एलएलएम एजेंट टूल कॉल्स को सुरक्षित करने के लिए कर्नेल-स्तरीय eBPF सैंडबॉक्स, जो मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) के माध्यम से किए जाते हैं।
Model Context Protocol (MCP) के माध्यम से किए गए LLM एजेंट टूल कॉल्स के लिए कर्नेल-स्तरीय सैंडबॉक्सिंग।
MCPGuard एक MCP क्लाइंट (एजेंट / रनर) और एक MCP सर्वर सबप्रोसेस के बीच एक पारदर्शी प्रॉक्सी के रूप में कार्य करता है, और प्रत्येक टूल इनवोकेशन पर तीन स्तरित सुरक्षा उपाय लागू करता है। सबसे निचली परत eBPF में कार्यान्वित है और सिस्टम-कॉल सीमा पर क्षमता नीतियों को लागू करती है, इसलिए एक दुर्भावनापूर्ण MCP सर्वर अपने स्वयं के कार्यान्वयन के भीतर संवेदनशील व्यवहार को हार्डकोड करके नीति को बायपास नहीं कर सकता।
इस रिपॉजिटरी में प्रॉक्सी, eBPF प्रोग्राम, 14-सर्वर / 82-केस बेंचमार्क, और साथ में दिए गए पेपर Kernel-Level Sandboxing for LLM Agent Tool Calls via eBPF में उपयोग किया गया मूल्यांकन हार्नेस शामिल है।
| परत | घटक | उद्देश्य |
|---|---|---|
| L1 | proxy/policy_engine.py | प्रत्येक टूल के MCP स्कीमा से प्राप्त प्रति-सर्वर क्षमता नीति; पथ, नेटवर्क गंतव्यों, प्रक्रियाओं, env वेरिएबल्स के लिए allowlists। |
| L2 | proxy/argument_validator.py | टूल-कॉल आर्ग्युमेंट्स का एप्लिकेशन-स्तरीय निरीक्षण: पथ कैनोनिकलाइज़ेशन, URL सत्यापन, प्रॉम्प्ट-इंजेक्शन डिटेक्शन, env-लीक / कमांड-इंजेक्शन डिटेक्शन, संवेदनशील-की स्कैनिंग, प्रतिक्रिया सैनिटाइज़ेशन। |
| L3 | ebpf/*.bpf.c + proxy/ebpf_sandbox.py | OS-स्तरीय प्रवर्तन: तीन BPF LSM प्रोग्राम (file_guard, net_guard, proc_guard) open() / connect() / execve() को इंटरसेप्ट करते हैं, और एक ट्रेसपॉइंट प्रोग्राम (fork_guard) sched_process_fork के माध्यम से चाइल्ड प्रोसेस को ट्रैक करता है ताकि नीति फोर्क्स में बनी रहे। |
छह स्विच करने योग्य डिफेंस कॉन्फ़िगरेशन (proxy/proxy_base.py) पेपर में उपयोग किए गए एब्लेशन स्पेस को कवर करते हैं: C0 (passthrough), C-AB (AgentBound baseline), C-app (L1 + L2), C-ebpf (केवल L3), C-full (L1 + L2 + L3), C-AB+ebpf (AgentBound + L3)।
.
├── proxy/ L1 policy engine, L2 argument validator, L3 eBPF controller, AgentBound baseline
├── ebpf/ BPF C sources for file/net/proc/fork guards + Makefile + vmlinux.h
├── policies/ Per-server JSON capability policies (defaults + overrides)
├── servers/ 14 MCP servers: 11 Python (filesystem, notes, weather, shell, sqlite, git, env + malicious/trojan variants) + 3 JavaScript (servers/js/)
├── test_cases/ 82 benchmark scenarios across 7 categories (file_read, exfiltration, env_leak, sandbox_escape, priv_escalation, cross_language, benign)
├── notes_data/ 170 valid synthetic notes JSON fixtures used by notes_server
├── runner/ evaluate.py, aggregate.py, agentbound_check.py, ebpf_edge_tests.py, latency_benchmark.py, override_workflow.py, smoke_test.py
└── EXECUTION_PLAN.md Phase-by-phase reproduction instructions
CONFIG_BPF_LSM=y, kernel cmdline में lsm=bpf)clang 21 या नयाbpftoolservers/js/ के अंतर्गत JavaScript MCP सर्वर के लिए)# Build the eBPF programs
cd ebpf && make && cd ..
