Chaque action machine effectuée par votre agent doit franchir une frontière entre vos secrets et l'internet ouvert. Pipelock devient cette frontière lorsque l'agent est routé via son proxy, wrapper MCP, sandbox, modèle de confinement d'hôte ou topologie de déploiement en cluster. Il analyse le trafic sortant et entrant médié, bloque ou signale les attaques selon le mode, et enregistre une preuve signée de la décision.

---

## Vérifiez par vous-même

La plupart des outils de sécurité pour agents vous demandent de faire confiance à leur tableau de bord. Pipelock vous remet un reçu signé et vous permet de le vérifier vous-même, hors ligne, avec une clé que vous détenez. Pas de compte ni de serveur.

La démo intégrée lance des scénarios d'attaque réels, les bloque, et écrit des reçus signés ainsi que la clé publique sur le disque sans configuration ni réseau :```bash
pipelock demo --receipts-dir ./out                                   # runs attack scenarios, writes 7 signed receipts + signer.pub
pipelock verify-receipt "$(ls ./out/*.json | head -1)" --key ./out/signer.pub  # check a signature yourself (each receipt is <action-id>.json)

Deux notes d'honnêteté, énoncées d'emblée. La démo signe avec une clé éphémère qu'elle affiche pour l'exécution, ce qui prouve que les reçus sont cohérents en eux-mêmes plutôt que liés à une identité nommée. Le terrain de jeu public Pipelock est un chemin séparé qui vérifie par rapport à une clé que Pipelock publie. Et l'opérateur exécutant Pipelock détient la clé de signature, donc un reçu prouve ce que la limite a décidé et que le détenteur de la clé l'a signé, pas que l'opérateur est honnête. `pipelock anchor receipts` enregistre les points de contrôle de la chaîne de reçus vers un backend local ou un journal de transparence Rekor pour un audit ultérieur, et la vérification indépendante de l'opérateur par rapport à ce point d'ancrage est encore en cours de preuve de bout en bout.

L'argument complet pour expliquer pourquoi la preuve l'emporte sur les promesses se trouve dans [démonstration plutôt qu'attestation](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/security/demonstration-over-attestation.md).

---

## Démarrage rapide```bash
# Install from source (Go 1.25+)
go install github.com/luckyPipewrench/pipelock/cmd/pipelock@latest

# Set up local agent integrations and generate a config
pipelock init

# Test the scanner
pipelock check --url "https://evil.com/?k=AKIAIOSFODNN7EXAMPLE"  # blocked: AWS Access ID
pipelock check --url "https://docs.python.org/3/"                # allowed

- **Analyse des entrées :** Les requêtes du client MCP sont vérifiées pour les fuites DLP et les injections dans les arguments des outils.
- **Analyse des réponses :** Les réponses du serveur sont analysées avant que l'agent ne les voie.
- **Empoisonnement des outils :** Les descriptions de `tools/list` sont vérifiées pour détecter des instructions cachées et des changements de dernière minute (« rug-pull ») en cours de session.
- **Politique d'outils :** 17 règles intégrées bloquent les suppressions destructrices de fichiers, l'accès aux identifiants, les shells inversés, les mécanismes de persistance, l'exécution de commandes encodées et autres appels d'outils à haut risque avant leur exécution.
- **Chaînes d'appels d'outils :** 10 modèles d'axe de catégorie intégrés détectent les chaînes de reconnaissance, de vol d'identifiants, de préparation des données, de persistance, d'exfiltration et de rappel avec une tolérance d'écart configurable.
- **Inspection A2A :** Le trafic du protocole Agent-to-Agent de Google est inspecté sur les chemins forward et MCP ; Pipelock n'est pas un proxy A2A autonome.
- **Écouteurs HTTP MCP authentifiés (v3.2.0) :** Les écouteurs MCP non-loopback échouent en mode fermé par défaut et nécessitent `--mcp-auth-token-file`, ou un `--mcp-allow-unauthenticated` explicite pour les déploiements isolés par politique réseau. Les écouteurs loopback sans jeton rejettent les autorités hôte de type DNS-rebound et de port incorrect, et suppriment les identifiants des écouteurs des en-têtes.

### Confinement

Le confinement des processus non privilégiés utilise des primitives natives du système d'exploitation. Linux utilise Landlock, seccomp et les espaces de noms réseau. macOS utilise les profils `sandbox-exec`. Dans les conteneurs, `--best-effort` conserve Landlock et seccomp lorsque la création d'espaces de noms est restreinte, tandis que l'analyse réseau utilise un routage basé sur un proxy.```bash
pipelock sandbox --config pipelock.yaml -- python agent.py
pipelock sandbox --best-effort -- python agent.py
pipelock mcp proxy --sandbox --config pipelock.yaml -- npx server

`pipelock contain install / run / verify / rollback / add-tool / grant-workspace / revoke-workspace / ca-refresh` gère un modèle à 3 UID (opérateur / proxy / agent) avec routage par correspondance de propriétaire nftables, configuration de service systemd, commandes d'encapsulation, ACL d'espace de travail, actualisation de l'AC et preuve de posture. Voir [`docs/contain-cli.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/contain-cli.md).

