rajsidwadkar/uap-protocol
Ein einheitliches, sicherheitsorientiertes Drahtprotokoll für Tool-Zugriff und Agentenkoordination. UAP eliminiert CVE-2025-49596 und MCP-Tool-Poisoning-Schwachstellen mithilfe von Ed25519-signierten CapabilityCards, obligatorischem mTLS, Keycloak-IdP-Authentifizierung und pro Aufruf ephemerer Docker-Sandboxing.
██╗ ██╗ █████╗ ██████╗
██║ ██║██╔══██╗██╔══██╗
██║ ██║███████║██████╔╝
██║ ██║██╔══██║██╔═══╝
╚██████╔╝██║ ██║██║
╚═════╝ ╚═╝ ╚═╝╚═╝
Universal Agent Protocol
A unified, security-first wire protocol for tool access, agent coordination, and structured RPC. Built to close CVE-2025-49596 and the class of tool-poisoning and sandbox-escape vulnerabilities that MCP left structurally open.
git clone https://github.com/RajSidwadkar/UAP-protocol
cd UAP-protocol
npm install
npx tsx scripts/generate-keypair.ts
docker compose -f docker-compose.dev.yml up -d
curl http://localhost:3000/health
# {"status":"ok","version":"1.0.0"}
Das startet Keycloak auf :8080 und das UAP Gateway auf :3000. Das Gateway erzwingt mTLS, verifiziert Ed25519-signierte CapabilityCards und führt jeden Tool-Aufruf in einem ephemeren Docker-Container aus. Es ist keine Konfiguration über das generierte Schlüsselpaar hinaus erforderlich.
graph TD
A[Client / Agent SDK] -->|mTLS + JWT + card_sig| B[UAP Gateway<br/>Fastify · port 3000]
B --> C{8-Stage Pipeline}
C --> C1[1 · Frame parse<br/>UapMessageFactory]
C1 --> C2[2 · Schema validate<br/>AJV against schema_ref]
C2 --> C3[3 · Token verify<br/>Keycloak JWKS · max 15 min]
C3 --> C4[4 · Scope enforce<br/>PermissionEnforcer]
C4 --> C5[5 · Card verify<br/>Ed25519 signature check]
C5 --> C6[6 · Sandbox execute<br/>Docker · CapDrop ALL · 128 MB]
C6 --> C7[7 · Audit emit<br/>AuditEventBus · non-blocking]
C7 --> C8[8 · Response<br/>UapResponseEnvelope]
B --> R[(Service Registry<br/>InMemory · Redis)]
B --> KC[(Keycloak IdP<br/>OAuth 2.1 · PKCE)]
B --> OT[(OpenTelemetry<br/>W3C TraceContext)]
B --> AU[(Audit Log<br/>append-only NDJSON)]
Hexagonale Schichten – die Domäne hat null I/O-Abhängigkeiten. Jedes Infrastruktur-Problem sitzt hinter einer typisierten Port-Schnittstelle. Tausche Docker gegen WASM, Keycloak gegen Auth0, Pino gegen einen SIEM-Exporter – null Auswirkungen auf die Domäne.
| Schicht | Inhalt | Abhängigkeiten |
|---|---|---|
| Domäne | UapEnvelope, CapabilityCard, AuditEvent, Task | Keine – nur Stdlib |
| Anwendung | InvokeToolUseCase, DelegateTaskUseCase, ValidateCardUseCase | Nur Domänen-Ports |
| Infrastruktur | KeycloakAuthAdapter, DockerSandboxAdapter, Ed25519SignerAdapter, PinoAuditAdapter | App-Ports + externe Bibliotheken |
| Transport | UAP-RPC frame parser, Fastify gateway, SSE/WebSocket handlers | Infrastruktur + Domänen-Serialisierer |
| Merkmal | UAP | MCP | A2A | JSON-RPC 2.0 |
|---|---|---|---|---|
| Erforderliche Authentifizierung | ✅ mTLS + JWT immer | ❌ Optional | ⚠️ Nur API-Schlüssel | ❌ Keine |
| Metadatenintegrität von Tools | ✅ Ed25519-signierte Nutzlast | ❌ Post-Publish-Mutation möglich | ❌ Keine Signatur | ❌ Keine Signatur |
| Sandbox-Modell | ✅ Pro Aufruf ephemerer Docker | ⚠️ Nur Server-Ebene | ❌ Keine | ❌ Keine |
| Agentenerkennung | ✅ Hub-and-Spoke · N Verbindungen | ❌ N² direkt HTTP | ⚠️ DNS-basiert | ❌ Keine |
| Prüfpfad | ✅ Protokoll-eigener Nur-Anhängen-Log | ❌ Keine | ❌ Keine | ❌ Keine |
| Verteilte Ablaufverfolgung | ✅ W3C TraceContext verpflichtend | ❌ Keine | ❌ Keine | ❌ Keine |
| Schema-Validierung | ✅ AJV auf Transportebene | ⚠️ Optionales Zod | ❌ Keine | ❌ Keine |
