## 主な機能

- **自動偵察**: サブドメイン列挙、ポートスキャン、技術フィンガープリンティング
- **脆弱性検出**: 一般的な脆弱性に対する自動テスト
- **シームレスな連携**: 既存のセキュリティワークフローと簡単に統合
- **包括的なレポート**: 詳細な出力と実行可能なインサイト
- **モジュラー設計**: 特定のニーズに合わせてスキャンをカスタマイズ可能

## インストール

### 前提条件

- Python 3.8 以上
- pip (Python パッケージマネージャー)

### ソースからのインストール

```bash
git clone https://github.com/kitploit/tool.git
cd tool
pip install -r requirements.txt

python tool.py --target example.com

python tool.py -t <target>

scan:
  timeout: 30
  threads: 10
  user_agent: "Mozilla/5.0"

モデルに到達する前に取得されたコンテキストをスキャンする:```python
res = shield.protect(user_prompt, my_llm, context=retrieved_docs)
if res.action == "block":
    ...   # a poisoned document was caught before the model saw it

ログに一度組み込めば、すべての呼び出しが記録されます:```python
from reasongate import Shield, log_sink, file_sink

shield = Shield(audit_hook=log_sink)                    # -> "reasongate.audit" logger
shield = Shield(audit_hook=file_sink("audit.jsonl"))    # -> JSON-Lines, SIEM-ready

- Shield off、汚染されたレコード: レコードは攻撃者にメール送信され、転送が発火する。
  これらは実際の副作用であり、ディスクに書き込まれる。
- Shield on、汚染されたレコード: 間接スキャンがモデル呼び出しの前にペイロードを捕捉する。副作用なし。
- Shield on、クリーンなレコード: エージェントは正常に応答する。
- Shield on、**言い換えられた**攻撃: ペイロードは通常のビジネスメモとして言い換えられるため、シグネチャ層はそれに*マッチしない* — それでも副作用は発生しない。なぜならアクションゲート(下記)がツール呼び出しをブロックするからである。その宛先(持ち出し先アドレス、アカウント)は信頼できないコンテンツから引用されており、どのような言い換えでもそれを隠すことはできない。

各層が何をするのかを明確にしよう。シグネチャマッチングには実際の限界がある。インジェクションを言い換えて既知のパターンにマッチしなくすれば、ルールコアはそれを捕捉しない — だからこそコアは境界ではなく最初のフィルターなのだ。4番目の実行はその限界に対する正直な答えである。検出が改善したふりはしない。検出は依然として言い換えられた攻撃を見逃す。侵害を止めるのは、テキストの文言ではなくアクションの背後にあるデータの信頼性について推論する*別の*層である。4つの条件はすべてCI不変条件として強制されるため、デモが黙って退行することはない。

ライブプレイグラウンドもある: <https://reasongate-demo-nvgo.onrender.com>。これはゼロ依存のコアを実行し、APIキーを必要とせず、サーバー外にデータを送信しない。

## コア内の検出器

- **正規化 / 難読化解除。** ゼロ幅文字、キリル文字のホモグリフ、リートスピーク(`1gn0re`)、空白やドットで区切られた文字(`i.g.n.o.r.e`)、およびbase64ペイロードを除去するため、偽装された既知のフレーズはパターン層がマッチできる形に正規化される。
- **インジェクション / ジェイルブレイクパターン。** 既知のフレーズに対するルール層。
- **間接インジェクション。** 取得したドキュメントやツール出力がモデルに到達する前に、同じスキャンを実行する。
- **出力漏洩とカナリア。** 出力時にシークレットとPIIをフラグする。システムプロンプトに植えられたカナリアトークンにより、システムプロンプトの漏洩が推測ではなく証明可能になる。

ポリシーエンジンはこれらのシグナルを較正されたノイジーORで融合するため、複数の弱いシグナルが合わさってブロックに至ることがあり、正当なプロンプトからの孤立したノイズはそうならない。

## アクションゲート(エージェントのツール呼び出し)

検出器は「このテキストはインジェクションか?」と問う — 言い換えで負けうる問いである。アクションゲートは別の、文言に依存しない問いを立てる: *それを生成したデータの信頼性を踏まえて、このアクションを進めてよいか?* これは間接インジェクションに対するケイパビリティベースの防御であり、信頼できないコンテンツ、機密性の高いケイパビリティ、および出口という「致死のトリフェクタ」を断ち切るもので、シグネチャ層が見逃す言い換えられた攻撃を捕捉する。```python
from reasongate import ToolGate, ToolPolicy, Segment

gate = ToolGate([
    ToolPolicy("transfer_funds", sensitive=True, destination_args=("to_account",)),
    ToolPolicy("send_email",     sensitive=True, destination_args=("to",)),
])

