Wardgate - AI एजेंट सुरक्षा गेटवे

Wardgate एक सुरक्षा गेटवे है जो AI एजेंटों और बाहरी दुनिया के बीच बैठता है -- API कॉल के लिए क्रेडेंशियल्स को अलग करना, दूरस्थ कमांड निष्पादन के लिए SSH कुंजियों को अलग करना, और दूरस्थ वातावरण (Conclaves) में कमांड निष्पादन को गेट करना।

अपने AI एजेंटों को APIs, SSH कुंजियाँ, और शेल टूल्स तक पहुँच दें - बिना उन्हें अपने क्रेडेंशियल्स दिए या उन पर सीधे निष्पादन का भरोसा किए।

समस्या

AI एजेंट शक्तिशाली हैं। वे आपका कैलेंडर प्रबंधित कर सकते हैं, आपका ईमेल जाँच सकते हैं, आपके कार्यों को अपडेट कर सकते हैं, कोड लिख सकते हैं, और आपके जीवन को स्वचालित कर सकते हैं। लेकिन ऐसा करने के लिए, उन्हें आपके खातों और सिस्टम तक पहुँच की आवश्यकता है।

वे एक तेज़-तर्रार किशोर की तरह भी हैं। वे बहुत कुछ जानते हैं, लेकिन उनका अपना दिमाग होता है। वे भोले हैं (प्रॉम्प्ट इंजेक्शन के लिए)। और किशोरों की तरह, वे वास्तव में नहीं सोचते। इसलिए परिणामों के बारे में सोचना उनके वेतन-ग्रेड से बिल्कुल ऊपर है!

API समस्या। कंटेनरीकरण आपके एजेंटों को अलग करने का एक शानदार तरीका है। लेकिन यह कोई चांदी की गोली नहीं है। उन्हें अभी भी आपके क्रेडेंशियल्स एनवायरनमेंट वेरिएबल या किसी अन्य तरीके से मिलते हैं - अन्यथा वे आपकी मदद नहीं कर सकते। और OpenClaw जैसी परियोजनाओं में एक्सेस कंट्रोल सुविधाएँ बनी होती हैं, लेकिन आपको एजेंट, एप्लिकेशन, या उन सभी हजारों कमिट्स पर भरोसा करना होता है कि वह अपनी अनुमतियाँ नहीं बदलता।

निष्पादन समस्या। AI एजेंट सिर्फ APIs को कॉल नहीं करते - वे शेल कमांड निष्पादित करते हैं। एजेंट होस्ट पर सीधे कमांड चलाना खतरनाक है: प्रॉम्प्ट इंजेक्शन rm -rf /, curl के माध्यम से डेटा एक्सफिल्ट्रेशन, या उससे भी बदतर हो सकता है। सैंडबॉक्सिंग के बावजूद, एजेंट होस्ट के पास अपने फाइलसिस्टम पर सब कुछ तक पहुँच है।

जोखिम वास्तविक है:

• प्रॉम्प्ट में क्रेडेंशियल्स मॉडल आउटपुट, लॉग या हमलों के माध्यम से लीक हो सकते हैं
• प्रॉम्प्ट इंजेक्शन एजेंटों को वह करने के लिए प्रेरित कर सकता है जो आपने नहीं चाहा
• एक समझौता किया गया एजेंट आपके द्वारा दी गई पहुँच रखता है - सब कुछ तक
• एजेंट होस्ट पर चलाए गए शेल कमांड को पूर्ण फाइलसिस्टम पहुँच मिलती है

समाधान

Wardgate दो पूरक सुरक्षा परतें प्रदान करता है:

API गेटवे -- एजेंट Wardgate से बात करते हैं। Wardgate APIs, SSH, IMAP या SMTP सर्वर से बात करता है। आपके क्रेडेंशियल्स कभी Wardgate से बाहर नहीं जाते।

Conclaves -- पृथक दूरस्थ निष्पादन वातावरण। एजेंट Wardgate के माध्यम से कमांड भेजते हैं, जो नीति का मूल्यांकन करता है और फिर एक पृथक कंटेनर को अग्रेषित करता है। एजेंट होस्ट के पास Conclave डेटा या बाइनरी तक कोई सीधी पहुँच नहीं है।

flowchart LR
    subgraph apiFlow [API Gateway]
        Agent1[AI Agent] -->|HTTP| WG1[Wardgate]
        WG1 -->|"credentials injected"| Service[External API]
    end

    subgraph conclaveFlow [Conclaves]
        Agent2[AI Agent] -->|wardgate-cli exec| WG3[Wardgate]
        WG3 -->|"policy checked"| Exec[wardgate-exec]
    end

