AEGIS

AIコーディングエージェント向けの独立したOSレベルの可観測性

AIエージェントがマシン上で実際に行う動作（プロセス、ファイル、ネットワーク）を、エージェントの外部から監視します。フックは不要です。

AEGISは、AIエージェント向けの独立したOSレベルの監視ツールです。 エージェントがどのように起動されたか、監視に協力するかどうかに関係なく、エージェントのプロセス、ファイルアクセス、ネットワークアクティビティを監視し、すべての観測結果を特定のエージェントインスタンスに紐付け、その帰属の根拠を記録として明示します。CommonJSベースのJavaScript監視エンジン上に構築され、レンダラーと共有型にはTypeScriptを使用しています。オープンソース、ローカル動作、テレメトリなし — すべてのデータはお使いのマシン上に留まります。

_{デモはv0.10.0-alphaで記録されたものです。一部のラベルはその後改名されています。}

ダウンロード · バグを報告 · 機能リクエスト · コントリビューション

AEGISが監視する内容

上記のカウントされた事実は手作業で管理されているわけではありません。npm run counts:check はCI実行のたびにツリーからすべての文書化されたカウンターを再導出し、ドキュメント内の数値が実際の状態から乖離した場合にビルドを失敗させます。

エビデンスグラフ

AEGISをプロセスビューアから区別するのはセンサーではなく、すべてのイベントがエージェントインスタンスに紐付けられ、監査可能なエビデンスが付随していることです：

• インスタンスの同一性。 エージェントはpid + OSの誕生時刻（instanceId）でキー付けされるため、再利用されたPIDは新しいインスタンスであり、古いインスタンスの履歴の継続ではありません。IDキャッシュは証人によってゲートされ、CIはインジェクション証明（npm run verify:gate、4つのミュータント）を実行し、IDが古いキャッシュから提供される可能性がある場合は赤になります。
• 明示されたエビデンスによる帰属。 すべての監査レコードにはpid、instanceId、および3つのステータス（confirmed（確認済み）、inferred（推測）、unattributed（帰属なし））のいずれかを持つattributionオブジェクトが含まれ、クローズドなエビデンスコードのレジストリによって裏付けられています。AEGISがどのエージェントがファイルに触れたかを知らない場合、unattributed（帰属なし）と表示します。所有者を推測して表示することは決してありません。
• 改ざん検知可能なログ。 監査イベントはハッシュチェーン化されたJSONL（Event Schema v1）で、毎日ローテーション、30日間の保持、書き込みバッファがオーバーフローした場合の明示的な損失マーカーが付いています。
• 主張ではなく測定。 IDメカニズムはリポジトリ内でベンチマークされています。プロバイダーの誕生時刻の一致率は、記録された両方の実行で比較可能なすべてのプロセスに対して正確でした（542/542および419/419）。プロセススナップショットのサイドカーはスキャンあたり約10 msかかり、フォールバックプロバイダーは数百から数千msかかります。実行ごとのテーブル、環境、および明記されたギャップはdocs/bench/にあります。

エビデンス: src/main/process-identity.js · src/main/attribution.js · 正確性監査 · ベンチマーク 2026-08-12 · ベンチマーク 2026-08-13

モニターファースト

AEGISはカメラであり、警備員ではありません。 現在、エージェントをOSレベルでブロックすることはありません。カーネルフックや自動的な強制執行はありません。プロセス制御（kill / suspend / resume）は手動かつユーザー起動のみです。アクティブなブロッキングはロードマップにあり、現在のリリースには含まれていません。可視性、監査、異常検出にはAEGISを使用し、強制執行が必要な場合はサンドボックスと組み合わせてください。

AEGISがエージェント内監視と異なる点

ほとんどのAIエージェント監視ツールはエージェント自体を計測します — Claude Codeプラグイン、IDE拡張機能、SDKラッパーなどです。この配置には構造的な盲点があります。エージェントは、フックをインストールした場合（またはユーザーがインストールした場合）にのみ表示されます。生のpython autogpt.py、ラップされていないバイナリ、または単に協力しないツールは、エージェント内計測では見えません。