### Preuves et Reçus

- **Enregistreur de vol :** journal de preuves JSONL chaîné par hachage avec points de contrôle signés Ed25519 et rédaction DLP. `pipelock init` provisionne un répertoire d'enregistreur et une clé de signature pour les installations standard, tandis que l'enregistreur reste inactif jusqu'à ce qu'un répertoire et une clé existent. Voir [Flight Recorder](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/flight-recorder.md).
- **Reçus d'action :** enregistrements signés émis pour les actions médiatisées, contenant le verdict, le hachage de la politique, le transport et la couche de scanner. Les blocages produisent des reçus ; l'application des reçus sur les chemins autorisés nécessite `flight_recorder.require_receipts`. Vérifier avec `pipelock verify-receipt --key <signer.pub>`. Les exécutions non épinglées sont structurelles uniquement et se terminent avec un code non nul sauf si `--allow-unpinned` est passé.
- **Enveloppe de médiation :** métadonnées de bande latérale RFC 8941 sur les requêtes HTTP transférées et `_meta` MCP, avec type d'action, verdict, identité de l'acteur, hachage de la politique, contexte de contamination et ID de corrélation de reçu. Voir [guide de fédération](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md).
- **Conformité des reçus :** quatre implémentations indépendantes de vérificateur multilingue (Go, TypeScript, Rust et Python) exécutées sur un [corpus de conformité](https://github.com/luckypipewrench/pipelock/blob/HEAD/sdk/conformance/) partagé, incluant des entrées malformées et falsifiables telles que des clés en double, des dépassements d'entiers et des paires de substitution non appariées. Une surface wasm de navigateur réutilise l'implémentation du vérificateur Go. L'évaluation AARP/SVID reste un profil de vérificateur hors ligne, pas une application d'identité en cours d'exécution.
- **Ancrages :** `pipelock anchor receipts` enregistre les points de contrôle de la chaîne de reçus vers un backend local ou Rekor. L'ancrage Rekor est une preuve matérielle pour un audit ultérieur ; la vérification Rekor nécessite des clés de journal épinglées et le chemin d'indépendance opérateur de bout en bout est encore en cours de validation.
- **Capsule de posture :** `pipelock posture emit` et `pipelock posture verify` produisent et vérifient un instantané signé de la posture d'application d'un déploiement, avec une passerelle CI et un modèle de notation, afin qu'un réviseur puisse confirmer que la frontière a été configurée comme revendiqué.

### Flotte et Entreprise

- **Tableau de bord opérateur :** `pipelock dashboard serve` est une console en lecture seule sur des preuves signées. Pro déverrouille les vues Vue d'ensemble, Preuves, Exemptions, Agents, Budgets et Confiance & Clés ; Enterprise ajoute les vues Flotte, Atelier et Incident. Voir [`docs/cli/dashboard.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/dashboard.md).
- **Visionneuse de preuves gratuite :** `pipelock evidence serve` et `pipelock evidence view` affichent une session d'enregistreur sélectionnée sans licence ni énumération inter-agents. `pipelock evidence verify-cert` vérifie hors ligne les certificats de couverture émis par Pro.
- **Conductor :** plan de contrôle de flotte Enterprise pour la distribution de bundles de politique signés, le puits de preuves signées (`pipelock fleet-sink`), l'inscription, la mise à mort à distance, le rollback, le dry-run, la relecture de décisions, et le prévol de dérive runtime/apply-state via mTLS/SPIFFE. Les suiveurs appliquent localement ; le mode de politique périmée par défaut engage une source de refus indépendante après sa fenêtre de grâce, tandis que la surcharge documentée `continue_last_known_good` affaiblit cette posture. Conductor ne détient aucun secret d'agent. Voir le [guide Conductor](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/conductor.md).
- **Conservation légale :** `pipelock dashboard legal-hold add/list/release` gère les obligations de conservation comme métadonnées de conformité conservées en dehors de l'autorité HTTP du tableau de bord, de sorte qu'un tableau de bord compromis puisse lire les obligations mais jamais les falsifier ou les supprimer.
- **Ligne de base comportementale :** profilage puis verrouillage du comportement des outils MCP avec `pipelock baseline list/show/ratify/forget` pour approbation et réapprentissage par l'opérateur. Voir [`docs/cli/baseline.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/baseline.md).

### Opérabilité

- **Interrupteur d'arrêt :** six sources d'activation indépendantes : fichier de configuration, API distante, SIGUSR1, fichier sentinelle, mise à mort à distance par Conductor et détection de bundle périmé. Toute source active bloque le trafic, avec des exemptions de point d'extrémité et d'IP dans le contrôleur.
- **API de scan :** analyse programmatique pour les verdicts `url`, `dlp`, `prompt_injection` et `tool_call` avec authentification par jeton porteur, limitation de débit par jeton, résultats structurés et métriques Prometheus. Voir [docs/scan-api.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/scan-api.md).
- **Sentinelle du système de fichiers :** surveille les répertoires de travail des agents pour détecter les secrets écrits sur le disque et attribue les écritures à la lignée de sous-processus MCP sur Linux. Voir [docs/guides/filesystem-sentinel.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/filesystem-sentinel.md).
- **Émission d'événements :** transmet les événements d'audit aux SIEM, récepteurs webhook, syslog, CEF, OTLP et sorties métriques sans bloquer le chemin chaud du proxy. Voir [docs/guides/siem-integration.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/siem-integration.md).
- **Évaluation de sécurité :** `pipelock assess init`, `pipelock assess run` et `pipelock assess finalize` orchestrent la simulation d'attaque, la notation de configuration, la vérification d'installation et la découverte MCP dans un bundle de preuves reproductible. Les expositions critiques, telles que les serveurs MCP non protégés, plafonnent la note quel que soit le score numérique. Le résumé gratuit montre votre note, les scores par section et les principales conclusions ; une licence déverrouille le rapport complet avec les conclusions spécifiques au serveur, les commandes de correction et les preuves signées Ed25519.

