AgentWard · 玄甲OS

**AgentWard（玄甲）**は、信頼性と拡張性を備えたAIエージェントの展開を目的に構築されたフルスタックセキュリティオペレーティングシステムであり、OpenClawへのネイティブコード適応を備えています。AgentWardは、エージェントのオンボーディング、セキュアな推論、信頼できる実行を一貫したセキュリティアーキテクチャに統合し、今後他の主要なエージェントフレームワークへのネイティブサポートを予定しています。その異種多層防御設計は、エージェントワークフローを起動、知覚、記憶、意思決定、実行の5つの連携セキュリティ層に再構築し、基盤の整合性検証、敵対的欺瞞のブロック、メモリ改ざんの阻止、自律的な決定と高リスクコマンドの検証を行う動的なクロスステージ保護機能を備えています。これは「初期から信頼でき、プロセス全体で制御可能、結果が信頼できる」という約束を実現する、完全なエンドツーエンドの閉じたセキュリティループです。本リポジトリが役立つと感じられた場合は、AgentWardアーキテクチャの設計に関する論文を引用してください：

@misc{zhang2026agentwardlifecyclesecurityarchitecture,
      title={AgentWard: A Lifecycle Security Architecture for Autonomous AI Agents}, 
      author={Yixiang Zhang and Xinhao Deng and Jiaqing Wu and Yue Xiao and Ke Xu and Qi Li},
      year={2026},
      eprint={2604.24657},
      archivePrefix={arXiv},
      primaryClass={cs.CR},
      url={https://arxiv.org/abs/2604.24657}, 
}

AgentWard の特長

• 🛡️ 包括的なリスクカバレッジ — 異種多層防御（Defense-in-Depth、DiD）アーキテクチャにより、エージェントの攻撃面全体にわたる多様な攻撃ベクトルを阻止し、完全なエージェントセキュリティを保証します。
• ⚡ ワンクリックデプロイ — プラグインネイティブ設計により、エージェントの全ライフサイクルにセキュリティをネイティブに組み込みます。非侵入型統合によりワンクリックで包括的なエージェントセキュリティを有効化し、OpenClaw向けのシームレスで迅速なバージョン適応を保証します。
• 🔒 決定論的なシステムレベルの制御 — 内因性セキュリティに依存するスキルベースのソリューションを凌駕する、決定論的で完全に監査可能なコード強制セキュリティを提供し、大規模展開と本番環境対応をネイティブにサポートします。
• 🌐 オープンで拡張可能なセキュリティ標準 — コミュニティ駆動型で透明性が高く監査可能なオープンスタンダードであり、拡張性を考慮したモジュラーアーキテクチャを備えています。フレームワークとアルゴリズムの完全な分離により、高度な検出アルゴリズムを容易に統合でき、将来的には汎用のエージェントシステムへのサポート拡張を予定しています。

クイックスタート

1. ⚡ インストールまたは更新

   root@kitploit:~

   # セットアップスクリプトを実行
   bash /path/to/agent-ward/setup.sh
   

2. ✅ インストールの確認

   root@kitploit:~

   openclaw plugins list
   

   その後、OpenClaw のセキュリティが強化されたことをお楽しみください！

システムアーキテクチャ

AgentWardは、OpenClaw プラットフォームとネイティブに深く統合されており、AI エージェントの全ライフサイクルワークフローにネイティブなセキュリティ機能を組み込んでいます。その異種多層防御アーキテクチャは、孤立した単一点のセキュリティチェックを、閉じたループの連携システムレベルの保護システムに再構築し、AI エージェントの起動から実行に至るまで、エンドツーエンドの完全なチェーンにおける信頼性を保証します。

5つの連携防御層

AgentWardは、緊密に統合された5つの層を通じてシステムレベルのセキュリティを提供します。これにより、孤立したセキュリティチェックが統一されたエンドツーエンドの保護システムへと変わります。

