AegisGraph — Plataforma de Ingeniería

Descubrimiento automatizado de vulnerabilidades basado en grafos para aplicaciones de mensajería segura. Implementación de ingeniería de 577 Industries para el tema HR0011SB20254-12 (ASEMA) de DARPA SBIR Directo a Fase II.

¿Buscas artefactos orientados al evaluador? La versión pública sanitizada de viabilidad reside en 577-Industries/asema-feasibility-artifacts en la etiqueta v1.0.0-asema-dp2-feasibility. Empieza allí si estás verificando las afirmaciones de la propuesta ASEMA.

Qué Contiene Este Repo

La plataforma de ingeniería — la implementación real detrás de AegisGraph:

Inicio rápido

git clone https://github.com/577Industries/aegisgraph
cd aegisgraph
git checkout v1.0.0-tier3-research

# Recomendado: usar el devcontainer fijado
devcontainer up
make tooling-strict                # verificar cadena de herramientas fijada
python3 -m pytest -q               # esperar 1030 aprobadas, 19 omitidas

# Pruebas de humo por motor
make reprochain-map                # mapeo de alcanzabilidad de ReproChain
make polydiff-regression           # regresión del analizador diferencial de PolyDiff (8 redescubrimientos históricos de CVE)
make extract                       # extracción estática sobre SMAs fijados
make smabench                      # generación de benchmark SMABench
make validate                      # validación de evidencia + CETM
make reproduce                     # pipeline de reproducción completa

El punto de entrada CLI es aegisgraph tras la instalación, o python3 -m aegisgraph.cli desde este checkout.

Postura de Investigación

• Solo investigación defensiva de ciberseguridad. Sin sondeo activo de objetivos, interacción con cuentas de producción, pruebas con credenciales ni escaneo sin autorización por escrito.
• Sin cargas útiles armadas en artefactos públicos (los bytes que desencadenan crashes son solo hash; los stack traces sin procesar permanecen del lado de ingeniería).
• Sin redistribución de código fuente objetivo sin procesar. Trabajamos desde anclajes de fuente pública (Signal Android y Element X Android fijados por commit).
• Artefactos públicos controlados por make export-public-sanitized y aprobación humana explícita antes de su publicación.
• Falseabilidad. Una prueba de corrupción deliberada en el validador confirma que la introducción de un patrón prohibido, un marcador de redistribución de fuente objetivo o una discrepancia en la clave del vector de puntuación es detectada y rechazada — la disciplina es comprobable, no solo declarada.

Pruebas

• 1030 pruebas aprobadas en el corte v1.0 (etiqueta v1.0.0-tier3-research, commit d91c1df6)
• 19 omitidas (condicionadas al aprovisionamiento de runner autoalojado según la tarea T-M4.1; devcontainer reduce el número de omitidas a 0)
• CI: .github/workflows/ci.yml se ejecuta al hacer push; reproduce.yml está if: false hasta que se aprovisione el runner autoalojado
• Comprobación de sanitización: validator/sanitize_check.py aplica 9 reglas en cada candidato de exportación pública antes de que cualquier artefacto salga de este repo

Registro de Decisiones

Las 14 ADR en docs/decision-log/ documentan cada decisión arquitectónica:

Lanzamientos + Etiquetas

• v1.0.0-tier3-research (actual, mayo 2026) — conjunto completo de 6 motores, 1030 pruebas aprobadas, Schema v2, CETM de 82 afirmaciones
• v0.3.0-tier3-research (mayo 2026) — línea base v0.3 (conservada como anclaje histórico)

El lanzamiento público de viabilidad correspondiente está en 577-Industries/asema-feasibility-artifacts:

• v1.0.0-asema-dp2-feasibility (actual) — paquete de figuras F15-F22, CETM de 82 afirmaciones, delta de herramientas de línea base, esquema polydiff v1.0, matriz de trazabilidad completa
• v0.3.0-asema-dp2-feasibility — anclaje histórico; conservado textualmente

Licencia

Apache-2.0. Ver LICENSE.

Fuente de Verdad

SPEC.md es la especificación técnica en funcionamiento. Si la implementación y la especificación divergen, actualiza la especificación deliberadamente.