scopeblind/scopeblind-gatewayEd25519署名付きレシート + AIエージェント向けCedarポリシー。金融マンデートゲート（Legate）、プルーフパック、3件のIEFTインターネットドラフト。npx protect-mcp
フェイルクローズなCedarポリシーゲートと、AIエージェントのツール呼び出しに対する署名付きレシート。
protect-mcp は、AIエージェントのツール呼び出しの前に配置されるゲートです。各呼び出しをCedarポリシー（AWSがIAMで使用しているのと同じ言語）に対して評価し、ルールに違反するものを実行前にブロックし、すべての決定に対してオフラインで検証可能なEd25519レシートに署名します。ローカルで動作し、あなたの決定のテレメトリをどこにも送信せず、MITライセンスです。
would_deny: true とフラグが立てられるため、失敗が黙殺されることはありません。serve --enforce と doctor は起動時にセルフテストを実行し、既知の禁止アクションが実際に拒否されることを示せない限り、ゲートの有効化を拒否します。拒否を証明できないゲートは起動しません。@veritasacta/verify でオフライン検証可能です。ベンダーへの信頼は不要：数学は誰が実行しても変わりません。npx protect-mcp init
npx protect-mcp wrap -- node your-mcp-server.js
npx protect-mcp dashboard --open
npx protect-mcp recommend --write
npx protect-mcp --policy protect-mcp.recommended.json --enforce -- node your-mcp-server.js
Claude Desktopでは、最初にdry-run config patchを実行してから適用してください:```bash
npx protect-mcp wrap --claude-desktop
npx protect-mcp wrap --claude-desktop --write
npx protect-mcp dashboard --open
ダッシュボードは 127.0.0.1 にバインドし、ローカルのログ/レシートファイルのみを読み取り、アップロードは行いません。ホストされたScopeBlindダッシュボードを明示的に希望する場合のみ、npx protect-mcp connect を使用してください。
Claude Codeフックを配線する代わりに、ゲートをツールとして呼び出したい場合は、次のようにMCPサーバーとして実行します:```bash npx protect-mcp mcp
It speaks MCP over stdio and exposes four read-only tools, the whole loop:
- **`evaluate_action`**: インラインのCedarポリシーに対して提案されたツール呼び出しを判定し、フェイルクローズ（ポリシーエラーはすべてDENY）します。`{ allowed, decision, reason, policy_digest }` を返します。
- **`sign_decision`**: 判定をEd25519署名済みレシートに変換します（拒否は `gateway_restraint`、許可は `decision_receipt` に署名します）。レシートとその公開鍵を返します。鍵を指定しない場合は一時鍵を生成します。
- **`verify_receipt`**: 署名済みレシートを公開鍵に対してオフラインで検証します。`{ valid, error, type, kid, issuer }` を返します。
- **`self_test`**: 入力を必要とせず、動作を証明します。既知の禁止アクションが拒否され、署名済みレシートのラウンドトリップ、改ざんされたコピーの失敗が確認されます。
任意のMCPホストからこれを指定します。例：Claude Desktop:```json
{
"mcpServers": {
"protect-mcp": { "command": "npx", "args": ["-y", "protect-mcp", "mcp"] }
}
}
レシートはゲートが実行時に署名するものとバイト互換であるため、ここで発行されたレシートは @veritasacta/verify およびブラウザの検証ツールでも同様に検証できます。
protect-mcp dashboard は、可視性から強制へ移行するためのオペレータービューです：
Require approval、Block、Observe のワンクリックローカルポリシー編集。変更確認後にラッパーを再起動。ライブデスクトップフォールバック承認の場合、ラッパーによって出力されたローカルゲートウェイ承認エンドポイントとノンスを使用してダッシュボードを起動します：```bash
npx protect-mcp dashboard --open
--approval-endpoint http://127.0.0.1:9876
--approval-nonce "$PROTECT_MCP_APPROVAL_NONCE"
`Approve` は、それらのフラグが存在する場合、ライブローカルゲートウェイに転送します。
`Deny`、`Edit`、`Take over` は、承認解決レコードとしてローカルに記録されます。これらをオペレーター指示として使用し、必要に応じてツールを再実行してください。
### 有料境界のMVP: データアップロードではなくダイジェストアンカリング
ローカルの自己署名レシートは無料でオフライン検証可能です。有料境界は、ScopeBlindが生のプロンプト、ツールペイロード、出力、秘密鍵、生のレシートを受信することなく、ある時点で、組織IDのもとでレシートダイジェストを確認したという独立した証拠です。```bash
# Create or refresh a local org identity and public-key directory.
npx protect-mcp registry init --org "Meridian Global Macro" --billing-account acct_meridian
