microsoft/agent-governance-toolkitRichtliniendurchsetzung, Zero-Trust-Identität, Ausführungssandboxing und Audit-Logging für autonome KI-Agenten. Deckt 10/10 des OWASP Agentic Top 10 mit deterministischer, fail-closed Governance ab.
🌍 English | Español | 日本語 | 简体中文 | 한국어 | 繁體中文
🚀 Schnellstart · 📋 Spezifikationen · 📦 PyPI · 📝 Changelog
-brightgreen){kind=icon}
[!IMPORTANT] Public Preview -- öffentliche Preview-Releases in Produktionsqualität. Vor GA können Breaking Changes auftreten.
Policy-Durchsetzung, Identität, Sandboxing und SRE für autonome KI-Agents. Ein pip install, jedes Framework.
Ihre KI-Agents rufen Tools auf, durchsuchen das Web, fragen Datenbanken ab und delegieren an andere Agents. Einmal bereitgestellt, treffen sie Entscheidungen autonom. Sie brauchen Antworten auf drei Fragen:
1. Ist diese Aktion erlaubt? Ein Agent mit Zugriff auf send_email und query_database sollte nicht in der Lage sein, drop_table auszuführen. OAuth-Scopes und IAM-Rollen steuern, welche Dienste ein Agent erreichen kann, nicht, was er tut, sobald er verbunden ist.
2. Welcher Agent hat das getan? In einem Multi-Agent-System teilen sich möglicherweise fünf Agents einen einzigen API-Schlüssel. Wenn etwas schiefgeht, ist „ein Agent war es" keine Incident Response.
3. Können Sie beweisen, was passiert ist? Auditoren und Regulierungsbehörden benötigen manipulationssichere Aufzeichnungen jeder Entscheidung: welche Policy aktiv war, was der Agent angefordert hat und warum es erlaubt oder verweigert wurde.
Sicherheit auf Prompt-Ebene („bitte befolge die Regeln") ist keine Kontrollfläche. Sie ist eine höfliche Bitte an ein stochastisches System. OWASP LLM01:2025 stellt dies explizit fest: „es ist unklar, ob es narrensichere Methoden zur Prävention von Prompt Injection gibt." Die veröffentlichten Zahlen belegen dies. Andriushchenko et al. (ICLR 2025) berichten von einer 100%igen Angriffserfolgsrate bei GPT-4o, GPT-3.5, Claude 3 und Llama-3 unter Verwendung adaptiver Angriffe mit Logprob-Zugriff und Suffix-Optimierung, evaluiert gegen den JailbreakBench-Benchmark (Chao et al., NeurIPS 2024). Microsofts eigener AI Red Teaming Agent formalisiert die Attack Success Rate (ASR), die Rate der Policy-Verstöße unter adversariellen Eingaben, als kanonische Metrik für diese Fehlerklasse. Lessons from Red Teaming 100 Generative AI Products unterstreicht den Punkt: „Mitigationen beseitigen Risiken nicht vollständig" und Red Teaming muss ein kontinuierlicher Prozess sein, weil Verteidigungen auf Modellebene konstruktionsbedingt probabilistisch sind.
AGT versucht nicht, diesen Kampf innerhalb des Prompts zu gewinnen. Jeder Tool-Aufruf, jede Nachricht und jede Delegation wird in deterministischem Anwendungscode abgefangen, bevor die Absicht des Modells die Leitung erreicht. Aktionen, die der AGT-Kernel verweigert, sind nicht „unwahrscheinlich". Sie sind strukturell unmöglich. Das ist der Unterschied zwischen einem Agent, den man bittet, sich zu benehmen, und einem, der unfähig ist, sich danebenzubenehmen.
Voraussetzungen: Python 3.11+
pip install "agent-governance-toolkit[full]"
Verwende das [full]-Extra für die untenstehenden Quick-Start-Importe. Das Basis-Wheel agent-governance-toolkit installiert nur die Compliance-CLI; die Governance-Module befinden sich in der konsolidierten Core-Distribution. Der agentmesh-Quick-Start-Import bleibt die aktuelle Wrapper-API. Der Import von agent_os gibt eine DeprecationWarning aus, da die alte agent-os-kernel-Distribution veraltet ist. Verwende agent-governance-toolkit-core (oder das [full]-Extra, das es enthält) als Ersatz-Distribution. Der Host-Code der Policy-Engine verwendet das ACS SDK; agt-policies stellt den Einweg-Migrationsbefehl von v4 auf v5 bereit. Das Regelmodell agent_os.policies vor ACS ist nicht mehr vorhanden, und BREAKING_CHANGES.md listet seine Ersetzungen auf.
Die Policy-Engine wird upstream als
agent-control-spec veröffentlicht.
agent-hooks definiert ihren
Interception-Vertrag. AGT behält die AgentControl-Host-APIs und Framework-Adapter in policy-engine/, nicht eine zweite Entscheidungs-Engine.
Dadurch bleibt die Policy-Auswertung an einem Ort. AGT kann Upstream-Fixes durch
ein Dependency-Update übernehmen, während die Host-APIs und Framework-Integrationen erhalten bleiben.
Siehe den ACS-Paketleitfaden für
den Unterschied zwischen Upstream-Paketen und den Kompatibilitäts-SDKs von AGT.
Für Claude Code füge AGT als Plugin-Marketplace hinzu und installiere das Governance-Plugin:
/plugin marketplace add microsoft/agent-governance-toolkit
/plugin install agt-governance@agent-governance-toolkit