AI-Native: Prompt Injection, Semantic Guardrails, MCP Sandboxing)"]
    L3["<b>Layer 3: Technical & Operational Governance</b><br/>(~10% Loss Impact - Lifecycle: AI-BoM, NI-IAM, Drift, EU AI Act, DPDPA)"]
    
    L1 --> L2
    L1 --> L3
    L2 --> L3
    
    style L1 fill:#ff9966,stroke:#333,stroke-width:2px,color:#000
    style L2 fill:#66ccff,stroke:#333,stroke-width:2px,color:#000
    style L3 fill:#99ff66,stroke:#333,stroke-width:2px,color:#000

📊 ملخص القواعد والفحوصات الرئيسية (299 إجمالًا)

جميع القواعد مُجمّعة في TRISUELLA_MASTER_RULES_AND_CHECKS.md:

⚡ البدء السريع: 30 ثانية لحوكمة الإنتاج

1. مشغّلات جاهزة وتثبيت pip العام

يوفّر الإطار أغلفة جاهزة بدون إعداد وتغليف pip قياسي:

# Option A: Direct root wrapper (zero install)
.\trisu.cmd check        # Windows (cmd / powershell)
./trisu check            # Linux / macOS / Git Bash

# Option B: Global pip installation (accessible from any directory)
pip install -e tools/trisu-cli
trisu --help

2. هيّئ أي مشروع باستخدام trisu init

شغّل CLI لتهيئة حوكمة TriSuElla فورًا في مستودعك الحالي:

trisu init --target /path/to/my-repo

يقوم هذا تلقائيًا بتهيئة:

• .cursorrules (Cursor AI)
• CLAUDE.md (Claude Code / Claude Projects)
• .windsurfrules (Windsurf)
• .github/copilot-instructions.md (GitHub Copilot)
• trisuella.config.yaml (تكوين سياسة المشروع)
• .pre-commit-config.yaml (حاجب التزام git المحلي)
• .github/workflows/trisuella-gate.yml (بوابة PR لـ CI/CD)
• audit.md وTRISUELLA-AIDLCA-state.md (تتبع الحالة والامتثال)

3. شغّل تدقيقات السياسات وبوابات سلسلة التوريد

# Check repository artifact and drop-in template readiness
trisu check

# Run blocking security audit and export OASIS SARIF report
trisu audit --sarif audit.sarif

# Run Open Source Security (OSS) & supply chain audit
trisu oss --sarif oss.sarif

# Scan codebase for Shadow AI, undeclared models & gateway bypasses
trisu shadow --sarif shadow.sarif

# Validate all 204 rule identifiers and inspect domain breakdown
trisu rules

# Generate a CycloneDX AI v1.6 Bill of Materials (AI-BoM)
trisu bom --output ai-bom.json

📁 هيكل المستودع

OWASP-TriSuElla-AIDLCA-FrameWork/
├── README.md                              # Main project entrypoint & quickstart (v3.0)
├── Usage-Guide.md                         # Comprehensive step-by-step master usage guide
├── TRISUELLA_MASTER_RULES_AND_CHECKS.md   # Unified master rulebook (305 checks, 204 rules)
├── ai-bom.json                            # Machine-readable CycloneDX AI v1.6 BoM
├── trisuella.config.yaml                  # Declarative policy & Multi-Cloud CSPM manifest
├── CLAUDE.md & .cursorrules               # Local IDE workspace assistant rules
├── trisu.cmd & trisu                      # Turnkey CLI wrappers for Windows & Unix
├── LICENSE                                # Open-source Apache-2.0 license
├── templates/                             # Drop-in templates for all IDEs & CI/CD
│   ├── .cursorrules                       # Cursor IDE rules
│   ├── CLAUDE.md                          # Claude Code instructions
│   ├── .windsurfrules                     # Windsurf rules
│   ├── copilot-instructions.md            # GitHub Copilot instructions
│   ├── trisuella.config.yaml              # Declarative policy & CSPM manifest
│   ├── .pre-commit-config.yaml            # Git pre-commit hook
│   └── .github/workflows/trisuella-gate.yml # GitHub Actions PR gate
├── tools/
│   ├── trisu-cli/                         # Gatekeeper CLI (check, audit, oss, init, bom, rules)
│   │   ├── trisu_validator.py             # Python engine with AST parser & supply chain scanner
│   │   ├── pyproject.toml & setup.py      # Pip package definition for global 'trisu' command
│   │   └── README.md                      # CLI usage manual
│   └── sisu-ui/                           # Sisu Nexus visual compliance dashboard
│       ├── index.html                     # Web UI dashboard
│       ├── sisu-ui-design-spec.md         # UI architecture & KPIs spec
│       └── sample-data/                   # Demo compliance & governance dataset
├── TRISUELLA-AIDLCA-Rules/                # Core specifications, workflows & prompts
│   ├── README.md & CHARTER.md             # Philosophy, severity scale & charter
│   ├── FULL_README.md                     # Comprehensive manual, CSPM crosswalk & changelog
│   ├── TRISUELLA-AIDLCA-rules/            # core-workflow.md (active agent prompt)
│   ├── TRISUELLA-AIDLCA-rule-details/     # Modular extensions (MCP, EU AI, Zero Trust, CSPM)
│   ├── prompts/                           # Turnkey prompt library (P, B, T, A, C series)
│   └── docs/                              # Developer guides (faq, which-extensions, vibe-coding)
├── TRISUELLA-AIDLCAa/                     # 8-Stage Autonomous Multi-Agent System
│   └── README.md                          # ZTP message protocol & Dual-Key HITL gates
├── TRISUELLA-AIDLCA-docs/                 # State tracker & crosswalk matrices
│   ├── TRISUELLA-AIDLCA-state.md          # Runtime workflow state & extension tracking
│   └── AICM-AIDLCA-Crosswalk.md           # CSA AICM v1.0.3 to TriSuElla crosswalk
└── Data-Source/                           # Regulatory baselines (RBI, ISO 42001, CSA AICM)

📜 ضمان الإنفاذ

يعمل TriSuElla وفق مبدأ الإنفاذ الثنائي الصارم:

• [CRITICAL] / [HIGH]: بوابة توقف ذرّية. يتوقف التنفيذ فورًا. تُحجب خطوط أنابيب توليد الكود والنشر حتى المعالجة.
• [MEDIUM] / [LOW]: استشاري. يتطلب تبريرًا موثّقًا وقبولًا موقّعًا من المشرف البشري في audit.md.

👤 المؤلف وقيادة المشروع

• المؤلف ومعماري الإطار: Bhaskar Puppala (PATEL)
• LinkedIn: linkedin.com/in/bhaskerkpatel
• المنظمة: OWASP TriSuElla Working Group

إصدار v3.2.0 المؤسسي — الأمان أولًا، أصيل بالذكاء الاصطناعي. مبني لعصر الاستقلالية الوكيلية.