<details>
<summary>Plus de fonctionnalités</summary>

| Fonctionnalité | Ce qu'elle fait |
|---------|-------------|
| **Rapports d'audit** | `pipelock report --input events.jsonl` génère des rapports HTML/JSON/bundle avec évaluation des risques, chronologie et annexe de preuves. Signature Ed25519 avec `--sign`. ([Exemple de rapport](https://github.com/luckypipewrench/pipelock/blob/HEAD/examples/sample-report.html)) |
| **Diagnostic** | `pipelock diagnose` exécute 7 vérifications locales pour valider votre configuration de bout en bout sans réseau. |
| **Docteur d'application** (v2.5) | `pipelock doctor` signale l'état configuré vs exécutable pour le proxy, l'interception TLS, l'analyse du corps des requêtes, Browser Shield, l'encapsulation MCP, l'intégrité binaire MCP, la provenance des outils, file_sentry, Sentry et les signaux de limite de déploiement. |
| **Blocage d'injection dans le corps de la requête** (v2.5) | Les constatations d'injection d'invite dans le corps de la requête et de DLP critique bloquent durement les destinations non fournisseurs en mode enforcement sur les transports forward, reverse, TLS-intercept et WebSocket, avec des en-têtes de motif de blocage pour un diagnostic visible par l'opérateur. |
| **Politique de requête** (v2.6) | Rails autoriser par défaut / refuser / avertir sur les opérations API sortantes : correspondance de route plus prédicats d'opération GraphQL, récursion dans les enveloppes JSON `$batch`, échec fermé sur les corps non analysables ou opaques, et exécution avant la porte contractuelle. Voir le [guide de politique de requête](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/request-policy.md). |
| **Interception TLS** | MITM de tunnel CONNECT optionnel : déchiffrer, analyser les corps/en-têtes/réponses, rechiffrer. `pipelock tls init` génère une AC, puis `pipelock tls install-ca` affiche les étapes d'installation dans le magasin de confiance de la plateforme. |
| **Indices de blocage** | L'option `explain_blocks: true` ajoute des suggestions de correction aux réponses bloquées. |
| **Audit de projet** | `pipelock audit ./project` analyse les risques de sécurité et génère une configuration adaptée. |
| **Notation de configuration** (v2.6) | `pipelock audit score --config pipelock.yaml` évalue la posture de sécurité dans 23 catégories avec un budget de 170 points et une note littérale. |
| **Intégrité des fichiers** | Les manifestes SHA256 détectent les fichiers modifiés, ajoutés ou supprimés dans l'espace de travail. |
| **Protection Git** | `git diff \| pipelock git scan-diff` capture les secrets avant le commit. |
| **Signature Ed25519** | Gestion des clés, signature de fichiers et vérification de signature pour la confiance multi-agent. |
| **Profilage de session** | Analyse comportementale par session pour les rafales de domaines et les pics de volume. |
| **Application adaptative** | Score de menace par session avec escalade de l'avertissement au blocage, minuteurs de désescalade et détection de rafales de domaines. |
| **CLI opérateur adaptatif** (v2.5) | `pipelock adaptive status / flush / whoami` expose l'état adaptatif d'exécution via l'API admin authentifiée. Voir [`docs/cli/adaptive.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/adaptive.md). |
| **Suppression de constatations** | Silencer les faux positifs connus via des règles de configuration ou des commentaires inline `pipelock:ignore`. |
| **Support multi-agent** | Identification des agents via l'en-tête `X-Pipelock-Agent` pour le filtrage par agent. |
| **Surveillance de flotte** | Métriques Prometheus par instance plus [tableau de bord Grafana](https://github.com/luckypipewrench/pipelock/blob/HEAD/configs/grafana-dashboard.json) prêt à importer. Surveillance gratuite d'instance unique, distincte de Conductor. |
| **Tableau de bord opérateur** (v3.1, Pro/Enterprise) | `pipelock dashboard serve` donne des vues en lecture seule Vue d'ensemble, Preuves, Exemptions, Agents, Budgets, Confiance & Clés, Flotte, Atelier et Incident avec authentification par jeton, OIDC ou mTLS, RBAC limité, élévation de vue brute, sauvegarde/restauration, enregistrements de cycle de vie d'exemption et certificats de couverture. Voir [`docs/cli/dashboard.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/dashboard.md). |
| **Visionneuse de preuves gratuite** (v3.1) | `pipelock evidence serve` sert une session d'enregistreur sélectionnée comme rapport HTML en lecture seule sans licence et sans énumération inter-agents. `pipelock evidence verify-cert` vérifie hors ligne les certificats de couverture émis par Pro. |
| **Conductor : plan de contrôle de flotte** (v2.7, Enterprise) | Distribution de bundles de politique signés, puits d'audit de preuves signées (`pipelock fleet-sink`), inscription, mise à mort à distance, rollback de politique, dry-run, relecture de décisions et prévol de dérive runtime/apply-state via mTLS/SPIFFE. Contrôlé par la fonctionnalité de licence `fleet` ; le comportement en politique périmée est explicite et par défaut à refus strict. Voir le [guide Conductor](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/conductor.md). |