| Token-Lebensdauerbegrenzung | ✅ 15 Min. erzwungen | ❌ Nicht erzwungen | ❌ Nicht erzwungen | ❌ N/A |
| Batch-Semantik | ✅ seriell · parallel · transaktional | �️ Nicht definiert | ❌ Keine | ⚠️ Mehrdeutig |
| Binäre Nutzlasten | ✅ Native Frames | ❌ Nur Base64 | ❌ Nur Base64 | ❌ Nur Base64 |
| IdP-Modell | ✅ Nur externer IdP | ❌ Server ist eigener OAuth-Anbieter | ⚠️ Variiert | ❌ Keine |
| Bridge-Adapter | ✅ MCP + A2A Bridges in Phase 2 | ❌ Keine Bridge | ❌ Keine Bridge | ❌ Keine Bridge |
| Horizontale Skalierung | ✅ Zustandslos · jeder Load Balancer | ❌ Sticky Sessions | ⚠️ Variiert | ❌ Keine |
CVE-2025-49596 (Tool-Poisoning durch unsignierte Metadaten). MCP-Toolbeschreibungen sind nach der Veröffentlichung veränderbar. Ein Angreifer kann nach der Bereitstellung bösartige Anweisungen in Tool-Namen oder -Beschreibungen einschleusen – der Client hat keine Möglichkeit, Manipulationen zu erkennen. UAP legt alle Tool-Metadaten in die Ed25519-signierte CapabilityCard-Nutzlast. Jede Mutation nach der Signatur macht die Signatur ungültig und das Gateway lehnt die Karte ab, bevor etwas ausgeführt wird.
CWE-284 / Sandbox-Escape-Klasse. MCP führt Tools auf Server-Prozessebene aus. Ein Path Traversal oder eine Prozessinjektion in einem beliebigen Tool erreicht das Host-Dateisystem und -Netzwerk. UAP erstellt pro Aufruf einen neuen Docker-Container – read-only rootfs, CapDrop: ALL, 128 MB RAM-Limit, Netzwerk standardmäßig deaktiviert. Der Container wird nach der Antwort zerstört. Es gibt keine persistente Angriffsfläche zwischen den Aufrufen.
CWE-287 / Confused-Deputy-Authentifizierung. MCP fungiert als eigener OAuth-Anbieter und ist sowohl Ressourcenserver als auch Autorisierungsserver. Dies ist das klassische Confused-Deputy-Muster. UAP trennt diese Rollen: Das Gateway ist ein reiner Ressourcenserver. Keycloak (oder ein beliebiger externer IdP) ist die alleinige Autorität. JWTs werden gegen einen entfernten JWKS-Endpunkt verifiziert und auf 15 Minuten hart begrenzt.
Jede UAP-Nachricht verwendet denselben Envelope. Der auth-Block trägt ein begrenztes JWT und einen Verweis auf die signierte CapabilityCard des Agents. Das Gateway verifiziert beide, bevor die Anfrage den Anwendungscode erreicht.
{
"uap": {
"version": "1.0",
"type": "tool_call",
"id": "01ARZ3NDEKTSV4RRFFQ69G5FAV",
"trace": {
"traceparent": "00-4bf92f3577b34da6a3ce929d0e0e4736-00f067aa0ba902b7-01"
},
"auth": {
"token": "eyJhbGciOiJSUzI1NiJ9...",
"scope": ["tool:read"],
"card_sig": "ed25519:a1b2c3d4..."
}
},
"method": "tools/invoke",
"schema_ref": "uap:tool.invoke/v1",
"params": {
"tool_id": "db:query",
"input": { "sql": "SELECT 1" }
},
"ack": true
}
UAP-protocol/
├── packages/
│ ├── gateway/ @uap/gateway — Fastify-basiertes UAP Gateway
│ ├── sdk-ts/ @uap/sdk-ts — TypeScript-Client + Server-SDK
│ └── sdk-py/ uap-sdk — Python-Async-SDK (httpx + FastAPI)
├── scripts/
│ ├── generate-keypair.ts — Ed25519-Schlüsselpaar für lokale Entwicklung
│ └── keycloak-bootstrap.ts — Idempotentes Keycloak-Realm-Setup
└── docker/
└── sandbox/ — Basis-Image für Zero-Trust-Tool-Ausführung
import { UapClient, ClientCredentialsTokenProvider } from "@uap/sdk-ts";
const client = new UapClient({
gatewayUrl: "https://gateway.example.com",
tokenProvider: new ClientCredentialsTokenProvider({
tokenUrl: process.env.TOKEN_URL!,
clientId: process.env.CLIENT_ID!,
clientSecret: process.env.CLIENT_SECRET!,
}),
});
const result = await client.invokeTool(
"db:query",
{ sql: "SELECT * FROM users LIMIT 10" },
["tool:read"]
);