Securekit

# Securekit

**Securekit protegge ciò che i tuoi modelli eseguono—in qualsiasi sistema di IA.**

Securekit è un **kernel di sicurezza agnostico rispetto al protocollo per l'esecuzione degli strumenti di IA**.  
Si colloca tra qualsiasi sistema LLM o agente e gli strumenti che utilizzano, applicando **esecuzione zero-trust, isolamento in sandbox e controllo basato su policy**.

È progettato per essere **drop-in, modulare ed estensibile**, funzionando con MCP, tool calling di OpenAI e framework per agenti personalizzati.

---

# 🧠 Perché esiste Securekit

I moderni sistemi di IA non si limitano più a generare testo: eseguono azioni:

- leggere e scrivere file  
- chiamare API esterne  
- eseguire codice  
- attivare flussi di lavoro  
- interagire con sistemi e reti  

Questo introduce un rischio critico:

> Ogni chiamata a uno strumento è una potenziale superficie d'attacco.

Securekit introduce un **livello di sicurezza universale per l'esecuzione** che impone il controllo prima che qualsiasi azione venga eseguita.

---

# 🧱 Panoramica dell'architettura

```text
LLM / Agent System
        ↓
Protocol Adapter Layer
(MCP / OpenAI / Custom / Future Protocols)
        ↓
Securekit Core
- Policy Engine
- Capability System
- Prompt Firewall
- Risk Scoring Engine
- Intent Classifier
- Data-Flow Firewall
- Audit & Receipts
        ↓
Sandbox Orchestrator
(gVisor / Firecracker / Docker / WASM)
        ↓
Controlled Execution Layer
(Filesystem / Network / System Boundaries)
```

# ⚙️ Elenco completo delle funzionalità

## 🔌 Progettazione agnostica rispetto al protocollo
- Funziona con qualsiasi sistema di IA o framework per agenti
- Livello adattatore compatibile con MCP
- Supporto per il tool/function calling di OpenAI
- Interfaccia adattatore di protocollo personalizzata
- Livello di astrazione del protocollo a prova di futuro

---

## 🛡️ Motore di policy Zero-Trust
- Ogni chiamata a uno strumento viene validata prima dell'esecuzione
- Regole di policy dichiarative
- Ereditarietà delle policy a più livelli (globale, organizzazione, progetto, sessione)
- Modello di sicurezza a negazione predefinita (default-deny)

---

## 🧩 Sistema di capability
- Permessi con scadenza temporale (accesso basato su TTL)
- Capability degli strumenti con ambito definito
- Diritti di esecuzione revocabili
- Controllo granulare degli accessi agli strumenti

---

## 🧠 Firewall contro l'iniezione di prompt
- Rileva i tentativi di sovrascrittura delle istruzioni
- Neutralizza i comandi nascosti o dannosi negli output degli strumenti
- Protegge dalle catene di iniezione indiretta di prompt
- Igienizza i contenuti non attendibili generati dal modello

---

## 🌐 Firewall del flusso di dati
- Controlla come i dati si spostano tra gli strumenti
- Previene la concatenazione non sicura degli output
- Blocca i pattern di esfiltrazione tra strumenti
- Applica regole di instradamento dei dati basate sul rischio

---

## 🧪 Motore di simulazione dell'esecuzione
- Simula l'esecuzione dello strumento prima di eseguirlo
- Prevede le violazioni delle policy
- Previene azioni non sicure prima dell'esecuzione
- Modalità dry-run per operazioni ad alto rischio

---

## 📊 Sistema di fiducia e reputazione
- Punteggio di fiducia dinamico per strumento
- Analisi comportamentale nel tempo
- Degradazione automatica del rischio per strumenti sospetti
- Vincoli di esecuzione adattivi basati sulla fiducia

---

## 🧯 Kill Switch e modalità di contenimento
- Arresto immediato dell'esecuzione al rilevamento di anomalie
- Modalità di isolamento della sessione
- Revoca automatica dei privilegi
- Esecuzione di fallback in stato sicuro

---

## 🧾 Ricevute di esecuzione (sistema di audit)
- Log di esecuzione tracciabili crittograficamente
- Hashing di input/output
- Tracciamento delle decisioni di policy
- Metadati di esecuzione della sandbox
- Tracciabilità forense completa

---

## 🔐 Livello di esecuzione in sandbox
- Supporto sandbox gVisor (predefinito)
- Isolamento VM Firecracker (modalità ad alta sicurezza)
- Esecuzione in container Docker (modalità di compatibilità)
- Supporto runtime WASM (esecuzione leggera)
- Ambienti filesystem e di rete completamente isolati

---

## 🧭 Sistema di classificazione dell'intento
- Classifica l'intento di utilizzo dello strumento:
  - recupero dati
  - modifica del sistema
  - comunicazione esterna
  - comportamento sconosciuto
- Applicazione delle policy in base al tipo di intento

## Modulo del sistema di classificazione dell'intento

Abilita una sicurezza intelligente basata sull'intento attraverso un'analisi multi-agente coordinata che valuta *perché* uno strumento viene invocato prima che venga eseguito. Invece di affidarsi esclusivamente ai nomi degli strumenti o alle azioni richieste, agenti specializzati collaborano per classificare l'intento di esecuzione, valutare il rischio e applicare policy di sicurezza in base al risultato previsto.