| **Analyse A2A** | Détection d'empoisonnement de carte d'agent, surveillance de dérive de carte et prévention de contrebande de session pour le protocole Agent-to-Agent de Google sur les chemins forward/MCP. |
| **Ligne de base comportementale** | Profilage puis verrouillage du comportement des outils MCP avec `pipelock baseline list/show/ratify/forget` pour approbation et réapprentissage par l'opérateur. Voir [`docs/cli/baseline.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/baseline.md). |
| **Refus de portefeuille** | Budgets MCP par agent pour le nombre total d'appels d'outils, les tentatives répétées du même outil, la détection de boucle/cycle et la durée horloge murale. |
| **Escalade de contamination** | Escalade de politique basée sur l'exposition à travers les frontières MCP et de tâches jusqu'à ce que la confiance soit restaurée. |
| **Enveloppe de médiation** | Métadonnées de bande latérale RFC 8941 sur les requêtes HTTP transférées et `_meta` MCP, avec vérification entrante, protection contre la relecture, format d'acteur SPIFFE et répertoire de clés de signature RFC 9421. Voir [guide de fédération](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md). |
| **Conformité des reçus** | Suite de vérification de reçus inter-implantations (`sdk/conformance/`) à travers des implémentations indépendantes Go, TypeScript, Rust et Python, plus une surface wasm de navigateur soutenue par Go. `EvidenceReceipt v2` utilise la canonicalisation RFC 8785/JCS. L'évaluation AARP/SVID reste côté vérificateur hors ligne. |
| **Apprentissage et verrouillage** (v2.4) | Contrats comportementaux par agent : observer le trafic, compiler un contrat candidat signé, rejouer les observations capturées en shadow, ratifier par règle, promouvoir le manifeste actif signé et appliquer en direct sur les transports porteurs d'URL et les appels d'outils MCP. Voir le [guide d'apprentissage et verrouillage](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/learn-and-lock.md). |
| **En-tête de motif de blocage** (v2.4) | `X-Pipelock-Block-Reason` sur les chemins de blocage compatibles HTTP, avec le même vocabulaire de raison sur les métadonnées d'erreur JSON-RPC MCP. Voir [en-tête de motif de blocage](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/block-reason-header.md). |
| **Chien de garde de détection de coin** (v2.4) | `health_watchdog` renvoie `/health` 503 lorsqu'un battement de cœur de sous-système devient obsolète. Voir [guide de point d'extrémité santé](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/health.md). |
| **Forme de plugin de fournisseur de rédaction** (v2.4) | Analyseurs de rédaction propriétaires pour les API de chat Anthropic, OpenAI et Gemini, avec une forme de plugin de fournisseur pour les analyseurs tiers. |
| **Schéma de paquet d'audit v0 + vérificateurs** (v2.5) | Schéma de paquet d'audit canonique propriétaire avec implémentations de vérificateur Go, TypeScript et Rust, plus CLI [`pipelock-verifier`](https://github.com/luckypipewrench/pipelock/blob/HEAD/cmd/pipelock-verifier/) autonome. Le schéma se trouve sous [`sdk/audit-packet/`](https://github.com/luckypipewrench/pipelock/blob/HEAD/sdk/audit-packet/) ; les paquets de vérificateur se trouvent sous [`sdk/verifiers/`](https://github.com/luckypipewrench/pipelock/blob/HEAD/sdk/verifiers/). |
| **Cycle de vie du confinement hôte** (v2.5) | `pipelock contain install / run / verify / rollback / add-tool / grant-workspace / revoke-workspace / ca-refresh` gère le modèle de confinement à 3 UID. Voir [`docs/contain-cli.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/contain-cli.md). |
| **Manifestes d'intégrité MCP** (v2.5) | `pipelock mcp integrity manifest generate / verify / sign / verify-signature` épingle les binaires/scripts de serveur MCP par hachage et peut exiger une signature de manifeste de confiance avant le lancement du sous-processus. Voir [`docs/cli/mcp-integrity.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/mcp-integrity.md). |
| **Contrat de lanceur MCP Kubernetes** (v2.5) | `pipelock init sidecar --mcp-upstream` émet la configuration d'écouteur compagnon, le port de service, les annotations de charge de travail, l'autorisation NetworkPolicy, `PIPELOCK_MCP_PROXY_URL` et `PIPELOCK_MCP_CONFIG` monté. Voir [`docs/cli/init-sidecar.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/init-sidecar.md). |
| **Mode strict de fédération** (v2.5) | La vérification d'enveloppe de médiation entrante exige par défaut des acteurs au format SPIFFE, les pierres tombales de contrat sont appliquées et `pipelock envelope trust add/list/remove/verify` gère la confiance locale. Voir [guide de fédération](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md). |
| **Politique des médias** | Supprime les métadonnées stéganographiques des JPEG/PNG, rejette l'audio/vidéo par défaut, durcit le contenu actif SVG et applique des limites de taille d'image. Voir [Politique des médias](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/media-policy.md). |
| **Mappages de conformité** | OWASP MCP Top 10, OWASP Agentic Top 15, OWASP LLM Top 10, NIST 800-53, EU AI Act et mappages d'approvisionnement/audit. |

