🌍 Englisch | 日本語 | 简体中文 | 한국어

Agent Governance Toolkit

Bringen Sie Agenten in die Produktion, ohne schlaflose Nächte zu haben

🚀 Schnellstart · 📋 Spezifikationen · 📦 PyPI · 📝 Changelog

[!IMPORTANT] Öffentliche Vorschau – Produktionsreife öffentliche Vorschauversionen. Kann vor der allgemeinen Verfügbarkeit (GA) breaking changes enthalten.

Policy Enforcement, Identität, Sandboxing und SRE für autonome KI-Agenten. Ein pip install, jedes Framework.

Das Problem

Ihre KI-Agenten rufen Tools auf, durchsuchen das Web, fragen Datenbanken ab und delegieren an andere Agenten. Einmal bereitgestellt, treffen sie autonom Entscheidungen. Sie brauchen Antworten auf drei Fragen:

1. Ist diese Aktion erlaubt? Ein Agent mit Zugriff auf send_email und query_database sollte nicht in der Lage sein, drop_table auszuführen. OAuth-Bereiche und IAM-Rollen kontrollieren, welche Dienste ein Agent erreichen kann, nicht was er tut, sobald er verbunden ist.

2. Welcher Agent hat das getan? In einem Multi-Agenten-System könnten fünf Agenten einen einzigen API-Schlüssel teilen. Wenn etwas schief geht, ist „Ein Agent hat es getan“ keine Incident-Response.

3. Können Sie beweisen, was passiert ist? Prüfer und Aufsichtsbehörden benötigen manipulationssichere Aufzeichnungen jeder Entscheidung: welche Richtlinie aktiv war, was der Agent angefordert hat und warum sie erlaubt oder abgelehnt wurde.

Sicherheit auf Prompt-Ebene („Bitte befolgen Sie die Regeln“) ist keine Kontrollfläche. Es ist eine höfliche Bitte an ein stochastisches System. OWASP LLM01:2025 sagt dies explizit: „Es ist unklar, ob es narrensichere Methoden zur Prävention von Prompt Injection gibt.“ Die veröffentlichten Zahlen untermauern dies. Andriushchenko et al. (ICLR 2025) berichten von einer 100%igen Angriffserfolgsrate auf GPT-4o, GPT-3.5, Claude 3 und Llama-3 unter Verwendung adaptiver Angriffe mit Logprob-Zugriff und Suffix-Optimierung, bewertet anhand des JailbreakBench Benchmarks (Chao et al., NeurIPS 2024). Microsofts eigener AI Red Teaming Agent formalisiert die Angriffserfolgsrate (ASR), die Rate der Richtlinienverstöße unter adverser Eingabe, als die kanonische Metrik für diese Art von Fehlern. Lessons from Red Teaming 100 Generative AI Products verstärkt diesen Punkt: „Maßnahmen zur Risikominderung beseitigen das Risiko nicht vollständig“ und Red Teaming muss ein kontinuierlicher Prozess sein, da Abwehrmaßnahmen auf Modellebene von Natur aus probabilistisch sind.

AGT versucht nicht, diesen Kampf innerhalb des Prompts zu gewinnen. Jeder Tool-Aufruf, jede Nachrichtensendung und jede Delegierung wird im deterministischen Anwendungscode abgefangen, bevor die Absicht des Modells die Leitung erreicht. Aktionen, die der AGT-Kernel ablehnt, sind nicht „unwahrscheinlich“. Sie sind strukturell unmöglich. Das ist der Unterschied zwischen einem Agenten, den man bittet, sich zu benehmen, und einem, den man unfähig macht, sich falsch zu verhalten.

