एलएलएम एजेंट टूल कॉल्स को सुरक्षित करने के लिए कर्नेल-स्तरीय eBPF सैंडबॉक्स, जो मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) के माध्यम से किए जाते हैं।
LLM एजेंट टूल कॉल के लिए कर्नेल-स्तरीय सैंडबॉक्सिंग, जो Model Context Protocol (MCP) के माध्यम से किए जाते हैं।
MCPGuard एक पारदर्शी प्रॉक्सी के रूप में MCP क्लाइंट (एजेंट / रनर) और MCP सर्वर सबप्रोसेस के बीच बैठता है, और प्रत्येक टूल इनवोकेशन पर तीन स्तरीय सुरक्षा लागू करता है। सबसे निचला स्तर eBPF में लागू किया गया है और सिस्टम-कॉल सीमा पर क्षमता नीतियों को लागू करता है, ताकि एक दुर्भावनापूर्ण MCP सर्वर अपने स्वयं के कार्यान्वयन के अंदर संवेदनशील व्यवहार को हार्डकोड करके नीति को बायपास न कर सके।
इस रिपॉजिटरी में प्रॉक्सी, eBPF प्रोग्राम, 14-सर्वर / 82-केस बेंचमार्क, और संबंधित पेपर Kernel-Level Sandboxing for LLM Agent Tool Calls via eBPF में उपयोग किए गए मूल्यांकन हार्नेस शामिल हैं।
| स्तर | घटक | उद्देश्य |
|---|
| L1 | proxy/policy_engine.py | प्रति-सर्वर क्षमता नीति, प्रत्येक टूल के MCP स्कीमा से प्राप्त; पथ, नेटवर्क गंतव्य, प्रक्रियाओं, env vars के लिए अनुमति सूची। |
| L2 | proxy/argument_validator.py | टूल-कॉल तर्कों का एप्लिकेशन-स्तरीय निरीक्षण: पथ कैनोनिकलाइज़ेशन, URL सत्यापन, प्रॉम्प्ट-इंजेक्शन का पता लगाना, एनवी-लीक / कमांड-इंजेक्शन का पता लगाना, संवेदनशील-कुंजी स्कैनिंग, प्रतिक्रिया स्वच्छता। |
| L3 | ebpf/*.bpf.c + proxy/ebpf_sandbox.py | OS-स्तरीय प्रवर्तन: तीन BPF LSM प्रोग्राम (file_guard, net_guard, proc_guard) open() / connect() / execve() को इंटरसेप्ट करते हैं, और एक ट्रेसपॉइंट प्रोग्राम (fork_guard) sched_process_fork के माध्यम से चाइल्ड प्रक्रियाओं को ट्रैक करता है ताकि नीति फोर्क्स पर लागू होती रहे। |
पेपर में उपयोग किए गए एब्लेशन स्पेस को कवर करने के लिए छह स्विचेबल डिफेंस कॉन्फ़िगरेशन (proxy/proxy_base.py) शामिल हैं: C0 (पासथ्रू), C-AB (AgentBound बेसलाइन), C-app (L1 + L2), C-ebpf (केवल L3), C-full (L1 + L2 + L3), C-AB+ebpf (AgentBound + L3)।
.
├── proxy/ L1 नीति इंजन, L2 तर्क सत्यापनकर्ता, L3 eBPF नियंत्रक, AgentBound बेसलाइन
├── ebpf/ फ़ाइल/नेट/प्रोक/फोर्क गार्ड के लिए BPF C स्रोत + Makefile + vmlinux.h
├── policies/ प्रति-सर्वर JSON क्षमता नीतियां (डिफ़ॉल्ट + ओवरराइड)
├── servers/ 14 MCP सर्वर: 11 Python (filesystem, notes, weather, shell, sqlite, git, env + दुर्भावनापूर्ण/ट्रोजन वेरिएंट) + 3 JavaScript (servers/js/)
├── test_cases/ 82 बेंचमार्क परिदृश्य, 7 श्रेणियों में (file_read, exfiltration, env_leak, sandbox_escape, priv_escalation, cross_language, benign)
├── notes_data/ notes_server द्वारा उपयोग किए जाने वाले 170 मान्य सिंथेटिक नोट्स JSON फिक्स्चर
├── runner/ evaluate.py, aggregate.py, agentbound_check.py, ebpf_edge_tests.py, latency_benchmark.py, override_workflow.py, smoke_test.py
└── EXECUTION_PLAN.md चरण-दर-चरण पुनरुत्पादन निर्देश
CONFIG_BPF_LSM=y, कर्नेल कमांडलाइन में lsm=bpf)clang 21 या नयाbpftoolservers/js/ के अंतर्गत JavaScript MCP सर्वर के लिए)# Build the eBPF programs
cd ebpf && make && cd ..