</details>

---

## Free, Pro, et Enterprise

Toute la détection, l'application, le confinement et les preuves mono-agent sont gratuits pour toujours sous licence Apache 2.0. Les niveaux payants ajoutent la coordination multi-agent (Pro) et la gouvernance de flotte plus la conformité (Enterprise).

| Capacité | Free | Pro | Enterprise |
|---|:--:|:--:|:--:|
| Analyse et détection (pipeline URL ordonné, DLP, injection, SSRF, SSE streaming, rédaction, protection d'adresse) | Oui | Oui | Oui |
| Analyse MCP et A2A (entrée, réponse, politique d'outil, chaîne d'outils, empoisonnement, intégrité, écouteurs authentifiés) | Oui | Oui | Oui |
| Confinement, sandbox, `contain` hôte, interrupteur d'arrêt à 6 sources | Oui | Oui | Oui |
| Reçus d'action, enregistreur de vol, ancrages, visionneuse de preuves gratuite, `verify-cert`, vérificateur autonome | Oui | Oui | Oui |
| Jetons canary, skill-scan, `explain`, Prometheus et Grafana mono-instance | Oui | Oui | Oui |
| Profils par agent : identité, budgets, isolation de configuration et de scanner, sandbox par agent | Non | Oui | Oui |
| Routage par agent par CIDR source et sélecteur réseau | Non | Oui | Oui |
| Tableau de bord opérateur : Vue d'ensemble, Preuves, Exemptions, Agents, Budgets, Confiance & Clés | Non | Oui | Oui |
| Certificats de couverture par agent | Non | Oui | Oui |
| Conservation légale et métadonnées de conformité | Non | Oui | Oui |
| Plan de contrôle de flotte Conductor, puits d'audit `fleet-sink`, mise à mort à distance, rollback, relecture de décisions, prévol de dérive | Non | Non | Oui |
| Inscription de suiveur mTLS et distribution de politique signée vérifiée par registre | Non | Non | Oui |
| Vues de flotte du tableau de bord : Flotte, Atelier, Incident | Non | Non | Oui |

Le rapport signé `pipelock assess` est un droit `assess` séparé, indépendant de Pro et Enterprise. La note d'évaluation gratuite est inchangée.

---

## Comment ça fonctionne

Pipelock utilise la **séparation des capacités** : dans un déploiement appliqué, le processus agent a des secrets mais pas d'accès réseau direct. Pipelock a un accès réseau mais pas de secrets d'agent. Même si l'agent subit une injection d'invite, il ne peut pas atteindre les contrôles du pare-feu.

Trois modes de proxy HTTP (même port), plus un proxy MCP dédié et une inspection A2A sur les chemins forward et MCP :

- **Proxy Fetch** (`/fetch?url=...`) : Récupère l'URL, extrait le texte, analyse l'injection, renvoie un contenu propre.
- **Proxy Forward** (`HTTPS_PROXY`) : Tunnel CONNECT HTTP standard sans modification du code applicatif. La configuration du proxy est toujours requise. L'interception TLS optionnelle permet l'analyse des charges utiles.
- **Proxy WebSocket** (`/ws?url=ws://...`) : Analyse bidirectionnelle des trames avec détection DLP + injection.
- **Proxy MCP** (`pipelock mcp proxy`) : Encapsule les serveurs MCP stdio ou HTTP avec analyse bidirectionnelle.
- **Inspection A2A** : Inspecte le trafic du protocole Agent-to-Agent de Google lorsqu'il traverse les chemins forward et MCP.

![Séparation des capacités Pipelock : le trafic de l'agent est analysé par le pare-feu avant d'atteindre les services Internet](https://raw.githubusercontent.com/luckypipewrench/pipelock/HEAD/docs/assets/how-it-works.svg)

<details>
<summary>Diagramme textuel (pour terminaux)</summary>```
┌──────────────────────────────────────────────────────────┐
│ PRIVILEGED ZONE                                          │
│                                                          │
│ AI Agent                                                 │
│ - API keys, credentials, private code and context        │
│ - Network-isolated by deployment                         │
└────────────────────────────┬─────────────────────────────┘
                             │ mediated request
                             │ fetch / CONNECT / WS / MCP / A2A
                             ▼
┌──────────────────────────────────────────────────────────┐
│ FIREWALL ZONE                                            │
│                                                          │
│ Pipelock Agent Firewall                                  │
│ - Destination: URL, SSRF, and DNS checks                 │
│ - Data: DLP, secret detection, and budgets               │
│ - Content: prompt injection and tool poisoning           │
│ - Policy: allow, block, or redact                        │
│ - No agent secrets                                       │
└────────────────────────────┬─────────────────────────────┘
                             │ approved request
                             ▼
┌──────────────────────────────────────────────────────────┐
│ INTERNET                                                 │
│                                                          │
│ Web APIs, websites, MCP servers, tools, and A2A services │
└──────────────────────────────────────────────────────────┘

Internet -- response --> Pipelock -- scanned content --> AI Agent

| CLI Preset | Mode | Action | Idéal pour |
|------------|------|--------|----------|
| `balanced` | balanced | warn | Usage général (par défaut) |
| `strict` | strict | block | Secteurs hautement sécurisés et réglementés |
| `audit` | audit | warn | Évaluation en lecture seule (log uniquement) |
| `claude-code` | balanced | block | Claude Code sans surveillance |
| `cursor` | balanced | block | IDE Cursor |
| `generic-agent` | balanced | warn | Nouveaux agents lors du réglage |
| `hostile-model` | strict | block | Modèles non censurés / ablitérés |

Les modifications de configuration sont détectées par le watcher de fichiers ou par SIGHUP. Référence complète : **[docs/configuration.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/configuration.md)**

Pour le réglage des faux positifs : **[docs/false-positive-tuning.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/false-positive-tuning.md)**