विशेषताएँ

API गेटवे

• क्रेडेंशियल पृथक्करण -- एजेंट कभी भी आपकी API कुंजियाँ, OAuth टोकन या पासवर्ड नहीं देखते
• पहुँच नियंत्रण -- परिभाषित करें कि प्रत्येक एजेंट क्या कर सकता है: केवल-पढ़ने का कैलेंडर, कोई ईमेल हटाना नहीं, भेजने से पहले पूछें
• प्रीसेट -- लोकप्रिय APIs (Todoist, GitHub, Cloudflare, Google Calendar, Postmark, Sentry, IMAP, SMTP, और अधिक) के लिए पूर्व-कॉन्फ़िगर सेटिंग्स
• प्रोटोकॉल एडेप्टर -- HTTP/REST पासथ्रू, SSH, IMAP और SMTP REST रैपर के साथ
• संवेदनशील डेटा फ़िल्टरिंग -- प्रतिक्रियाओं में OTP कोड, सत्यापन लिंक और API कुंजियों को स्वचालित रूप से ब्लॉक या संशोधित करें, जिसमें SSE स्ट्रीम शामिल हैं (LLM APIs के लिए प्रति-संदेश फ़िल्टरिंग)
• डायनामिक अपस्ट्रीम -- एजेंट प्रति-अनुरोध ग्लोब पैटर्न (जैसे, https://*.googleapis.com) की एक मान्य अनुमति सूची से लक्ष्य चुनते हैं

Conclaves (दूरस्थ निष्पादन)

• डेटा पृथक्करण -- प्रत्येक Conclave के पास केवल अपने डेटा तक पहुँच है (जैसे, एक नोट्स वॉल्ट, एक कोड रिपॉजिटरी)
• टूल पृथक्करण -- प्रत्येक Conclave के पास केवल वह बाइनरी हैं जिनकी उसे आवश्यकता है (जैसे, rg, git, cat)
• नेटवर्क पृथक्करण -- Conclaves केवल आउटबाउंड रूप से Wardgate से जुड़ते हैं; कोई इनबाउंड पोर्ट नहीं
• पाइपलाइन पार्सिंग -- पाइप और चेन पार्स किए जाते हैं; प्रत्येक कमांड का व्यक्तिगत रूप से मूल्यांकन किया जाता है
• कमांड नीति -- प्रति-Conclave नियम अनुमति/अस्वीकार/पूछें, तर्क पैटर्न मिलान और कार्य निर्देशिका प्रतिबंधों के साथ

क्रॉस-कटिंग

• ऑडिट लॉगिंग -- प्रत्येक अनुरोध और कमांड लॉग किया जाता है -- जानें कि आपके एजेंटों ने वास्तव में क्या किया
• अनुमोदन वर्कफ़्लो -- संवेदनशील संचालन (ईमेल भेजें, डेटा हटाएँ, git push) के लिए मानव अनुमोदन की आवश्यकता है
• विसंगति का पता लगाना -- असामान्य पैटर्न पर सतर्क करें (अचानक 100 ईमेल लाना, या अतीत की चीज़ें?)
• एडमिन UI और CLI -- अनुमोदन प्रबंधित करने, लॉग देखने और गतिविधि की निगरानी के लिए वेब डैशबोर्ड और CLI
• wardgate-cli -- एजेंटों के लिए प्रतिबंधित HTTP क्लाइंट और conclave exec टूल; curl को बदलता है और मनमाने URL से कनेक्शन को रोकता है
• wardgate-proxy -- उन एजेंटों के लिए स्थानीय रिवर्स प्रॉक्सी जो अपने स्वयं के HTTP क्लाइंट का उपयोग करते हैं; पारदर्शी रूप से एजेंट कुंजी इंजेक्ट करता है

यह किसके लिए है?