record = Segment(text=retrieved_doc, source="crm", trust="untrusted")
decision = gate.authorize(
    {"name": "transfer_funds", "args": {"to_account": "9900", "amount": "$84,200"}},
    context=[record],
)
decision.allowed       # False — the destination account is quoted from untrusted content
print(decision.explain())

Authorization は汚染された宛先を洗浄しない：`authorized=True` は共在をクリアする。なぜならプリンシパルがそのアクションを要求したからである — しかし、信頼できないコンテンツに由来する引数値はクリアしない。なぜならプリンシパルはそれを選んでいないからである。

### 既存のエージェントへの組み込み```python
from reasongate.adapters.toolcalls import from_anthropic, refusal_result
from reasongate.catalog import infer_policies, describe

print(describe(infer_policies([t["name"] for t in tools])))   # draft policies, then correct them

for call in from_anthropic(response.content):
    decision = session.authorize(call)
    if not decision.allowed:
        results.append(refusal_result(call, decision))        # the model is told why
    else:
        results.append(run(call))

**このパッケージにはモデルジャッジは同梱されていません。** ある文が散文ポリシーに抵触するかどうかを判断するにはモデルが必要です。未設定の場合、ゲートは許可ではなく*「未評価」*を返します。チェックされていないリクエストが、クリアされたもののように見えてはならないからです。モデルジャッジ自体もインジェクションの標的であり、これは勧告的なものです。議論の余地なく機能する層は `ToolGate` であり、エージェントが*何をしてよいか*を制約します。

### AgentDojo での測定

このゲートは、この脅威のために作られたベンチマーク上で、独自の数値を持つようになりました（[AgentDojo](https://github.com/ethz-spylab/agentdojo)：ツールを使うエージェントの4つのスイートを、エージェントが読むデータを通じて攻撃）。ループ内にモデルはありません。ベンチマーク自身のグラウンドトゥルースのツールシーケンスが、完全にハイジャックされたエージェントとしてゲートを通して再生され、AgentDojo 自身のチェッカーが結果を採点します：

| | 攻撃成功率 | クリーンなトラフィックでのユーティリティ |
|---|---:|---:|
| ゲートなし | 97.4% | 100% |
| 引数のテイントのみ | **12.6%** | 64.9% |
| 厳格（共起） | 3.4% | 41.2% |

ループ内にモデルがある場合（Claude Haiku 4.5、banking）、状況はさらに鮮明です。モデルはすべてのインジェクションを自力で拒否したため、ゲートはセキュリティを何も追加せず、ユーティリティを12.5ポイント犠牲にしました。モデルの判断が失敗するケースに対する保険であり、それには対価が伴います。両方の列を読んでください。ゲートが犠牲にする35ポイントのユーティリティは、エージェントがストアから読み取った正当な宛先です。支払いを求められた請求書に記載された IBAN であり、テイントは同じファイル内の攻撃者の IBAN と区別できません。テイントは言葉を見ないからです。すり抜けるのは、文書化された3つの形です。読み取りであるゴール、引用ではなく検索される宛先、宛先以外のフィールドに存在する害。手法、スイートごとの数値、および注意事項：[RESULTS.md → The gate on AgentDojo](https://github.com/cgrtml/reasongate/blob/main/RESULTS.md#the-gate-on-agentdojo)。

この層の背後にある推論——脅威モデル、テキスト検出が構造的に不十分である理由、そしてゲートの保証*と非保証*——は [docs/threat-model.md](https://github.com/cgrtml/reasongate/blob/main/docs/threat-model.md) にまとめられています。まだ見逃している点を、実際のコーパスから測定・引用したものは [docs/coverage-gaps.md](https://github.com/cgrtml/reasongate/blob/main/docs/coverage-gaps.md) にあります。

## ベンチマーク

完全な方法論、ハーネス、およびネガティブな結果は [RESULTS.md](https://github.com/cgrtml/reasongate/blob/main/RESULTS.md) にあります。3つの数値は一緒に読む価値があります。過剰にブロックするもの、捕捉するもの、そしてリクエストごとにあなたにコストがかかるものです。