# Local preview: writes a digest registry and shareable static verifier page.
npx protect-mcp registry anchor
# Hosted mode: uploads receipt digests only for independent anchoring.
SCOPEBLIND_TOKEN=... npx protect-mcp registry anchor \
--hosted \
--endpoint https://api.scopeblind.com \
--verifier-base https://legate.scopeblind.com
ローカルプレビューは意図的に local-preview-not-independent とラベル付けされています。
ホストモードは、レシートハッシュ、リクエストID、組織公開鍵、請求メタデータのみをアンカーします。生のレシートや機密コンテキストはアップロードしません。
protect-mcp killer-demo は、完全な3分間のセールス/デモパックを生成します。```bash
npx protect-mcp killer-demo --dir ./scopeblind-demo
モックのファイルシステム、GitHub、メール、PMSアクティビティを作成します。シャドウモードでリスクのある呼び出しを表示します。ポリシーパックを適用します。機密性の高いPMS予約に承認を要求します。ゲートウェイを通じて実行します。署名付きレシートを作成します。元のレシートが検証されることを証明します。改ざんされたレシートが失敗することを証明します。そして、機密コンテキストを隠しながら最小限の証明を示す選択的開示パッケージを作成します。
まず、生成された `DEMO-RUNBOOK.md` を開いてください。次に、表示されたダッシュボードコマンドを実行し、顧客を正確な手順に沿って案内します。
### Selective Disclosure v0
コミットメントモードのレシートは、すべてのフィールドを平文で公開する代わりに、`committed_fields_root` を保持することができます。その後、保有者は選択したフィールドのみを開示できます。```bash
npx protect-mcp verify-disclosure \
--receipt ./receipts/selective-disclosure.receipt.json \
--disclosure ./receipts/selective-disclosure.tool-only.json
検証者は、親レシートハッシュ、Ed25519署名、コミットメントルート、および開示された各フィールドのMerkle証明をチェックします。その後、どのフィールドが開示され、どのコミットされたフィールドが隠されたままかを説明します。これはソルト付きコミットメント開示であり、完全なゼロ知識ではありませんが、プライバシーの主張を具体的にします。監査人は、完全なツールペイロードや機密のデスクコンテキストを受け取ることなく、選択された事実を検証できます。
レコードを明かすことなく、そのレコードに対するCLAIM（クレーム）を証明できます。レコード全体に対して署名付きの位置ブラインドアテステーションを発行し、意思決定ごとのカテゴリ（レシートダイジェスト、評決、能力タグ）のみを開示し、ツールの入力、出力、データは決して開示しません：```bash
npx protect-mcp claim --no net.egress
誰でもオフラインでそれを確認し、カテゴリだけを見て、内容は決して見ません：```bash
npx protect-mcp verify-claim claim-<id>.json
検証者は、開示されたセットに対してマークルルートを再計算し、述語を独立して再計算するため、発行者は開示が行われた場合にクレームについて嘘をつくことができません。--anchor を追加して、クレームのダイジェストを公開された追記専用の ScopeBlind 透過性ログに記録することで、あなたを信頼していない相手が、開示されたセットが完全であり、密かに再カットされていないことを確認できるようになります（ハッシュのみが送信され、レコードはローカルに保持されます）:```bash
npx protect-mcp claim --no net.egress --anchor
これは説明可能な位置ブラインド証明であり、完全なゼロ知識証明ではありません。形状を明らかにしますが、内容は明かしません。
## 60秒で試す（エージェント不要）
[](https://legate.scopeblind.com/record)
2分間のフィルムを[legate.scopeblind.com/record](https://legate.scopeblind.com/record)で視聴し、その後自分のコピーで再生してください：```bash
npx protect-mcp sample # seed a labeled sample record (8 decisions: 1 blocked, 2 payments)
npx protect-mcp record # open it: signatures verified in your browser
npx protect-mcp claim --payment-under 100 --anchor --output payments-under-100.json
npx protect-mcp verify-claim payments-under-100.json
npx protect-mcp anchor-record