---

## Guides d'intégration

- **[Claude Code](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/claude-code.md):** Configuration du proxy MCP, configuration `.claude.json`
- **[OpenAI Codex](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/codex.md):** Wrapping du proxy MCP, proxy direct, intégration sandbox
- **[Cline](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/cline.md):** Wrapping du proxy MCP pour le `mcp.json` de Cline
- **[OpenCode](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/opencode.md):** Wrapping du proxy MCP pour les serveurs MCP locaux et distants d'OpenCode
- **[Zed](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/zed.md):** Wrapping du proxy MCP pour le bloc `context_servers` de Zed dans `settings.json`
- **[OpenAI Agents SDK](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/openai-agents.md):** `MCPServerStdio`, transferts multi-agents
- **[Google ADK](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/google-adk.md):** `McpToolset`, `StdioConnectionParams`
- **[AutoGen](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/autogen.md):** `StdioServerParams`, `mcp_server_tools()`
- **[CrewAI](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/crewai.md):** Wrapping `MCPServerStdio`, `MCPServerAdapter`
- **[LangGraph](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/langgraph.md):** `MultiServerMCPClient`, `StateGraph`
- **[Hermes](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/hermes.md):** Couverture complète du plugin ou wrapping MCP plus léger pour l'agent de Nous Research, avec préservation du sidecar d'en-tête d'authentification
- **[JetBrains/Junie](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/jetbrains.md):** Wrapping du proxy MCP pour IntelliJ, PyCharm, GoLand ([walkthrough](https://pipelab.org/learn/jetbrains-integration/))
- **Cursor:** `pipelock cursor install` enregistre Pipelock comme hook Cursor pour l'exécution de shell, les appels d'outils MCP et les lectures de fichiers ; utilisez `--config` pour intégrer un chemin de politique validé et `pipelock cursor remove` pour supprimer les hooks gérés par Pipelock. Vous pouvez également utiliser `configs/cursor.yaml` avec le même motif de proxy MCP que [Claude Code](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/claude-code.md) ([walkthrough](https://pipelab.org/learn/cursor-integration/))
- **VS Code:** `pipelock vscode install` réécrit `.vscode/mcp.json` pour router chaque serveur MCP via le proxy MCP ; `--global` cible le `mcp.json` au niveau utilisateur
- **[OpenClaw](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/openclaw.md):** Sidecar de passerelle, conteneur init, wrapping de configuration
- **Tout autre client MCP :** `pipelock generate mcporter` lit tout fichier JSON contenant un objet `mcpServers` de premier niveau et encapsule chaque serveur via le proxy de Pipelock, de sorte qu'un client qui n'est pas dans la liste ci-dessus passe toujours par l'analyse en une seule commande.

---

## Déploiement```bash
# Docker
docker pull ghcr.io/luckypipewrench/pipelock:latest
docker run -p 8888:8888 -v ./pipelock.yaml:/config/pipelock.yaml:ro \
  ghcr.io/luckypipewrench/pipelock:latest \
  run --config /config/pipelock.yaml --listen 0.0.0.0:8888

# Network-isolated agent with Docker Compose
pipelock generate docker-compose --agent claude-code -o docker-compose.yaml
docker compose up

# Kubernetes with Helm
helm install pipelock charts/pipelock/

L'action télécharge un binaire pré-construit, exécute `pipelock audit`, analyse le diff de la PR à la recherche de secrets divulgués, et télécharge le rapport d'audit en tant qu'artefact de workflow. Voir [`examples/ci-workflow.yaml`](https://github.com/luckypipewrench/pipelock/blob/HEAD/examples/ci-workflow.yaml) pour un workflow complet.

### Démo exécutable : Injection de réponse d'outil

Le harnais [`examples/tool-response-injection/`](https://github.com/luckypipewrench/pipelock/blob/HEAD/examples/tool-response-injection/) exécute une démo de bout en bout où un outil MCP avec un nom et une description inoffensifs cache une charge utile d'injection d'incitation dans sa réponse. Pipelock bloque la réponse avant qu'elle n'atteigne l'agent et émet des reçus d'action signés qu'un tiers peut vérifier. La même démo s'exécute sur trois transports avec une clé de signature partagée :

- MCP stdio
- MCP HTTP upstream
- HTTP fetch```bash
cd examples/tool-response-injection
python3 demo.py    # needs python3 + cryptography + pipelock on PATH