आप OpenClaw, AutoGPT, या कस्टम LLM टूलिंग जैसे AI एजेंटों का उपयोग करना चाहते हैं -- लेकिन आप उन्हें अपने जीवन तक सीधी पहुँच देने में सहज नहीं हैं। मुझे यकीन नहीं है कि मैं कभी AI एजेंटों के साथ सहज हो पाऊँगा जिनमें अंतर्निहित एक्सेस कंट्रोल हो।

Wardgate आपको AI ऑटोमेशन के लाभ प्राप्त करने देता है जबकि एजेंट और आपके खातों के बीच एक सुरक्षा सीमा बनाए रखता है।

उपयोग के मामले:

• कैलेंडर, ईमेल और कार्य पहुँच वाला व्यक्तिगत AI सहायक
• सीमित API और git पहुँच वाले विकास एजेंट
• ऐसे एजेंट जिन्हें पृथक वातावरण (नोट्स, कोड रिपॉजिटरी) में फ़ाइलें खोजने या संपादित करने की आवश्यकता है
• मल्टी-एजेंट सेटअप जहाँ आप एजेंटों के बीच पृथक्करण चाहते हैं
• कहीं भी जहाँ आप अन्यथा एजेंट के कॉन्फ़िग में क्रेडेंशियल्स चिपकाते

त्वरित उदाहरण

API गेटवे (HTTPS)

अपने एजेंट को Todoist API कुंजी देने के बजाय, प्रीसेट के साथ Wardgate कॉन्फ़िगर करें:

endpoints:
  todoist:
    preset: todoist
    auth:
      credential_env: WARDGATE_CRED_TODOIST_API_KEY
    capabilities:
      read_data: allow       # कार्य, परियोजनाएँ पढ़ें
      create_tasks: allow    # नए कार्य बनाएँ
      close_tasks: allow     # कार्य पूर्ण चिह्नित करें
      delete_tasks: deny     # कभी न हटाएँ

आपका एजेंट https://wardgate.internal/todoist/tasks पर कॉल करता है -- Wardgate वास्तविक क्रेडेंशियल्स इंजेक्ट करता है और आपके नियमों को लागू करता है।

API गेटवे (SSH)

अपने एजेंट को SSH कुंजी देने के बजाय, प्रीसेट के साथ Wardgate कॉन्फ़िगर करें:

endpoints:
  ssh:
    preset: ssh
    ssh:
      host: prod.example.com
      username: deploy
      known_host: "prod.example.com ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA..."
    auth:
      credential_env: WARDGATE_SSH_KEY_PROD
    capabilities:
      exec_commands: ask  # प्रत्येक कमांड के लिए अनुमोदन आवश्यक

Conclave

अपने एजेंट को होस्ट पर कमांड चलाने देने के बजाय, एक Conclave कॉन्फ़िगर करें:

conclaves:
  obsidian:
    description: "Obsidian vault (व्यक्तिगत नोट्स)"
    key_env: WARDGATE_CONCLAVE_OBSIDIAN_KEY
    cwd: /data/vault
    rules:
      - match: { command: "cat" }
        action: allow
      - match: { command: "rg" }
        action: allow
      - match: { command: "tee" }
        action: ask          # मानव अनुमोदन आवश्यक
      - match: { command: "*" }
        action: deny

आपका एजेंट wardgate-cli exec obsidian "rg 'meeting notes' ." चलाता है -- Wardgate प्रत्येक कमांड को नीति के विरुद्ध जाँचता है और फिर पृथक वातावरण को अग्रेषित करता है।

त्वरित आरंभ

cp .env.example .env           # अपने क्रेडेंशियल्स जोड़ें
cp config.yaml.example config.yaml  # एंडपॉइंट और conclaves कॉन्फ़िगर करें

./wardgate -config config.yaml

सभी स्थापना विधियों (पूर्व-निर्मित बाइनरी, Docker, स्रोत से निर्माण) के लिए INSTALL.md देखें।

दस्तावेज़ीकरण

• स्थापना -- पूर्व-निर्मित बाइनरी, Docker, स्रोत से निर्माण
• सुरक्षा आर्किटेक्चर -- Wardgate आपके क्रेडेंशियल्स की सुरक्षा कैसे करता है
• नीति प्रणाली -- नियम लिखना और कॉन्फ़िगर करना
• प्रीसेट संदर्भ -- अंतर्निहित प्रीसेट और क्षमताएँ
• कॉन्फ़िगरेशन संदर्भ -- सभी कॉन्फ़िगरेशन विकल्प
• Conclaves -- पृथक दूरस्थ निष्पादन वातावरण
• wardgate-cli -- एजेंटों के लिए प्रतिबंधित HTTP क्लाइंट और conclave exec
• wardgate-proxy -- अपने स्वयं के HTTP क्लाइंट वाले एजेंटों के लिए स्थानीय रिवर्स प्रॉक्सी
• wardgate-cli AI कौशल -- AI एजेंटों को wardgate-cli का उपयोग सिखाने के लिए कौशल फ़ाइल
• तैनाती गाइड -- Docker, Caddy, और उत्पादन सेटअप

परीक्षण

go test ./...