**過剰防御。** 多くのガードは、*ignore*、*system*、*bypass* といったトリガーワードを含むだけの無害なプロンプトを過剰にブロックします。[NotInject](https://huggingface.co/datasets/leolee99/NotInject)（339件の無害だがトリガーワードまみれのプロンプト）では、ルールコアは**0.0%の偽陽性率**と、オフラインで100%の無害精度を持ちます。

**既知のパターンに対する回避リコール。** 既知の攻撃が難読化された場合、正規化がそのほとんどを回復します：

| | 回避下でのリコール | FPR | F1 |
|---|---:|---:|---:|
| 正規表現のみ | 21.2% | 3.3% | 0.349 |
| コア（正規化＋間接） | 78.1% | 6.7% | 0.871 |

これは、*コアがすでに知っているパターンの難読化された変種*に対するリコールです。新規の言い回しに対するリコールではありません——それは上記で言及した0%の数値です。

**リクエストごとのコスト。** `eval/latency.py` で測定（呼び出しパスごとの p50/p95、Apple M3 Pro）：

| 入力 | p50 | p95 |
|---|---:|---:|
| チャットプロンプト（60文字） | 0.178 ms | 0.202 ms |
| 2 KB ドキュメント、クリーン | 8.51 ms | 8.94 ms |
| 50 KB ドキュメント、クリーン（入力上限） | 211 ms | 216 ms |
| `ToolGate.authorize`（ツール呼び出し、任意サイズ） | 0.020 ms | 0.021 ms |

1つのプロセスが約5,400チャットプロンプト/秒を処理し、コアは状態を保持しないため、プロセス数に応じてスケールします。デプロイ前に知っておく価値のある部分：**入力パスは入力長に対して線形です——クリーンなドキュメントで1 KBあたり約4.2 ms、パターンがすでにマッチした後は1.7 ms。** チャットサイズでは、モデルベースのガード（ProtectAI deberta-v3、約116 ms）より約650倍安価です。50 KBでは*より悪化します*。トランスフォーマーは512トークンで切り捨てますが、私たちはすべてをスキャンするからです。クロスオーバーは約25 KBです——ドキュメント全体をゲートすれば、その分のコストを払うことになります。アクションゲートにはこの特性はありません。ツール引数とセグメントの信頼を読み取り、散文は読まないため、任意のサイズで無料です。

**ML検出器（別個のアドオン）。** 埋め込みベースの分類器は、ルールコアが扱えない自然な言い回しの攻撃を処理します。これらはコアではなく、その数値です：

| 設定 | リコール | FPR | F1 |
|---|---:|---:|---:|
| ホールドアウトテスト（約5.5k、実データ統合） | 96.1% | 0.3% | 0.978 |
| 5分割交差検証 | 95.5% ± 0.8 | 2.5% ± 1.3 | 0.963 ± 0.010 |
| 分布外（A+Bで訓練、未見のCでテスト） | 87.6% | 10.9% | 0.882 |

データ：`deepset/prompt-injections`、`jackhhao/jailbreak-classification`、`xTRam1/safe-guard-prompt-injection`。述べておく価値のあるネガティブな結果が1つあります。合成データで訓練された初期のモデルは0.98 F1を記録しましたが、アブレーションにより、句読点と大文字小文字の区別だけで0.96に達することが示されました——そのスコアはデータジェネレーターの産物でした。それを明らかにしたのが、説明可能な分類器です。分布外での0.97から0.88への低下が、真の汎化の数値です。それは劣化しますが、崩壊はしません。

いずれも再現できます——各スクリプトが実際に必要とするものごとにグループ化されています。0.2.0以降、訓練済みモデルはアドオンにあり、ルールコアのベンチマークのみがこのリポジトリ単体に対して実行されるからです：```bash
# Offline, no key, no add-on — runs against this repo as-is:
python eval/public_bench.py     # over-defense on NotInject (339 benign)
python eval/adversarial.py      # evasion robustness of the rule core
python eval/latency.py          # cost per request: p50/p95/p99 and throughput

# Needs `pip install reasongate[eval]` and a VOYAGE_API_KEY (embeddings):
python eval/pipeline_real.py    # train/val/test with a validation-tuned threshold
python eval/validate.py         # leakage check, trivial baselines, 5-fold CV, 5x2cv

# Needs the enterprise add-on (the trained model moved there in 0.2.0):
python eval/ood_test.py         # out-of-distribution generalization
python eval/head_to_head.py     # vs ProtectAI deberta-v3

# Needs `pip install agentdojo` (Python 3.10+), no key — the action gate on AgentDojo:
python eval/agentdojo_gate.py   # ASR and utility, gate off / taint / strict