🚨 脅威への対応と緩和

• 📢 脅威検出時にIM経由でアラートメッセージを送信
• 🛑 人間の介入なしに危険な操作を自動的にブロック
• 📝 リスクの理解を助ける明確な警告説明

⚙️ 柔軟な設定

• 🎚️ 各保護層は個別に有効/無効化可能
• 👁️ 誤検出の影響を減らす「検出のみ」モードをサポート
• 📋 一部の層は特定のシナリオ要件を満たすカスタムルールをサポート

防御の可視化

🏗️ 層1: 基盤スキャン

エージェントが信頼できる基盤から開始されることを保証します。

🧼 層2: 入力サニタイズ

エージェントに伝播する前に敵対的な入力を特定します。

🧠 層3: 認知保護

長期記憶とコンテキストの連続性をポイズニングから保護します。

🎯 層4: 意思決定整合

エージェントの決定を許可されたユーザーの意図と一致させます。

🔧 層5: 実行制御

実行時点で安全境界を強制します。

ロードマップ

🏆 エンドツーエンドのフルスタックセキュリティシステム

当社のロードマップは、設定、入力処理、認知、意思決定、実行に至るエージェントの全ライフサイクルを保護するように設計された多層防御アーキテクチャに基づいています。

📐 システムインフラストラクチャフレームワーク

• ✅ プラグインネイティブなモジュラーアーキテクチャ
• ✅ ベースアダプタースイート
• ✅ コア検出エンジン
  • ✅ ヒューリスティックルールベース検出モジュール
  • ✅ インテントリスク評価システム
  • 🚀 信頼認識型リスク評価機能
• 🚀 異種OSサポート
  • ✅ Linux
  • 🚀 macOS
  • 🚀 Windows

🏗️ 基盤スキャニング層

• ✅ グローバルおよびプラグインレベルの設定セキュリティチェック
• ✅ セマンティック悪意スキル検出
• 🚀 スキルソース検証
• 🚀 プラグイン依存関係分析
• 🚀 ハイブリッド自然言語およびコード脆弱性検出

🧼 入力サニタイズ層

• ✅ ルールベースのインジェクションおよび脱獄検出
• ✅ ユーザー入力のセマンティック一貫性分析
• ✅ 断片化された悪意命令検出
• 🚀 マルチターンステルス攻撃検出
• 🚀 安全な悪意コンテンツの書き換えと置換
• 🚀 マルチモーダルインジェクション攻撃検出

🧠 認知保護層

• ✅ メモリ一貫性の評価と調整
• 🚀 悪意メモリコーパスの構築と脅威マッチング
• 🚀 メモリベクトル化と外れ値検出
• 🚀 チェックポイントベースのメモリ復旧
• 🚀 コンテキストドリフト検出と修正

🎯 意思決定整合層

• ✅ エージェントの決定とユーザー意図の一貫性検証
• 🚀 静的ルールフィルタリングとコンプライアンス検証
• 🚀 マルチステップ軌跡推論監査
• 🚀 リスク適応型動的権限割り当て
• 🚀 高リスクアクションの識別と安全な書き換え

🔧 実行制御層

• ✅ 高リスクシステム命令のリアルタイムインターセプトとブロック
• ✅ 行動意図分析とリスク評価
• 🚀 アイデンティティ認識型動的権限制御とアクセス制限
• 🚀 エージェントアクションの実行前セキュリティ検証
• 🚀 異常な実行状態の自動ロールバックと復旧
• 🚀 eBPF対応のシステムレベル可観測性
  • 🚀 リアルタイムリソース監視と適応的制限
  • 🚀 ネットワークペイロード監査と異常検出

🤝 クロスレイヤー連携

• ✅ グローバル情報集約とリスク発見
• 🚀 履歴動作に基づく信頼プロファイリング
• 🚀 ロール認識型リスクスコアリングと動的権限割り当て
• 🚀 テイント伝搬とエンドツーエンドのシステム監査

凡例: ✅ 完了 | 🚀 進行中

謝辞

本リポジトリのすべての貢献者に感謝いたします。貢献者は、Qi Li、Xinhao Deng、Yixiang Zhang、Jiaqing Wu、Yue Xiao、Rennai Qiu、Zhuoheng Zou、Jiaqi Bai、Jiaxing Song、Ke Xu です。