代わりにAEGISはOSレイヤーに位置します。エージェントの外部からプロセス、ファイル、ネットワークアクティビティを監視するため、見えるものはエージェントの協力に依存せず、AEGIS自身のカバレッジにのみ依存します（既知の制限を参照）。ローカルでエージェントを監視するツールはAEGISだけではありません — 例えばAgentSightはLinuxのeBPFレイヤーから監視します — また、フックベースのツールは競合ではなく補完的です。フックはオプトインしたエージェント内部の意図（プロンプト、ツール呼び出し）を見る一方、AEGISはマシン上で実行されるものすべてに対する効果（プロセス、ファイル、接続）を、協力を必要とせずにエージェントインスタンスに紐付けて見ます。

既知の制限

較正できないモニターは信頼できないモニターです。そのため、制限は後から発見されるのではなく、ここに明記されています。このリストの背後にある再検証済みの調査結果（それぞれOPEN/CLOSEDステータス付き）は正確性監査にあります。簡潔版は以下のとおりです：

• カバレッジはシグネチャおよびヒューリスティックベースです。 検出は110のエージェント（262のプロセス名シグネチャ）とヒューリスティック（WSL、IDE拡張機能、ローカルLLMプローブ）から始まります。これらのいずれにも一致しないエージェントバイナリは検出されません。
• ポーリングには盲点があります。 スキャン間隔（約10秒）の間に生成および終了したプロセスは決して観測されません。ベンチマークページにはこれが明示されています。ETWによるイベントごとのキャプチャはロードマップにあり、静的調査はすでにdocs/recon/kernel-file-etw.mdにあります。
• macOS/LinuxのIDは劣化しています。 これらのプラットフォームは現在OSの誕生時刻を提供しないため、インスタンスIDはPIDのみにフォールバックし、PID再利用の下では安全ではありません。トークンコスト追跡はWindowsのみです。
• UIイベントウィンドウは静かに切り詰められます。 レンダラーは合計と一致しない可能性のある境界付きイベントウィンドウを保持し、切り詰めバナーはまだありません。
• センサーヘルスは追跡されていますが、まだ表示されていません。 メインプロセスはファイルシステムおよびネットワークセンサーのセンサーごとのヘルスを記録しますが、UIは静かなマシンと死んだセンサーをまだ区別できず、プロセススキャンのオーバーランはカウンターなしでスキップされます。
• 監査損失マーカーには正常なフラッシュが必要です。 ディスクがまだ失敗している間にプロセスが強制終了された場合、追い出された監査エントリはディスク上のマーカーなしで失われる可能性があります。

意図的に主張しないこと

このREADMEの数値は、リポジトリから導出された場合（npm run counts:checkで強制）または文書化された方法で測定された場合にのみ表示されます。人々が求める数値の中にはまだ存在しないものがあるため、それらは記載しません：

• 起動時間。 スタートアップベンチマークは存在しません。以前の「2秒未満」という主張は、未測定のまま維持するのではなく削除されました。
• 検出率または誤検出率。 独立したオラクルを備えたシナリオベンチマーク（bench/、Sysmon/Procmonに対してスコアリング）は存在しますが、Windowsのみで、1つのシナリオをカバーし、CIでは実行されません — 率の根拠にはなりません。
• オーバーヘッド。 AEGIS自身のCPU/RAMコストは、文書化された方法で測定されていません。
• ベンチマークの高速化の見出し。 測定されたスナップショット対フォールバックの比率は、同じマシン上の2日間で193倍から51倍に変化しました。永続的な主張はより弱い方です — スナップショット約10 ms、フォールバック数百から数千ms — そしてここで引用されるのはその形式のみです。
• イベントごとの信頼スコア。 グラウンドトゥルースベンチマークが存在するまで、製品から意図的に除外されています。
• テスト数。 手作業でコピーされたスイート数は静かに古くなります。スイートは自身の数を出力し、CIはすべてのコミットでそれを実行します。

