AegisGraph — Piattaforma di Ingegneria

Scoperta automatizzata delle vulnerabilità guidata da grafi per applicazioni di messaggistica sicura. Implementazione ingegneristica di 577 Industries per l'argomento DARPA SBIR Direct-to-Phase-II HR0011SB20254-12 (ASEMA).

Cerchi artefatti per valutatori? Il rilascio di fattibilità pubblico e sanitizzato si trova in 577-Industries/asema-feasibility-artifacts al tag v1.0.0-asema-dp2-feasibility. Inizia da lì se stai verificando le affermazioni nella proposta ASEMA.

Cosa Contiene Questo Repository

La piattaforma ingegneristica — l'implementazione effettiva dietro AegisGraph:

Avvio Rapido

git clone https://github.com/577Industries/aegisgraph
cd aegisgraph
git checkout v1.0.0-tier3-research

# Recommended: use the pinned devcontainer
devcontainer up
make tooling-strict                # verify pinned toolchain
python3 -m pytest -q               # expect 1030 passed, 19 skipped

# Per-engine smoke tests
make reprochain-map                # ReproChain reachability mapping
make polydiff-regression           # PolyDiff differential parser regression (8 historical CVE rediscoveries)
make extract                       # static extraction over pinned SMAs
make smabench                      # SMABench benchmark generation
make validate                      # evidence + CETM validation
make reproduce                     # full reproduction pipeline

Il punto di ingresso CLI è aegisgraph dopo l'installazione, o python3 -m aegisgraph.cli da questo checkout.

Posizione di Ricerca

• Solo ricerca difensiva in cybersecurity. Nessun sondaggio di target live, interazione con account di produzione, test con credenziali o scansione senza autorizzazione scritta.
• Nessun payload armato negli artefatti pubblici (i byte che causano crash sono solo hash; i trace stack grezzi rimangono lato ingegneristico).
• Nessuna ridistribuzione grezza del sorgente del target. Lavoriamo da ancore di sorgente pubbliche (Signal Android e Element X Android ancorati a commit).
• Artefatti pubblici controllati da make export-public-sanitized e approvazione umana esplicita prima della pubblicazione.
• Falsificabilità. Un test di corruzione deliberata nel validatore conferma che l'introduzione di un pattern proibito, un marcatore di ridistribuzione del sorgente del target o una mancata corrispondenza della chiave del vettore di punteggio viene rilevata e rifiutata — la disciplina è testabile, non solo dichiarata.

Test

• 1030 test superati al cut v1.0 (tag v1.0.0-tier3-research, commit d91c1df6)
• 19 saltati (controllati dal provisioning del runner self-hosted per il task T-M4.1; devcontainer porta il conteggio dei saltati a 0)
• CI: .github/workflows/ci.yml viene eseguito su push; reproduce.yml è if: false finché non viene fornito il runner self-hosted
• Controllo di sanitizzazione: validator/sanitize_check.py applica 9 regole su ogni candidato di esportazione pubblica prima che qualsiasi artefatto lasci questo repository

Registro Decisioni

I 14 ADR in docs/decision-log/ documentano ogni decisione architetturale:

Rilasci + Tag

• v1.0.0-tier3-research (corrente, maggio 2026) — ensemble completo di 6 motori, 1030 test superati, Schema v2, CETM a 82 affermazioni
• v0.3.0-tier3-research (maggio 2026) — baseline v0.3 (conservato come ancoraggio storico)

Il corrispondente rilascio di fattibilità pubblico si trova in 577-Industries/asema-feasibility-artifacts:

• v1.0.0-asema-dp2-feasibility (corrente) — pacchetto figure F15-F22, CETM a 82 affermazioni, baseline-tool-delta, schema polydiff v1.0, matrice di tracciabilità completa
• v0.3.0-asema-dp2-feasibility — ancoraggio storico; conservato alla lettera

Licenza

Apache-2.0. Vedi LICENSE.

Fonte della Verità

SPEC.md è la specifica tecnica operativa. Se implementazione e specifica divergono, aggiorna la specifica deliberatamente.