### Funzionalità

- Classificazione dell'intento multi-agente
- Rilevamento del recupero dati
- Rilevamento della modifica del sistema
- Rilevamento della comunicazione esterna
- Rilevamento di comportamenti sconosciuti o ambigui
- Punteggio di confidenza dell'intento
- Analisi dell'intento sensibile al contesto
- Validazione del consenso tra agenti
- Applicazione delle policy in base all'intento classificato
- Verifica delle capability specifiche dell'intento
- Escalation automatica per intenti incerti
- Rilevamento di anomalie dell'intento
- Confronto storico degli intenti
- Registrazione di audit degli intenti
- Tassonomie di intento configurabili
- Plugin personalizzati per la classificazione degli intenti
- Supporto per intenti multi-etichetta
- Risoluzione dei conflitti di intento
- Hook di apprendimento adattivo per futuri classificatori
- Monitoraggio degli intenti in tempo reale
- Decisioni di classificazione spiegabili
- Integrazione con il motore di policy e i controlli della sandbox

### Flusso di lavoro multi-agente

1. **Agente di analisi delle richieste**
   - Analizza la richiesta di strumento in arrivo.
   - Estrae i metadati contestuali e gli obiettivi di esecuzione.

2. **Agente di classificazione dell'intento**
   - Determina l'intento di esecuzione più probabile.
   - Assegna punteggi di confidenza a una o più categorie di intento.

3. **Agente di validazione del contesto**
   - Esamina la cronologia della conversazione, lo stato del flusso di lavoro e le azioni precedenti.
   - Rileva incoerenze o contesti sospetti.

4. **Agente di valutazione del rischio**
   - Valuta le implicazioni di sicurezza dell'intento classificato.
   - Identifica comportamenti ad alto rischio o inattesi.

5. **Agente di applicazione delle policy**
   - Applica policy di sicurezza specifiche per l'intento.
   - Valida permessi, capability e vincoli di esecuzione.

6. **Agente di consenso**
   - Risolve i disaccordi tra gli agenti di classificazione e validazione.
   - Produce una decisione finale verificata sull'intento.

7. **Agente di audit**
   - Registra i risultati di classificazione, i livelli di confidenza, le decisioni di policy e gli esiti di esecuzione per l'analisi forense.

### Categorie di intento supportate

- Recupero dati
- Modifica del sistema
- Comunicazione esterna
- Comportamento sconosciuto
- Intenti personalizzati definiti dall'amministratore

### Vantaggi

- Previene l'esecuzione basata esclusivamente su presupposti generati dal modello
- Rileva pattern comportamentali dannosi o inattesi
- Migliora il processo decisionale zero-trust
- Riduce l'impatto degli attacchi di iniezione di prompt
- Consente un'applicazione granulare delle policy
- Fornisce decisioni di sicurezza spiegabili
- Migliora l'auditabilità e la conformità
- Supporta la sicurezza IA agnostica rispetto al protocollo in qualsiasi framework LLM o per agenti

---

## 🌍 Controlli di sicurezza di rete
- Negazione predefinita dell'accesso di rete in uscita
- Allowlist di domini/IP
- Policy di rete specifiche per strumento
- Ispezione opzionale a livello di richiesta
- Euristiche di rilevamento dell'esfiltrazione

---

## 🔁 Livello di traduzione cross-protocollo
- Interoperabilità degli strumenti MCP ↔ OpenAI
- Modello di esecuzione unificato tra framework
- Conversione di protocollo basata su adattatori
- Compatibilità futura con altri protocolli integrata

---

## 🧩 Architettura a plugin
- Pipeline di sicurezza estendibile
- Moduli firewall personalizzati
- Plugin per il punteggio del rischio
- Moduli di conformità e governance
- Estensioni di sicurezza specifiche per dominio

---

## 🔁 Simulazione dell'esecuzione e modalità anteprima
- Analisi pre-esecuzione di tutte le chiamate agli strumenti
- Anteprima dell'impatto delle policy
- Valutazione sicura delle operazioni ad alto rischio

---

## 🔐 Firma crittografica delle policy
- Applicazione di policy firmate
- Validazione della configurazione a prova di manomissione
- Distribuzione sicura delle policy per team e aziende

---

## 📈 Dashboard di osservabilità (in programma)
- Grafici di esecuzione degli strumenti
- Tracciamento delle decisioni di policy
- Monitoraggio dell'attività della sandbox
- Mappe di calore del rischio
- Cronologia degli eventi di sicurezza

---

# 🧩 Filosofia di progettazione

> Nessun sistema di IA dovrebbe eseguire, accedere o comunicare direttamente senza passare attraverso un kernel di sicurezza verificabile.