Schnellstart

Voraussetzungen: Python 3.10+```bash pip install agent-governance-toolkit[full]

Für Claude Code, füge AGT als Plugin-Marktplatz hinzu und installiere das Governance-Plugin:```text
/plugin marketplace add microsoft/agent-governance-toolkit
/plugin install agt-governance@agent-governance-toolkit

Steuere jede Werkzeugfunktion in zwei Zeilen:```python from agentmesh.governance import govern

safe_tool = govern(my_tool, policy="policy.yaml") # every call checked, logged, enforced

Das war's. `safe_tool` wertet Ihre YAML-Richtlinie bei jedem Aufruf aus, protokolliert die Entscheidung und wirft `GovernanceDenied`, wenn die Aktion blockiert ist.```yaml
# policy.yaml
apiVersion: governance.toolkit/v1
name: production-policy
default_action: allow
rules:
  - name: block-destructive
    condition: "action.type in ['drop', 'delete', 'truncate']"
    action: deny
    description: "Destructive operations require human approval"

  - name: require-approval-for-send
    condition: "action.type == 'send_email'"
    action: require_approval
    approvers: ["security-team"]

Alle Funktionen und Fähigkeiten wurden auf iOS 14 und höher getestet.```python

safe_tool(action="read", table="users") {'table': 'users', 'rows': 42}

safe_tool(action="drop", table="users") GovernanceDenied: Action denied by policy rule 'block-destructive': Destructive operations require human approval

Oder verwenden Sie die vollständige `PolicyEvaluator`-API für programmatische Kontrolle:

<details>
<summary><b>PolicyEvaluator-Beispiel</b></summary>```python
from agent_os.policies import (
    PolicyEvaluator, PolicyDocument, PolicyRule,
    PolicyCondition, PolicyAction, PolicyOperator, PolicyDefaults
)

evaluator = PolicyEvaluator(policies=[PolicyDocument(
    name="my-policy", version="1.0",
    defaults=PolicyDefaults(action=PolicyAction.ALLOW),
    rules=[PolicyRule(
        name="block-dangerous-tools",
        condition=PolicyCondition(
            field="tool_name",
            operator=PolicyOperator.IN,
            value=["execute_code", "delete_file"]
        ),
        action=PolicyAction.DENY, priority=100,
    )],
)])

result = evaluator.evaluate({"tool_name": "web_search"})    # Allowed
result = evaluator.evaluate({"tool_name": "delete_file"})   # Blocked

.NET```csharp
using AgentGovernance;
using AgentGovernance.Extensions.ModelContextProtocol;
using AgentGovernance.Policy;

var kernel = new GovernanceKernel(new GovernanceOptions
{
    PolicyPaths = new() { "policies/default.yaml" },
});
var result = kernel.EvaluateToolCall("did:mesh:agent-1", "web_search",
    new() { ["query"] = "latest AI news" });

// MCP server integration
builder.Services.AddMcpServer()
    .WithGovernance(options => options.PolicyPaths.Add("policies/mcp.yaml"));

**Go**```go
import agentmesh "github.com/microsoft/agent-governance-toolkit/agent-governance-golang"

client, _ := agentmesh.NewClient("my-agent",
    agentmesh.WithPolicyRules([]agentmesh.PolicyRule{
        {Action: "data.read", Effect: agentmesh.Allow},
        {Action: "*", Effect: agentmesh.Deny},
    }),
)
result := client.ExecuteWithGovernance("data.read", nil)

CLI-Werkzeuge:```bash agt doctor # check installation agt verify # OWASP compliance check agt verify --evidence ./agt-evidence.json --strict # fail CI on weak evidence agt red-team scan ./prompts/ --min-grade B # prompt injection audit agt lint-policy policies/ # validate policy files

Vollständige Anleitung: [quickstart.md](https://github.com/microsoft/agent-governance-toolkit/blob/HEAD/docs/quickstart.md) -- von null zu verwalteten Agenten in 5 Minuten.
🌍 Auch in: [日本語](https://github.com/microsoft/agent-governance-toolkit/blob/HEAD/docs/i18n/quickstart.ja.md) | [简体中文](https://github.com/microsoft/agent-governance-toolkit/blob/HEAD/docs/i18n/quickstart.zh-CN.md) | [한국어](https://github.com/microsoft/agent-governance-toolkit/blob/HEAD/docs/i18n/quickstart.ko.md)

---

## So funktioniert es```
Agent ──► Policy Engine ──► Identity ──► Audit Log
            (YAML/OPA/Cedar)  (SPIFFE/DID/mTLS)  (Tamper-evident)
                 │                                      │
                 ├── Allowed ──► Tool executes           │
                 └── Denied  ──► GovernanceDenied        │
                                                        ▼
                                                 Decision Record

Jede Schicht ist optional. Beginnen Sie mit govern() und fügen Sie Schichten hinzu, wenn Ihr Risikoprofil wächst. Die meisten Teams führen Richtliniendurchsetzung + Audit-Protokollierung durch und benötigen nie den vollständigen Stapel.