$ pipelock-rules install community/pipelock-official
``````bash
pipelock rules install pipelock-community

**Écrivez la vôtre.** Une règle est une petite entrée YAML avec un nom, une catégorie (DLP, injection ou tool-poison) et un motif. Signez-la avec votre clé, déposez-la dans un bundle, et chaque instance Pipelock que vous exécutez la récupère. Partagez-la avec la communauté et elle protège tout le monde aussi.

Contribuez une règle au bundle public [pipelock-rules](https://github.com/luckyPipewrench/pipelock-rules), ou lisez [docs/rules.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/rules.md) pour construire et signer la vôtre.

---

## Docs

Répertoire complet des docs : [docs/](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/)

| Document | Contenu |
|----------|-------------|
| [Configuration Reference](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/configuration.md) | Tous les champs de configuration, valeurs par défaut, comportement de rechargement à chaud, préréglages |
| [Request Policy](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/request-policy.md) | Rails deny/warn par défaut sur les opérations API sortantes (GraphQL / discriminateur / lot), fail-closed (v2.6) |
| [Request Redaction](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/redaction.md) | Réécriture de requêtes JSON sur les transports HTTP, WebSocket et MCP |
| [False Positive Tuning](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/false-positive-tuning.md) | Identification, suppression et réglage des résultats du scanner |
| [Scan API](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/scan-api.md) | Point d'évaluation pour l'analyse programmatique |
| [Deployment Recipes](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/deployment-recipes.md) | Docker Compose, sidecar K8s, iptables, macOS PF |
| [`pipelock doctor`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/doctor.md) | Diagnostics de déploiement configuré vs applicable pour proxy, TLS, MCP, file_sentry, télémétrie et signaux de confinement |
| [`pipelock dashboard`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/dashboard.md) | Configuration du tableau de bord opérateur : modes d'authentification, permissions RBAC, preuves, exemptions, budgets, confiance et clés, vues de flotte, sauvegarde/restauration et certificats de couverture |
| [`pipelock verify-install`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/verify-install.md) | Analyse déterministe, preuve locale et tests de fumée de sortie directe |
| [`pipelock update`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/update.md) | Mise à jour auto-vérifiée : manifeste de version signé, vérification de somme de contrôle, cross-check cosign optionnel, installation atomique, rollback |
| [Bypass Resistance](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/bypass-resistance.md) | Techniques d'évasion connues, atténuations, limitations |
| [Known Attacks Blocked](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/attacks-blocked.md) | Attaques réelles avec extraits de reproduction |
| [SIEM Integration](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/siem-integration.md) | Schéma de logs, sortie CEF/syslog, forwarding Enterprise durable, cycle de vie, métriques, requêtes SIEM |
| [Metrics Reference](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/metrics.md) | Familles de métriques Prometheus, étiquettes, statistiques JSON et règles d'alerte |
| [Community Rules](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/rules.md) | Installer, configurer et créer des bundles de règles signés |
| [Security Assurance](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/security-assurance.md) | Modèle de sécurité, limites de confiance, chaîne d'approvisionnement |
| [Security Documents](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/security/) | Politique de divulgation, chemins non supportés, rotation de clés, modèles de menace TLS CA et Audit Packet |
| [Enterprise Readiness](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/enterprise-readiness.md) | Contrôles Enterprise fournis, chemin d'évaluation, décisions de déploiement et limites explicites |
| [Reproducible Builds](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/reproducible-builds.md) | Vérification binaire OSS octet par octet, entrées stables, intégration de version et portée |
| [Finding Suppression](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/suppression.md) | Noms de règles, correspondance de chemins, commentaires en ligne |
| [Transport Modes](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/transport-modes.md) | Tous les modes proxy et leurs capacités d'analyse |
| [OWASP MCP Top 10](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/compliance/owasp-mcp-top10.md) | Couverture OWASP MCP Top 10 |
| [OWASP Agentic Top 15](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/owasp-agentic-top15-mapping.md) | Couverture OWASP Agentic AI Top 15 |
| [OWASP LLM Top 10](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/owasp-llm-top10-mapping.md) | Couverture OWASP Top 10 pour les applications LLM (2025) |
| [EU AI Act](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/compliance/eu-ai-act-mapping.md) | Cartographie de conformité EU AI Act |
| [NIST 800-53](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/compliance/nist-800-53.md) | Cartographie des contrôles NIST SP 800-53 Rev. 5 |
| [Assess Mapping](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/compliance/assess-mapping.md) | Mappe les contrôles d'exécution aux cadres pour lesquels `pipelock assess` produit des preuves, pour les achats et l'audit |
| [Policy Spec v0.1](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/policy-spec-v0.1.md) | Format de politique de pare-feu d'agent portable |
| [Mediation Envelope](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/mediation-envelope.md) | En-têtes de métadonnées sideband, config, interaction avec les reçus |
| [Media Policy](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/media-policy.md) | Détection de stéganographie, durcissement SVG, types autorisés, limites de taille |
| [Evidence Terminology](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/evidence/README.md) | Référence rapide pour ActionReceipt, EvidenceReceipt, enregistreur de vol, points de contrôle, ancres, certificats de couverture et Audit Packets, avec les distinctions intégrité vs complétude et épinglé vs non épinglé |
| [Receipt Verification](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/receipt-verification.md) | `pipelock verify-receipt`, vérification du Fleet Receipt Report, `pipelock-verifier` autonome, suite de conformité, intégrité de chaîne |
| [Receipt Spec Profiles](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/specs/in-toto-agent-action-receipt-v0.1.md) | Prédicat d'attestation in-toto pour les reçus d'action, avec les profils compagnons SCITT et AARP et la cartographie de l'art antérieur |
| [Audit Packet Threat Model](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/security/audit-packet-threat-model.md) | Ce que les Audit Packets vérifiés prouvent, ce qu'ils ne prouvent pas, et les hypothèses de confiance que les parties dépendantes doivent épingler |
| [Receipt Transport Coverage](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/receipt-transports.md) | Matrice d'émission de reçus sur les chemins fetch, forward, CONNECT/TLS, WebSocket, MCP et A2A |