# Smoke test (one server, a handful of cases)
python3 runner/smoke_test.py
# Full benchmark for one configuration
python3 runner/evaluate.py --config C-full --run-id trial
# Aggregate a reproduced run
python3 runner/aggregate.py --run-id trial
# Reproduce the steady-state latency table after installing eBPF
sudo python3 runner/latency_benchmark.py --run-id codex_20260523_latency --iterations 100 --warmup 20
# Reproduce the audit/override workflow
python3 runner/override_workflow.py --run-id codex_20260523_override
# Run focused eBPF edge tests after installing eBPF
sudo python3 runner/ebpf_edge_tests.py --run-id codex_20260523_ebpf_edges
# Run AgentBound-style baseline conformance checks
python3 runner/agentbound_check.py --run-id codex_20260523_agentbound
C-ebpf, C-full, और C-AB+ebpf अब विफल-बंद हो जाते हैं यदि BPF LSM प्रोग्राम और पिन किए गए मैप उपलब्ध नहीं हैं। उन्हें केवल eBPF परत को रूट विशेषाधिकारों के साथ स्थापित करने के बाद चलाएँ।
हमले की रोकथाम दर (APR), व्यवहार्य-हमला APR (V-APR), और गलत-सकारात्मक दर (FPR) पेपर-पिन किए गए codex_20260523_full 14-सर्वर, 82-केस बेंचमार्क में:
| कॉन्फ़िग | APR | V-APR | व्यवहार्य अवरुद्ध | FPR |
|---|---|---|---|---|
| C0 | 21.3% | 0.0% | 0/48 | 0/21 |
| C-AB | 37.7% | 20.8% | 10/48 | 0/21 |
| C-app | 42.6% | 27.1% | 13/48 | 0/21 |
| C-ebpf | 60.7% | 50.0% | 24/48 | 0/21 |
| C-full | 68.9% | 60.4% | 29/48 | 0/21 |
| C-AB+ebpf | 67.2% | 58.3% | 28/48 | 0/21 |
APR में वे हमले शामिल हैं जो C0 के तहत आंतरिक रूप से विफल होते हैं। V-APR केवल उन हमलों का उपयोग करता है जो C0 के तहत सफल होते हैं हर के रूप में, जो रक्षा कवरेज का अधिक रूढ़िवादी माप है।
दोहराया गया बेनाइन-कॉल विलंबता बेंचमार्क आंतरिक पेपर वर्कस्पेस में results/latency/codex_20260523_latency.md के रूप में संग्रहीत है। यह प्रति कॉन्फ़िगरेशन 20 वार्मअप कॉल और 100 मापित कॉल के साथ BN-01 (filesystem_server.read_file) को मापता है; C-full C0 के सापेक्ष +0.488 ms मीडियन विलंबता जोड़ता है और इस निश्चित बेनाइन कॉल के लिए 1.141 ms p95 पर बना रहता है। सार्वजनिक CodeSync ट्री results/ को छोड़ता है, इसलिए बाहरी उपयोगकर्ता उपरोक्त कमांड के साथ इस कलाकृति को पुन: उत्पन्न करते हैं।
ऑडिट/ओवरराइड वर्कफ़्लो आंतरिक रूप से results/audit/codex_20260523_override.md के रूप में संग्रहीत है। यह प्रदर्शित करता है कि एक बेनाइन डेनियल को एक संरचित ऑडिट घटना के रूप में कैसे रिकॉर्ड किया जाता है और policies/overrides-संगत लेआउट के तहत एक स्कोप्ड ऑपरेटर ओवरराइड जोड़कर हल किया जाता है।
केंद्रित eBPF एज टेस्ट आंतरिक रूप से results/ebpf_edges/codex_20260523_ebpf_edges.md के रूप में संग्रहीत हैं। वे विफल-बंद मैप उपलब्धता, वर्कस्पेस राइट अनुमति व्यवहार, निर्देशिका-उपसर्ग सीमा डेनियल, /tmp स्टेजिंग डेनियल, और लोकलहोस्ट एक्सफ़िल्ट्रेशन डेनियल को कवर करते हैं।
AgentBound-शैली बेसलाइन जांच आंतरिक रूप से results/agentbound/codex_20260523_agentbound.md के रूप में संग्रहीत है। यह दस्तावेज़ित करता है कि C-AB एक प्रति-सर्वर, एप्लिकेशन-स्तरीय पुनरुत्पादन है और अपेक्षित तर्क-दृश्य कवरेज और कार्यान्वयन-छिपा ब्लाइंड स्पॉट को सत्यापित करता है।
MCP सर्वर को अविश्वसनीय माना जाता है। यह बेनाइन-लेकिन-गलत-कॉन्फ़िगर, जानबूझकर दुर्भावनापूर्ण, या एक वैध सर्वर का ट्रोजनाइज़्ड फोर्क हो सकता है। एजेंट / रनर और होस्ट OS विश्वसनीय हैं। eBPF स्तर मानता है कि कर्नेल असम्प्रामित है; कर्नेल-में विशेषाधिकार वृद्धि (कर्नेल मॉड्यूल में CWE-269) दायरे से बाहर है।
पेपर प्रकाशित होने के बाद यहां एक BibTeX प्रविष्टि जोड़ी जाएगी।
देखें CONTRIBUTING.md। सभी योगदानकर्ताओं को Meta के CLA पर हस्ताक्षर करना होगा।
सुरक्षा समस्या की रिपोर्ट करने के लिए, देखें SECURITY.md। कृपया सुरक्षा रिपोर्ट के लिए सार्वजनिक GitHub मुद्दे दर्ज न करें।
MIT — देखें LICENSE।