生成された demo-tampered.jsonl をレコードページにドロップすると、署名後の編集が検出される様子を確認できます。sample は既存のレコードには一切触れないため、空のフォルダで実行してください。本番環境への準備ができたら、以下のゲートを配線し、同じコマンドをエージェント自身のレコードに対して実行してください。
npx protect-mcp init-hooks
npx protect-mcp serve --enforce --cedar ./cedar
ワンショット評価、PreToolUse フックがそれを呼び出す方法。終了コード 2 は拒否（ツールがブロックされる）を意味し、終了コード 0 は許可を意味します。```bash
npx protect-mcp evaluate --cedar ./cedar --tool Bash --input '{"command":"rm"}'
echo $? # 2 -> denied, fail-closed
npx protect-mcp evaluate --cedar ./cedar --tool Read --input '{"path":"README.md"}'
echo $? # 0 -> allowed
欠落している、またはロードできないポリシーは、明示的に --fail-on-missing-policy false を指定しない限り、(exit 2) で拒否します。
protect-mcp init-hooks は、.claude/settings.json を作成します。手動で gate を配線するには、必要な 2 つの動詞は evaluate（PreToolUse、exit 2 でブロック）と sign（PostToolUse、レシートを記録）です。バージョンを固定して、Claude Code セッションが常にテストした gate を実行するようにしてください：```json
{
"hooks": {
"PreToolUse": [
{
"matcher": "",
"hooks": [
{
"type": "command",
"command": "npx [email protected] evaluate --cedar ./cedar --tool "$TOOL_NAME" --input "$TOOL_INPUT""
}
]
}
],
"PostToolUse": [
{
"matcher": "",
"hooks": [
{
"type": "command",
"command": "npx [email protected] sign --tool "$TOOL_NAME" --receipts ./receipts --key ./keys/gateway.json"
}
]
}
]
}
}
`evaluate` は拒否時に終了コード2で終了し、Claude Codeがツール呼び出しをブロックし、許可時には0で終了します。
`sign` はベストエフォートです: キーが設定されている場合はEd25519署名付きのレシートを追加し、署名者が利用できない場合はツールの失敗ではなく、誠実に未署名の行 (`"signed": false`) を記録します。
## 他のエージェントでの使用 (Codex, Cursor, Gemini, Hermes)
同じフェイルクローズドゲートが、それらをサポートする任意のエージェントでツールフックとして動作します。動詞がそのホストのフックペイロードをstdinから読み取り、その契約内で拒否するように、`--format <host>` を追加します:```bash
# the PreToolUse / before-tool command for each host
npx -y protect-mcp@latest evaluate --format codex --cedar ./cedar # OpenAI Codex
npx -y protect-mcp@latest evaluate --format gemini --cedar ./cedar # Gemini CLI BeforeTool
npx -y protect-mcp@latest evaluate --format cursor --cedar ./cedar # Cursor beforeShellExecution
npx -y protect-mcp@latest evaluate --format hermes --cedar ./cedar # Hermes pre_tool_call
Pair each with sign --format <host> on the post-tool event for receipts. The
important case is Hermes, which ignores hook exit codes and reads the verdict
from stdout, so --format hermes denies via {"decision":"block"} rather than
exit 2 (a raw exit-2 would silently fail open there). Without --format, the
verbs read --tool/--input flags exactly as in the Claude Code section above.
Cedarポリシーは --cedar で指定するディレクトリに配置します。forbid ルールは拒否し、permit ルールは許可します。ツール入力内の値を照合するには .contains() イディオムを使用します：```cedar
// Allow read-only tools.