独立した監視の理由

AIエージェントはファイル、認証情報、シェルコマンドへの深いアクセス権を持って実行されます。リスクは仮説ではありません。KasperskyによるOpenClaw事件の報告書では、2026年1月のセキュリティ監査で512の脆弱性（うち8件は重大） が特定され、より深い問題はアーキテクチャ上のものであると主張しています — 特権的なローカルアクセスと外部通信能力の組み合わせです（Kaspersky, 2026-02-10）。パッチはバグを修正しますが、エージェントがマシン上で実際に何をしたかについての可視性は提供しません。その可視性こそがAEGISが追加するレイヤーです。

ダウンロード

Windowsインストーラー

v0.11.0-alpha以降、リリースにはWindows NSISインストーラーが同梱されています — 最新リリースから.exeをダウンロードしてください。v0.13.0-alpha以降のリリースには署名付きマニフェストも同梱されており、このリポジトリにコミットされた公開鍵に対してダウンロードをオフラインで検証できます — AEGISリリースの検証を参照してください。それ以前のリリースにはマニフェストがなく、この方法で検証できません。

ソースから（全プラットフォーム）```bash

git clone https://github.com/antropos17/Aegis.git cd Aegis npm install npm start

> **Node.js 24.x** が必要です（`package.json` の `engines`）。Windows 10/11 推奨。macOS/Linux は試験的サポート（[#37](https://github.com/antropos17/Aegis/issues/37)）— [既知の制限](#known-limits) を参照してください。

### AIエージェントなしで試す

AIエージェントを実行していない場合でも、デモモードを使えばシミュレートされたデータでダッシュボードの全機能を探索できます。実際の監視も実際のプロセスも不要です。```bash
npm run dev
# then open http://localhost:5174

開発サーバーはデモシナリオエンジンを内蔵しています — vite.config.js はコマンドが serve の場合に常にこれを有効化するため、シミュレートされたダッシュボードは別途ビルドステップやElectronなしでレンダリングされます。静的で共有可能なビルド（開発サーバーやElectronなし）の場合は、npm run build:demo を実行し、生成された dist/demo ディレクトリを任意の静的ファイルサーバーで配信してください（ビルドは相対アセットパスを使用するため、どのホストでも動作します）。

デモモードは、calm → elevated → critical → reset の4つの脅威フェーズを循環するシナリオエンジンを実行し、最大12のシミュレートされたAIエージェント（Claude Code、Copilot、Cursorなど）を扱います。ファイルアクセスイベント、ネットワーク接続、異常スコア、リスク評価はすべてリアルタイムで生成されるため、すべてのタブと機能が完全に動作します。

これを利用して、デプロイ前にAEGISを評価したり、チームにUIをデモしたり、ライブのWindows環境を必要とせずに新機能を開発したりできます。

リリース履歴

機能

検出 — 110エージェント（262のプロセス名シグネチャ）、親チェーン解決、機密パスとエージェント設定の監視、信頼グレード（A+〜F）付きのエージェント別リスクスコアリング、ローカルLLM検出、誤検知マーキング

分析 — 移動平均による行動ベースライン、多軸異常検出、Anthropic API経由のAI脅威評価（オプトイン）、印刷可能なHTML脅威レポート

ダッシュボード — Bentoグリッドダッシュボード: RiskRingゲージ、TrustBadge、フィルター付きアクティビティフィード、属性ツールチップ付きセッションタイムライン、展開可能なエージェントカード、保護プリセット（Paranoid/Strict/Balanced/Developer）、コマンドパレット（Ctrl+K）、キーボードショートカット（Ctrl+1-5）、ダーク/ライトテーマ、トースト通知、OOM保護

エクスポート — JSON、CSV、HTMLレポート、ワンクリックZIPアーカイブ、ハッシュチェーン化JSONL監査ログ（毎日ローテーション、30日間保持）

i18n — 英語ベース（en.json）の国際化対応。コミュニティ翻訳を歓迎します

CLI — スクリプト用の--scan-json、--version、--help

YAMLルールセット

• 8カテゴリ（AI設定、シークレット、SSH、クラウド、ブラウザ、開発ツール、暗号通貨、証明書）にわたる73の検出ルール
• rules/_schema.json に対して検証済み。ルールセットの編集は再起動なしでホットリロードされます
• rules/ に .yaml を追加することで拡張可能。ルールIDは一意である必要があります — 重複IDは上書きされずスキップされます。新しく追加されたファイルは、ウォッチャーが既存のトップレベルファイルの変更に反応するため、次回のリロードまたは再起動時に取得されます