# Smoke test (one server, a handful of cases)
python3 runner/smoke_test.py
# Full benchmark for one configuration
python3 runner/evaluate.py --config C-full --run-id trial
# Aggregate a reproduced run
python3 runner/aggregate.py --run-id trial
# Reproduce the steady-state latency table after installing eBPF
sudo python3 runner/latency_benchmark.py --run-id codex_20260523_latency --iterations 100 --warmup 20
# Reproduce the audit/override workflow
python3 runner/override_workflow.py --run-id codex_20260523_override
# Run focused eBPF edge tests after installing eBPF
sudo python3 runner/ebpf_edge_tests.py --run-id codex_20260523_ebpf_edges
# Run AgentBound-style baseline conformance checks
python3 runner/agentbound_check.py --run-id codex_20260523_agentbound
C-ebpf, C-full, और C-AB+ebpf अब fail closed होते हैं यदि BPF LSM प्रोग्राम
और pinned maps उपलब्ध नहीं हैं। इन्हें केवल रूट विशेषाधिकारों के साथ eBPF परत
इंस्टॉल करने के बाद ही चलाएँ।
एकल pinned रन codex_20260523_full (14-सर्वर, 82-केस बेंचमार्क; यह fx_r प्रति-श्रेणी प्रोफ़ाइल है — पेपर की Table 1 N=5 माध्य रिपोर्ट करती है, इसलिए यहाँ C-app 13/48 पढ़ता है बनाम 12/48 माध्य) के लिए Attack Prevention Rate (APR), viable-attack APR (V-APR), और False Positive Rate (FPR):
| कॉन्फ़िग | APR | V-APR | Viable blocked | FPR |
|---|---|---|---|---|
| C0 | 21.3% | 0.0% | 0/48 | 0/21 |
| C-AB | 37.7% | 20.8% | 10/48 | 0/21 |
| C-app | 42.6% | 27.1% | 13/48 | 0/21 |
| C-ebpf | 60.7% | 50.0% | 24/48 | 0/21 |
| C-full | 68.9% | 60.4% | 29/48 | 0/21 |
| C-AB+ebpf | 67.2% | 58.3% | 28/48 | 0/21 |
APR में वे हमले शामिल हैं जो C0 के अंतर्गत स्वाभाविक रूप से विफल होते हैं। V-APR केवल उन हमलों का उपयोग हर के रूप में करता है जो C0 के अंतर्गत सफल होते हैं, जो डिफेंस कवरेज का अधिक रूढ़िवादी माप है।
बार-बार किए गए benign-call latency बेंचमार्क को आंतरिक पेपर वर्कस्पेस में results/latency/codex_20260523_latency.md के रूप में संग्रहीत किया गया है। यह BN-01 (filesystem_server.read_file) को 20 warmup कॉल्स और प्रति कॉन्फ़िगरेशन 100 मापी गई कॉल्स के साथ मापता है; C-full C0 के सापेक्ष +0.488 ms मीडियन लेटेंसी जोड़ता है और इस निश्चित benign कॉल के लिए 1.141 ms p95 पर बना रहता है। सार्वजनिक CodeSync ट्री results/ को बाहर रखता है, इसलिए बाहरी उपयोगकर्ता ऊपर दिए गए कमांड के साथ इस आर्टिफैक्ट को पुनः उत्पन्न करते हैं।
audit/override वर्कफ़्लो को आंतरिक रूप से results/audit/codex_20260523_override.md के रूप में संग्रहीत किया गया है। यह प्रदर्शित करता है कि कैसे एक benign denial को एक संरचित audit event के रूप में दर्ज किया जाता है और policies/overrides-संगत लेआउट के अंतर्गत एक scoped operator override जोड़कर हल किया जाता है।
केंद्रित eBPF edge परीक्षण आंतरिक रूप से results/ebpf_edges/codex_20260523_ebpf_edges.md के रूप में संग्रहीत किए गए हैं। वे fail-closed map उपलब्धता, workspace write allow व्यवहार, directory-prefix boundary denial, /tmp staging denial, और localhost exfiltration denial को कवर करते हैं।
AgentBound-शैली baseline जाँच आंतरिक रूप से results/agentbound/codex_20260523_agentbound.md के रूप में संग्रहीत है। यह दस्तावेज़ित करता है कि C-AB एक प्रति-सर्वर, एप्लिकेशन-स्तरीय प्रतिकृति है और अपेक्षित argument-visible कवरेज और implementation-hidden ब्लाइंड स्पॉट को सत्यापित करता है।
MCP सर्वर को अविश्वसनीय माना जाता है। यह benign-but-misconfigured, जानबूझकर दुर्भावनापूर्ण, या एक वैध सर्वर का trojanized फोर्क हो सकता है। एजेंट / रनर और होस्ट OS विश्वसनीय हैं। eBPF परत मानती है कि कर्नेल से समझौता नहीं हुआ है; in-kernel privilege escalations (kernel modules में CWE-269) दायरे से बाहर हैं।
पेपर प्रकाशित होने के बाद यहाँ एक BibTeX प्रविष्टि जोड़ी जाएगी।
CONTRIBUTING.md देखें। सभी योगदानकर्ताओं को Meta के CLA पर हस्ताक्षर करना आवश्यक है।
सुरक्षा समस्या की रिपोर्ट करने के लिए, SECURITY.md देखें। कृपया सुरक्षा रिपोर्ट के लिए सार्वजनिक GitHub issues फ़ाइल न करें।
MIT — LICENSE देखें।