Securekit applica:

- Zero fiducia implicita  
- Confini di esecuzione controllati  
- Piena auditabilità di tutte le azioni degli strumenti  
- Indipendenza dal protocollo (MCP, OpenAI, agenti personalizzati, sistemi futuri)  
- Architettura di sicurezza estensibile basata su plugin  

Il sistema è progettato come **substrato di sicurezza per l'IA agentica**, non come wrapper applicativo.

---

# 🚀 Installazione (prossimamente)

Securekit è attualmente nella fase iniziale di progettazione.  
Verranno fornite implementazioni di riferimento per:

- Python SDK  
- Node SDK  
- Runtime core Rust  
- Strumenti CLI  
- Distribuzione Docker  
- Modalità sidecar Kubernetes  

---

# 🤝 Contributi

I contributi sono benvenuti.

Assicurati che tutti i contributi:
- siano conformi ad AGPL-3.0+  
- rispettino i principi di esecuzione zero-trust di Securekit  
- seguano gli standard delle interfacce adattatore e plugin  
- non aggirino i livelli di sandbox o di applicazione delle policy  

---

## Licenza di branding delle specifiche (SBL)

### Standard
- Sistema pienamente conforme ad AGPL-3.0+
- Copyleft applicato per le distribuzioni di rete
- Attribuzione richiesta:
  - Roxanne Ardary
  - https://www.roxanneardary.com/

### Opzionale

- **Licenza di branding delle specifiche (SBL)**
  - Distribuzione commerciale senza attribuzione
  - Prezzi basati su scala, utilizzo e ambito di distribuzione
  - [https://roxanneardary.com/securekit/](https://roxanneardary.com/securekit/)

---

# 📜 Requisiti di licenza e di avviso

Securekit è rilasciato sotto la **GNU Affero General Public License v3.0 o successive (AGPL-3.0+)**.   
Contribuendo a questo progetto, accetti che anche i tuoi contributi vengano rilasciati sotto questa licenza.

Nota quanto segue:

- Tutti i contributi devono essere conformi ai termini della **AGPL-3.0+**.  
- Ai sensi della **Sezione 7** della licenza, tutte le ridistribuzioni, i fork e le opere derivate devono preservare l'attribuzione a:  
  **Roxanne Ardary** e **[roxanneardary.com](https://www.roxanneardary.com/)**.  
- Le specifiche di Securekit sono libere da usare con attribuzione. Una Licenza di branding delle specifiche può essere negoziata su richiesta.
- Il file **notice.md** del progetto tiene traccia dei requisiti di attribuzione e dei riconoscimenti dei contributori.  
  Qualsiasi aggiornamento che aggiunga nuovi contributori o modifichi l'attribuzione dovrebbe aggiornare anche `notice.md`.  
- Quando invii una pull request, assicurati che eventuali nuovi file mantengano le intestazioni di attribuzione dove applicabile.
- Le versioni di questo software distribuite in rete devono inoltre rimanere pienamente conformi ad AGPL-3.0+, inclusa la divulgazione delle modifiche al codice sorgente quando applicabile ai sensi della licenza.

Per tutti i dettagli legali, fare riferimento alla licenza AGPL-3.0+ e al file `notice.md` del progetto.

---

# 🛡️ Riepilogo

Securekit è un **kernel di sicurezza agnostico rispetto al protocollo per l'esecuzione degli strumenti di IA** che fornisce:

- Applicazione zero-trust  
- Ambienti di esecuzione in sandbox  
- Rilevamento delle minacce consapevole dell'IA  
- Compatibilità cross-protocollo  
- Piena auditabilità dell'esecuzione  

Funziona come **livello di sicurezza universale per i sistemi di IA agentica**, garantendo che nessun modello possa eseguire strumenti senza passare attraverso un piano di controllo verificabile.

**Open Arsenal Hub**  
[https://gitlab.com/Roxanne_Ardary/open-arsenal-specs](https://gitlab.com/Roxanne_Ardary/open-arsenal-specs)