スクリーンショット

デモビルド（npm run build:demo）から取得、2026-08-21。

📸 シールド — リアルタイム概要

📸 アクティビティフィード

📸 ルールと権限

📸 レポートとエクスポート

📸 エージェント統計

📸 設定

アーキテクチャ```

┌───────────────┐ ┌────────────────┐ ┌───────────────┐ ┌───────────────┐ │ Process │ │ File │ │ Network │ │ LLM Runtime │ │ Snapshot │ │ Watcher │ │ Monitor │ │ Detector │ │ (sidecar with │ │ (chokidar + │ │ (TCP + rDNS + │ │ (Ollama / LM │ │ CIM fallback)│ │ handle / RM) │ │ verdicts) │ │ Studio) │ └──────┬────────┘ └──────┬─────────┘ └──────┬────────┘ └──────┬────────┘ └──────────────┬───┴───────────────────┴──────────────────┘ ▼ ┌───────────────────────────────┐ │ Identity & Attribution │ │ instanceId = pid + birth time │ │ evidence codes, no guessing │ └──────┬────────────────┬───────┘ ▼ ▼ ┌──────────────────┐ ┌─────────────────────┐ │ Baselines + │ │ Audit Logger │ │ Anomaly (4-axis) │ │ (Event Schema v1, │ │ Risk Engine │ │ hash-chained JSONL) │ └──────┬───────────┘ └──────┬──────────────┘ ▼ ▼ ┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ │ Dashboard │ │ Exports │ │ CLI │ │ (Svelte IPC) │ │ (JSON/CSV/HTML/ │ │ (--scan-json │ │ │ │ ZIP) │ │ --version) │ └──────────────┘ └──────────────────┘ └───────────────┘

Per-sensor health records live in the main process; surfacing them in the UI is on the roadmap.

**スタック**: Electron 43、Svelte 5、Vite 7、Vitest。監視エンジンはJavaScript（CommonJS）です。TypeScriptはレンダラーと共有型定義で使用されています。CIはビルド、lint、svelte-check、テスト、監査ジョブで全てのマージを検証します。`npm run counts:check`はツリーから文書化された全てのカウンターを再導出し、`npm run verify:gate`は注入されたミュータントに対するアイデンティティ証跡を証明し、`npm run verify:seq-gate`は注入されたミュータントに対するシーケンスエンジンを証明します。

## エージェントデータベース

[`src/shared/agent-database.json`](https://github.com/antropos17/aegis/blob/master/src/shared/agent-database.json) に110のエージェントが登録されています:

**コーディング** — Claude Code、GitHub Copilot、Cursor、Windsurf、Tabnine、Amazon Q、Cody、Aider
**自律型** — OpenClaw、Devin、Manus AI、OpenHands、SWE-Agent、AutoGPT、BabyAGI、CrewAI
**デスクトップ** — Anthropic Computer Use、Google Gemini、Apple Intelligence、Microsoft Copilot
**フレームワーク** — LangChain、Semantic Kernel、AutoGen、MetaGPT、TaskWeaver
**ローカルLLM** — Ollama、LM Studio、vLLM、llama.cpp、LocalAI、GPT4All、Jan

UIまたはJSONの編集でカスタムエージェントを追加できます。[AGENTS.md](https://github.com/antropos17/aegis/blob/master/AGENTS.md) を参照してください。