Pakete

Zusätzliche Fähigkeiten

Installieren

Alle fünf Sprach-SDKs implementieren Kern-Governance (Richtlinien, Identität, Vertrauen, Audit). Python hat den vollständigen Stapel. Copilot CLI und Claude Code sind erstklassige Entwickleroberflächen, die auf dem TypeScript-SDK aufbauen. Siehe Sprachpaket-Matrix für detaillierte pro-Sprache-Abdeckung.

Voraussetzungen

• Python: 3.10+
• Node.js: 18+ / npm 9+ (TypeScript SDK)
• .NET: 8+
• Go: 1.25+
• Rust: 1.70+
• Optional: AZURE_CLIENT_ID, AZURE_TENANT_ID, AZURE_CLIENT_SECRET für Azure-integrierte Funktionen

Framework-Unterstützung

Vollständige Liste: Framework-Integrationen · Quickstart-Beispiele

Beispiele

Spezifikationen

Jede Hauptkomponente hat eine formale RFC 2119-Spezifikation mit Konformitätstests. Diese Spezifikationen definieren den Verhaltensvertrag: was Implementierungen TUN MÜSSEN, SOLLTEN und DÜRFEN.

992 Konformitätstests stellen sicher, dass der Code mit den Spezifikationen übereinstimmt. 29 Architekturentscheidungsprotokolle dokumentieren warum.

Standards-Compliance

Sicherheit

AGT setzt Governance auf der Anwendungs-Middleware-Ebene durch, nicht auf der OS-Kernel-Ebene. Die Richtlinien-Engine und die Agents teilen sich dieselbe Prozessgrenze.

Produktionsempfehlung: Führen Sie jeden Agent in einem separaten Container für OS-Isolation aus. Siehe Architektur: Sicherheitsgrenzen.

Siehe Bekannte Einschränkungen für ehrliche Designgrenzen und empfohlene mehrschichtige Verteidigung.

Dokumentation

Mitwirken

Mitwirkungsleitfaden · Community · Discord · Sicherheitsrichtlinie · Änderungsprotokoll

AGT im Einsatz? Fügen Sie Ihre Organisation zu ADOPTERS.md hinzu.

Governance

Wichtige Hinweise

Wenn Sie das Agent Governance Toolkit verwenden, um Anwendungen zu erstellen, die mit Drittanbieter-Agent-Frameworks oder -Diensten arbeiten, tun Sie dies auf eigenes Risiko. Wir empfehlen, alle Daten zu überprüfen, die mit Drittanbieterdiensten geteilt werden, und sich der Praktiken Dritter bezüglich Aufbewahrung und Standort von Daten bewusst zu sein.

Offizielle Quellen

Die einzigen offiziellen Quellen für das Agent Governance Toolkit sind:

Das Projektteam unterhält oder befürwortet keine Drittanbieter-Websites, -Pakete oder -Dokumentationsseiten, die behaupten, offiziell zu sein. Wenn Sie eine verdächtige Website oder ein verdächtiges Paket mit dem Namen Agent Governance Toolkit finden, melden Sie dies bitte über die in SECURITY.md beschriebenen Kanäle.

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert.

Marken

Dieses Projekt kann Marken oder Logos für Projekte, Produkte oder Dienstleistungen enthalten. Die autorisierte Verwendung von Microsoft-Marken oder -Logos unterliegt und muss den Microsoft Marken- und Markenrichtlinien folgen. Die Verwendung von Microsoft-Marken oder -Logos in modifizierten Versionen dieses Projekts darf keine Verwirrung stiften oder eine Microsoft-Sponsoring implizieren. Die Verwendung von Marken oder Logos Dritter unterliegt den Richtlinien dieser Dritten.