| [Learn-and-Lock](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/learn-and-lock.md) | Contrats comportementaux par agent : observer, compiler, shadow, ratifier, promouvoir (v2.4) |
| [Federation](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md) | Vérification de l'enveloppe de médiation entrante, format d'acteur SPIFFE, répertoire well-known RFC 9421 (v2.4) |
| [Block-Reason Header](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/block-reason-header.md) | Schéma `X-Pipelock-Block-Reason`, vocabulaire des raisons, indices de réessai (v2.4) |
| [Health Endpoint](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/health.md) | Détection de wedge 503 `/health`, battements de cœur de sous-système, config tableau de bord opérateur (v2.4) |
| [Host Containment](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/contain-cli.md) | `pipelock contain install / run / verify / rollback / add-tool / grant-workspace / revoke-workspace / ca-refresh` pour le confinement 3-UID nftables owner-match avec attestation de posture observée par le noyau (v2.5) |
| [MCP Integrity Manifests](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/mcp-integrity.md) | Générer, vérifier, signer et exiger des manifestes d'intégrité binaire MCP de confiance (v2.5) |
| [Adaptive CLI](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/adaptive.md) | Inspecter et vider l'état runtime de l'application adaptative via l'API admin (v2.5) |
| [Conductor](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/conductor.md) | Le plan de contrôle de flotte Enterprise : distribution de politiques, sink d'audit, kill à distance, rollback, confiance mTLS/SPIFFE, licences (v2.7, Enterprise) |
| [Conductor Operator Runbook](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/conductor-operator-runbook.md) | Guide pratique local de flotte : bootstrap, servir, signer un lot, vérifier hors ligne |
| [Conductor Operator Quickstart](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/conductor-operator-quickstart.md) | De zéro à un audit de flotte en lecture seule : licence, cert mTLS opérateur, jeton d'auditeur, commandes en lecture seule |
| [Kubernetes Enterprise Deployment](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/kubernetes-enterprise-deployment.md) | Flotte Conductor basée sur Helm : plan de contrôle, followers, fleet-sink, secrets PKI, NetworkPolicies |
| [`pipelock license`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/license.md) | Installer, inspecter et vérifier la licence qui débloque les fonctionnalités payantes (Pro `agents`, Enterprise `fleet`) |
| [`pipelock baseline`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/baseline.md) | Inspecter, ratifier et réapprendre les profils de base comportementaux via l'API admin authentifiée |
| [Posture Capsule](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/posture-capsule.md) | Instantanés de posture signés, CLI `posture verify`, passerelle CI, modèle de notation |
| [`pipelock init sidecar`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/init-sidecar.md) | Générer des manifestes de proxy compagnon Kubernetes et des contrats de lanceur MCP (strategic-merge, Kustomize, valeurs Helm) |
| [`pipelock session`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/session.md) | CLI opérateur pour l'inspection et la récupération d'airlock (lister, inspecter, expliquer, libérer, terminer, récupérer) |
| [`pipelock keys status`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/keys.md) | Inventaire unifié des clés de signature : source par objectif, présence, lisibilité, validité et empreinte de clé publique |
| [Flight Recorder](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/flight-recorder.md) | Journal de preuves signé chaîné par hachage : comportement activé par défaut, sceau de racine de transcription, rédaction, séquestre, rotation de clé |
| [TLS Interception](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/tls-interception.md) | MITM de tunnel CONNECT : configuration CA, analyse body/header/response, domaines de passage |
| [Canary Tokens](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/canary-tokens.md) | Secrets synthétiques qui déclenchent une alerte dès qu'un agent tente d'en exfiltrer un |
| [Detection Integration](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/detection-integration.md) | Alimenter les pipelines de détection / SIEM externes avec les décisions et preuves de Pipelock |
| [PR Review](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/pr-review.md) | Révision de sécurité AI déclenchée manuellement pour les pull requests (commentaire `/review`) |
| [MCP Inspector Front](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/mcp-inspector-front.md) | Outils de développement MCP (Inspector, serveurs de test) via l'analyse Pipelock |
| [`pipelock demo`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/demo.md) | Scénarios d'attaque autonomes avec reçus signés vérifiables hors ligne, sans configuration ni réseau nécessaire |
| [Badges](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/badges.md) | Markdown prêt à l'emploi pour le badge `scanned by pipelock` sur les projets en aval |

---

## Project Structure```text
cmd/pipelock/          CLI entry point
internal/
  cli/                 60+ Cobra commands (run, check, init, generate, mcp, session, posture, rules, ...)
    diag/              `pipelock doctor` and install-verification diagnostics
    session/           `pipelock session`, `pipelock adaptive`, and `pipelock baseline` operator CLIs
    setup/             `pipelock init sidecar`: companion-proxy manifest generation (K8s)
  config/              YAML config, validation, defaults, hot-reload (fsnotify)
  scanner/             Ordered URL scanning pipeline + response injection detection
  audit/               Structured JSON logging (zerolog) + event emission dispatch
  proxy/               HTTP proxy: fetch, forward (CONNECT), WebSocket, DNS pinning, TLS
  mcp/                 MCP proxy + bidirectional scanning + tool poisoning + chains
    integrity/         MCP binary/script integrity manifests and trust workflow
  discover/            IDE/agent config discovery (Claude Code, Cursor, VS Code, JetBrains)
  killswitch/          Emergency deny-all (6 sources) + port-isolated API
  envelope/            Mediation envelope (RFC 8941) for sideband metadata
  media/               Image metadata stripping (JPEG/PNG byte-level surgery)
  normalize/           Text-normalization transforms (NFKC, invisible chars, leetspeak, whitespace, vowel-fold) for the scanner cascade
  receipt/             Action receipt signing + hash-chained evidence
  posture/             Posture capsule schema, signing, scoring, verify policy
  session/             Session state, taint classification, task boundaries, trust overrides
  rules/               Bundle loader, tier taxonomy, RequiredFeatures enforcement
  sandbox/             Landlock, seccomp, netns, macOS sandbox-exec
  shield/              Airlock, browser shield, SVG hardening
  signing/             Ed25519 key management
  integrity/           SHA256 file integrity monitoring
  report/              HTML/JSON audit report generation
enterprise/            Multi-agent features (ELv2)
sdk/conformance/       Cross-implementation receipt verification test vectors
charts/                Helm chart for Kubernetes deployment
configs/               7 built-in preset config files
docs/                  Guides, references, compliance mappings