## ロードマップ

以下は全て**計画中**であり、まだリリースされていません。AEGISは現在モニター専用です（[モニター優先](#monitor-first)を参照）。

- [ ] アクティブブロッキング — 違反時にルールを強制（ユーザースペース、実行前。カーネルドライバーは対象外）（現在: 監視とログのみ）
- [ ] UIにセンサーごとのヘルスを表示 — メインプロセスのレコードは存在します（[設計](https://github.com/antropos17/aegis/blob/master/docs/roadmap/sensor-health-degraded.md)）
- [ ] 検出ルールのMITRE ATT&CKマッピング
- [ ] MLベースの異常検知（現在: ハードコードされたヒューリスティック重み）
- [ ] ファーストクラスのmacOSおよびLinuxサポート（現在は実験的 — [#37](https://github.com/antropos17/Aegis/issues/37)）
- [ ] ローカル推論検出のためのGPUモニタリング
- [ ] プロセスごとのファイル属性（ETW、fanotify）— 静的偵察: [docs/recon/kernel-file-etw.md](https://github.com/antropos17/aegis/blob/master/docs/recon/kernel-file-etw.md)
- [ ] コンテナ/VM検出（Docker、WSL）
- [ ] WebベースのAIエージェント用ブラウザ拡張機能
- [x] 署名付きWindows自動更新（実装済み。初回リリースは手動インストールが必要）
- [x] i18n / ローカライゼーション（[#53](https://github.com/antropos17/Aegis/issues/53)）

## よくある質問

### Aegisとは何ですか？

Aegisは、AIエージェント向けのオープンソースのOSレベルモニターです。プロセス、ファイルアクセス、ネットワークアクティビティ、行動上の異常をリアルタイムで追跡し、Electron 43とSvelte 5上に構築されています。監視エンジンはCommonJS JavaScriptで、レンダラーはESモジュール、TypeScriptはレンダラーと共有型定義で使用されています。すべてのデータはローカルに留まります — テレメトリなし、クラウド依存なしです。

### AIエージェントにモニタリングが必要なのはなぜですか？

OpenClaw、AutoGPT、Devinなどの自律型AIエージェントは、ローカルファイル、認証情報、シェルコマンドへの深いアクセス権を持ちながら、最小限の監視で実行されています。OpenClawの事例は具体的な例です。[Kaspersky](https://www.kaspersky.com/blog/openclaw-vulnerabilities-exposed/55263/) が報告したセキュリティ監査では、ある人気エージェントで512件の脆弱性が特定されました。Aegisは独立した可観測性レイヤーを提供し、エージェントがマシン上で実際に何をしているかを確認できます。

### Aegisは従来のEDRとどう違うのですか？

従来のEDRツールは、マルウェア、ランサムウェア、フィッシングなど人間が引き起こす脅威を監視します。AegisはAIエージェントの行動に特化して構築されています。検出データベースには110のエージェント（262のプロセス名シグネチャ）が含まれ、エージェント固有のパターンに調整された73の検出ルール、および各エージェントのアクティビティが時間とともにどう変化するかを追跡する行動ベースラインを備えています。また、モニター優先であり、監視とログ記録を行い、強制はサンドボックスに委ねます。

### AegisはMCPツールで動作しますか？

Aegisはプロセスを監視し、プロトコルは監視しません。Model Context Protocol（MCP）経由で接続されたツールがプロセスを生成したり、ファイルにアクセスしたり、ネットワーク呼び出しを行ったりした場合、そのアクティビティは他のものと同様に監視され属性が付けられます — Aegis自体がMCPトラフィックを解析することはありません。

### Aegisはサンドボックスの代替品ですか？

いいえ。Aegisは可観測性レイヤーであり、制限レイヤーではありません。サンドボックスはエージェントができることを制限し、Aegisはエージェントが何をしているかを示します。これらは補完的です — 強制にはサンドボックスを、可視性、監査、異常検知にはAegisを使用してください。

### Aegisはどのエージェントをサポートしていますか？

Aegisには、コーディングアシスタント（Claude Code、Copilot、Cursor）、自律型エージェント（OpenClaw、AutoGPT、CrewAI、Devin）、デスクトップAI（Gemini、Apple Intelligence）、フレームワーク（LangChain、AutoGen、MetaGPT）、ローカルLLMランタイム（Ollama、LM Studio、llama.cpp）にわたる110のエージェント（262のプロセス名シグネチャ）がデータベースに含まれています。UIまたはJSON設定でカスタムエージェントを追加できます。

