AegisGraph — इंजीनियरिंग प्लेटफ़ॉर्म

सुरक्षित मैसेजिंग अनुप्रयोगों के लिए ग्राफ़-संचालित स्वचालित भेद्यता खोज। DARPA SBIR Direct-to-Phase-II विषय HR0011SB20254-12 (ASEMA) के लिए 577 Industries का इंजीनियरिंग कार्यान्वयन।

AegisGraph 6-engine architecture — the evidence graph plans, six engines hunt, findings flow back as new evidence

मूल्यांकनकर्ता-उन्मुख आर्टिफ़ैक्ट्स की तलाश में हैं? स्वच्छ किया गया सार्वजनिक feasibility रिलीज़ 577Industries/asema-feasibility-artifacts पर टैग v1.0.0-asema-dp2-feasibility के साथ उपलब्ध है। यदि आप ASEMA प्रस्ताव में दावों का सत्यापन कर रहे हैं, तो वहीं से शुरू करें।

इस रेपो में क्या है

इंजीनियरिंग प्लेटफ़ॉर्म — AegisGraph के पीछे का वास्तविक कार्यान्वयन:

सबसिस्टम	पथ	यह क्या करता है
PolyDiff Extended	`aegisgraph/polydiff/`	6 पार्सर परिवारों (url, image, opengraph, deeplink, qr, proto) में सामान्यीकृत fact vectors के साथ बहु-प्रारूप डिफ़रेंशियल पार्सिंग
HarnessGen	`aegisgraph/harnessgen/`	ग्राफ़-संचालित पॉलीग्लॉट फ़ज़-हार्नेस जनरेशन (JVM के लिए Jazzer, native के लिए libFuzzer+HWASAN, Rust के लिए cargo-fuzz)
InvariantCheck	`aegisgraph/invariants/`	सार्वजनिक रूप से ऑडिट-योग्य ground-truth fixtures के साथ 15 SMA-विशिष्ट सुरक्षा invariants; MASTG/SSDF मैपिंग
CrossSMA	`aegisgraph/crosssma/`	संरचनात्मक canonicalization के साथ क्रॉस-एप्लिकेशन प्रोपेगेशन मैट्रिक्स (4 SMA लक्ष्य × 6 पैटर्न)
DynamicProbe (विकल्प अवधि)	`aegisgraph/dynamicprobe/`	संरचनात्मक रूप से लागू हस्ताक्षरित प्राधिकरण गेट के साथ Frida-इंस्ट्रुमेंटेड AOSP+HWASAN एमुलेटर
Coordinated Disclosure	`aegisgraph/disclosure/`	हैश-चेन्ड डिस्क्लोज़र लेजर + 7-विक्रेता रूटिंग + दिन-7/14/30/60/90 एम्बार्गो टाइमर + CERT/CC फ़ॉलबैक
ReproChain	`reprochain/`	CVE-2023-4863 (libwebp) के विरुद्ध प्री-डिस्क्लोज़र सिमुलेशन; vendored vuln+fix कमिट + ASAN हार्नेस
Extraction	`extraction/`	पिन किए गए सार्वजनिक SMAs (Signal Android, Element X Android) पर स्टैटिक एक्सट्रैक्शन; 8 CodeQL क्वेरीज़ + 4 Semgrep नियम + MobSF एकीकरण
SMABench	`smabench/`	तीन-रिंग बेंचमार्क डिज़ाइन: सिंथेटिक (रिंग 1), सार्वजनिक-स्रोत स्टैटिक + रीचेबिलिटी (रिंग 2), अधिकृत डायनामिक (रिंग 3)
Validator + safety	`validator/`, `aegisgraph/safety.py`	स्कीमा वैलिडेशन, sanitize-check (नियम 1–9), जानबूझकर-भ्रष्टीकरण परीक्षण के माध्यम से falsifiability
Schema	`schema/`	6 JSON स्कीमाज़ + Schema v2 additive एक्सटेंशन (`discovery_run`, `crash`, `disagreement`, `invariant_violation`, `cross_target_candidate`, `disclosure_event`)
Decision log	`docs/decision-log/`	सभी आर्किटेक्चरल निर्णयों को कवर करने वाले 14 ADRs

क्विकस्टार्ट

git clone https://github.com/577Industries/aegisgraph
cd aegisgraph
git checkout v1.0.0-tier3-research

# Recommended: use the pinned devcontainer
devcontainer up
make tooling-strict                # verify pinned toolchain
python3 -m pytest -q               # expect 1030 passed, 19 skipped

