AegisGraph — Entwicklungsplattform

Graph-gesteuerte automatisierte Schwachstellenerkennung für sichere Messaging-Anwendungen. Die Implementierung der 577 Industries für das DARPA SBIR Direct-to-Phase-II Thema HR0011SB20254-12 (ASEMA).

Auf der Suche nach evaluatororientierten Artefakten? Die bereinigte öffentliche Machbarkeitsveröffentlichung befindet sich unter 577-Industries/asema-feasibility-artifacts im Tag v1.0.0-asema-dp2-feasibility. Dort beginnen, wenn Sie Behauptungen im ASEMA-Vorschlag überprüfen möchten.

Was dieses Repository enthält

Die Entwicklungsplattform – die eigentliche Implementierung hinter AegisGraph:

Schnellstart

git clone https://github.com/577Industries/aegisgraph
cd aegisgraph
git checkout v1.0.0-tier3-research

# Empfohlen: den festgepinnten Devcontainer verwenden
devcontainer up
make tooling-strict                # festgepinnte Toolchain überprüfen
python3 -m pytest -q               # erwartet 1030 bestanden, 19 übersprungen

# Pro-Engine-Smoke-Tests
make reprochain-map                # ReproChain-Erreichbarkeitskartierung
make polydiff-regression           # PolyDiff-Differential-Parser-Regression (8 historische CVE-Wiederentdeckungen)
make extract                       # statische Extraktion über festgepinnten SMAs
make smabench                      # SMABench-Benchmark-Generierung
make validate                      # Evidenz + CETM-Validierung
make reproduce                     # vollständige Reproduktions-Pipeline

Der CLI-Einstiegspunkt ist aegisgraph nach der Installation, oder python3 -m aegisgraph.cli aus diesem Checkout.

Forschungshaltung

• Nur defensive Cybersicherheitsforschung. Keine Live-Zielproben, Produktionskonten-Interaktion, berechtigte Tests oder Scannen ohne schriftliche Genehmigung.
• Keine bewaffneten Payloads in öffentlichen Artefakten (Absturzauslösende Bytes sind nur als Hash; rohe Stack-Traces bleiben entwicklungsseitig).
• Keine Weiterverteilung roher Zielquellen. Wir arbeiten von öffentlichen Quell-Ankern (commit-pinnierte Signal Android und Element X Android).
• Öffentliche Artefakte geschützt durch make export-public-sanitized und explizite menschliche Genehmigung vor Veröffentlichung.
• Falsifizierbarkeit. Ein absichtlicher Korruptions-Test im Validator bestätigt, dass das Einführen eines verbotenen Musters, Zielquellen-Weiterverteilungsmarkers oder Score-Vektor-Schlüsselkonflikts erkannt und abgelehnt wird – die Disziplin ist testbar, nicht nur behauptet.

Tests

• 1030 bestandene Tests beim Stand v1.0 (v1.0.0-tier3-research-Tag, Commit d91c1df6)
• 19 übersprungen (abhängig von der Bereitstellung selbstgehosteter Runner pro Aufgabe T-M4.1; Devcontainer reduziert übersprungene Anzahl auf 0)
• CI: .github/workflows/ci.yml läuft bei Push; reproduce.yml ist if: false, bis ein selbstgehosteter Runner bereitgestellt ist
• Sanitize-Check: validator/sanitize_check.py erzwingt 9 Regeln für jeden Kandidaten öffentlicher Exporte, bevor ein Artefakt dieses Repository verlässt

Entscheidungsprotokoll

Die 14 ADRs in docs/decision-log/ dokumentieren jede Architekturentscheidung:

Versionen und Tags

• v1.0.0-tier3-research (aktuell, Mai 2026) — vollständiges 6-Engine-Ensemble, 1030 bestandene Tests, Schema v2, 82-Behauptungen-CETM
• v0.3.0-tier3-research (Mai 2026) — v0.3-Baseline (als historischer Anker erhalten)

Die passende öffentliche Machbarkeitsveröffentlichung befindet sich unter 577-Industries/asema-feasibility-artifacts:

• v1.0.0-asema-dp2-feasibility (aktuell) — F15-F22-Abbildungspaket, 82-Behauptungen-CETM, Baseline-Tool-Delta, polydiff v1.0-Schema, vollständige Rückverfolgbarkeitsmatrix
• v0.3.0-asema-dp2-feasibility — historischer Anker; wörtlich erhalten

Lizenz

Apache-2.0. Siehe LICENSE.

Quelle der Wahrheit

SPEC.md ist die aktuelle technische Spezifikation. Wenn Implementierung und Spezifikation abweichen, aktualisieren Sie bewusst die Spezifikation.