### Aegisを本番環境で使用できますか？

Aegisはアルファソフトウェアです（現在のバージョンは[Releases](https://github.com/antropos17/Aegis/releases)を参照）。開発およびテスト環境での使用が推奨されます。モニター優先であり、何もブロックしません。自動更新やOSレベルの強制などの本番デプロイ機能は、現在のリリースではなく[ロードマップ](#roadmap)に含まれています。

### Aegisは無料ですか？

はい。AegisはMITライセンスでリリースされており、テレメトリなし、クラウド要件なし、有料プランなしです。完全なソースコードはGitHubで入手できます。

## コントリビューター

<table>
  <tr>
    <td align="center"><a href="https://github.com/antropos17"><img src="https://assets.kitploit.com/production/public/readmes/11867/d578c57b7ef172e620fdae169ad91c8e0055b37d16844c2c2629faaf9b9219a2.jpg" width="80px;" alt=""/><br/><sub><b>Antropos7</b></sub></a></td>
    <td align="center"><a href="https://github.com/ElshadHu"><img src="https://assets.kitploit.com/production/public/readmes/11867/3c10ee663b93377a199c1e7210a9367027209543b0517b81c3d062f896295e8f.jpg" width="80px;" alt=""/><br/><sub><b>Elshad Humbatli</b></sub></a></td>
    <td align="center"><a href="https://github.com/skmelendez"><img src="https://assets.kitploit.com/production/public/readmes/11867/e5155c2418c9da5882d234cc3c4cc9553f394b267dc070af20e46ec29e6c1424.jpg" width="80px;" alt=""/><br/><sub><b>Steven Melendez</b></sub></a></td>
    <td align="center"><a href="https://github.com/travisbreaks"><img src="https://assets.kitploit.com/production/public/readmes/11867/bc41c225a907e0765ed5854e34d18643727303d9f0322b87e3aadffce277f93a.jpg" width="80px;" alt=""/><br/><sub><b>travisbreaks</b></sub></a></td>
    <td align="center"><a href="https://github.com/raye-deng"><img src="https://assets.kitploit.com/production/public/readmes/11867/922df91939ff1c15304305ca05e0e48193a6fd98679450b765363ae710a22344.png" width="80px;" alt=""/><br/><sub><b>raye-deng</b></sub></a></td>
    <td align="center"><a href="https://github.com/KJyang-0114"><img src="https://assets.kitploit.com/production/public/readmes/11867/bf4bc0e449422b18054b342eea0716b8d434554a3b84fd539df0ac570d375a73.png" width="80px;" alt=""/><br/><sub><b>KJyang-0114</b></sub></a></td>
  </tr>
</table>

[CONTRIBUTING.md](https://github.com/antropos17/aegis/blob/master/CONTRIBUTING.md) &middot; [SECURITY.md](https://github.com/antropos17/aegis/blob/master/SECURITY.md) &middot; [CODE_OF_CONDUCT.md](https://github.com/antropos17/aegis/blob/master/CODE_OF_CONDUCT.md)

## サポート

Aegisが役に立つと思われたら、GitHubでスターを付けていただけると幸いです — 他の人がこのプロジェクトを発見するのに役立ちます。

**チーム & エンタープライズ** — 集中管理ダッシュボード、SIEM統合、または管理されたデプロイが必要ですか？ 私たちはそれを構築しています。[お知らせを受け取る](mailto:[email protected]?subject=Aegis%20Enterprise%20Interest)

## ライセンス

[MIT](https://github.com/antropos17/aegis/blob/master/LICENSE)

## スター履歴

[![Star History Chart](https://assets.kitploit.com/production/public/readmes/11867/7cd00fa07216305d19bb2b6ece0de2b2dd36eeb2786d065aef0359159e4598a8/43d9ce4f0049392bf903058716bccb8009e9bdf415dc7e9e892487d4c1f75365-display-v1.webp)](https://www.star-history.com/?repos=antropos17%2FAegis&type=timeline&legend=top-left)