# Per-engine smoke tests
make reprochain-map                # ReproChain reachability mapping
make polydiff-regression           # PolyDiff differential parser regression (8 historical CVE rediscoveries)
make extract                       # static extraction over pinned SMAs
make smabench                      # SMABench benchmark generation
make validate                      # evidence + CETM validation
make reproduce                     # full reproduction pipeline

इंस्टॉलेशन के बाद CLI एंट्रीपॉइंट aegisgraph है, या इस चेकआउट से python3 -m aegisgraph.cli।

अनुसंधान दृष्टिकोण

केवल रक्षात्मक साइबरसुरक्षा अनुसंधान। बिना लिखित प्राधिकरण के कोई लाइव-टारगेट प्रोबिंग, उत्पादन खाता इंटरैक्शन, क्रेडेंशियलयुक्त परीक्षण, या स्कैनिंग नहीं।
सार्वजनिक आर्टिफैक्ट्स में कोई हथियारीकृत पेलोड नहीं (क्रैश-ट्रिगर करने वाले बाइट्स केवल हैश-आधारित होते हैं; कच्चे स्टैक ट्रेस इंजीनियरिंग-पक्ष पर ही रहते हैं)।
लक्ष्य स्रोत का कच्चा पुनर्वितरण नहीं। हम सार्वजनिक स्रोत एंकरों (कमिट-पिन किए गए Signal Android और Element X Android) से काम करते हैं।
सार्वजनिक आर्टिफैक्ट्स make export-public-sanitized और प्रकाशन से पहले स्पष्ट मानवीय स्वीकृति द्वारा गेटेड होते हैं।
मिथ्याकरणीयता। वैलिडेटर में एक जानबूझकर-भ्रष्टाचार परीक्षण पुष्टि करता है कि कोई निषिद्ध पैटर्न, लक्ष्य-स्रोत पुनर्वितरण मार्कर, या स्कोर-वेक्टर कुंजी बेमेल पकड़ा और अस्वीकार किया जाता है — यह अनुशासन परीक्षण-योग्य है, केवल कहा नहीं गया है।

परीक्षण

v1.0 कट पर 1030 पासिंग टेस्ट (v1.0.0-tier3-research टैग, कमिट d91c1df6)
19 छोड़े गए (कार्य T-M4.1 के अनुसार सेल्फ-होस्टेड रनर प्रोविज़निंग पर गेटेड; devcontainer छोड़े गए काउंट को 0 कर देता है)
CI: .github/workflows/ci.yml पुश पर चलता है; reproduce.yml तब तक if: false है जब तक सेल्फ-होस्टेड रनर प्रोविज़न नहीं हो जाता
Sanitize-check: validator/sanitize_check.py इस रेपो से कोई भी आर्टिफैक्ट निकलने से पहले हर सार्वजनिक-निर्यात उम्मीदवार पर 9 नियम लागू करता है

निर्णय लॉग

docs/decision-log/ में 14 ADR हर आर्किटेक्चरल निर्णय का दस्तावेज़ीकरण करते हैं:

ADR	विषय
0001	रेपो विभाजन: इंजीनियरिंग बनाम सार्वजनिक-रिलीज़ सीमा
0002	निजी ReproChain हैंडलिंग
0003	ReproChain लक्ष्य के लिए libwebp चयन
0004	PolyDiff पार्सर चयन (प्रारंभिक url फ़ैमिली + 6 फ़ैमिली तक विस्तार)
0005	वैलिडेटर माइग्रेशन
0006	डिस्क्लोज़र स्वामित्व (PI नामित स्वामी; काउंसल समीक्षा गेट)
0007–0012	इंजन आर्किटेक्चर (HarnessGen, InvariantCheck, CrossSMA, DynamicProbe स्कैफ़ोल्ड)
0013	Schema v2 (इंजन आउटपुट के लिए एडिटिव एक्सटेंशन)
0014	समन्वित डिस्क्लोज़र लेजर फ़ॉर्मेट (हैश-चेन्ड JSONL)
0020	PolyDiff मल्टी-फ़ैमिली एक्सटेंशन
0021	वैलिडेटर निर्यात अनुशासन

रिलीज़ + टैग

v1.0.0-tier3-research (वर्तमान, मई 2026) — पूर्ण 6-इंजन एन्सेम्बल, 1030 पासिंग टेस्ट, Schema v2, 82-दावा CETM
v0.3.0-tier3-research (मई 2026) — v0.3 बेसलाइन (ऐतिहासिक एंकर के रूप में संरक्षित)

aegisgraph

सबसे लोकप्रिय

विवरण