permit(
principal,
action == Action::"MCP::Tool::call",
resource == Tool::"Read"
);
// Deny dangerous shell commands by matching the command against a list. forbid( principal, action == Action::"MCP::Tool::call", resource == Tool::"Bash" ) when { ["rm", "dd", "mkfs"].contains(context.command) };
// Block destructive tools outright. forbid( principal, action == Action::"MCP::Tool::call", resource == Tool::"delete_file" );
> **危険:** `context.command in ["rm", "dd"]` のようにリストと文字列のマッチングに `in` を使用しないでください。`in` はエンティティ階層のためのものであり、文字列のメンバーシップ用ではありません。Cedar
> はこの式を型エラーとして扱い、`forbid` ルール全体を黙って破棄します。その結果、（フェイルオープンゲートの下で）残余の `permit` が残ります。これ
> が以下のアドバイザリの正確な欠陥です。代わりに `[...].contains(context.command)` を使用してください。バージョン0.7.0以降、ゲートは許可ではなくそのエラーを拒否し、CI
> トリップワイヤテストは、パターンが出荷されたポリシーに再導入された場合にビルドを失敗させます。詳細は [GHSA-hm46-7j72-rpv9](https://github.com/ScopeBlind/scopeblind-gateway/security/advisories/GHSA-hm46-7j72-rpv9) を参照してください。
### スターターポリシーパック
ほとんどのチームは初日からCedarをゼロから書くべきではありません。スターターパックをインストールし、シャドウモードで実行し、レシートを検査してから、強化または強制してください:```bash
npx protect-mcp policy-packs list
npx protect-mcp policy-packs show secrets-safe
npx protect-mcp policy-packs install filesystem-safe --dir ./cedar
npx protect-mcp policy-packs install all --dir ./cedar
npx protect-mcp serve --cedar ./cedar
Built-in packs:
filesystem-safe: 破壊的なファイル操作と秘密に類するパス読み取り。git-safe: 強制プッシュ、ハードリセット、破壊的なクリーンアップ、リポジトリ削除。email-safe: 下書きを許可し、無人送信をブロック。database-safe: 読み取り指向のDB姿勢を維持し、書き込み/管理者SQLをブロック。cloud-spend-safe: 明らかなクラウド費用の発生とインフラ破壊。secrets-safe: 一般的なファイル、環境、シェル、クラウドの秘密情報の流出。finance-mandate-safe: 予約フローにおける制限リストおよび集中度違反。領収書は署名されており、公開鍵を持つ誰でもオフラインで検証可能です。ネットワークもベンダーもScopeBlindへの信頼も不要です。```bash npx @veritasacta/verify ./receipts/receipts.jsonl --format jsonl
`npx protect-mcp bundle --output audit.json` は、自己完結型でオフライン検証可能な監査バンドル（レシートと公開署名鍵を含む）をエクスポートします。
## セキュリティ
`protect-mcp` 0.7.0 は設計上、フェイルクローズ（fails closed）します。ポリシー評価エラー、エンジン欠落、評価時にエラーが発生したポリシーの場合、判断は DENY（拒否）となり、許可（allow）にはなりません。`serve --enforce` と `doctor` は、ゲートが既知の禁止ベクトルを拒否することを証明する起動時セルフテストを実行し、それができない場合はアーム（有効化）を拒否します。
**影響を受けるバージョン: 0.5.x と 0.6.x.** これらのラインはフェイルオープン（評価エラー時に ALLOW を返す）し、固定されたエンジンに対して Cedar を正しく評価しないため、`forbid` ルールがブロックに失敗する可能性があります。**>= 0.7.0 にアップグレードしてください。**
詳細と修正方法: [GHSA-hm46-7j72-rpv9](https://github.com/ScopeBlind/scopeblind-gateway/security/advisories/GHSA-hm46-7j72-rpv9)。脆弱性を報告するには、[SECURITY.md](https://github.com/scopeblind/scopeblind-gateway/blob/HEAD/SECURITY.md) を参照してください。
## コマンド
| コマンド | 説明 |
|---------|-------------|
| `serve` | Claude Code 用の HTTP フックサーバーを起動します（ポート 9377）。`--enforce` は抑制セルフテストを先に実行し、`--cedar <dir>` と `--policy <path>` でポリシーを選択します。 |
| `init` | Ed25519 鍵ペア（`keys/gateway.json`）、設定テンプレート、サンプルポリシーを生成します。 |
| `sample` | 明確にラベル付けされたサンプルレコード（8つの決定: ブロックされた呼び出し1つ、支払い2つ、kid `sample-demo`）と改ざんされたコピーをシードします。これにより、エージェントを接続する前に `record`、`claim`、`verify-claim`、`anchor-record` を最初からリプレイ可能にします。既存のレコードには触れません。`--force` で上書き可能。 |
| `policy` | ターミナルから Cedar ポリシーの表示と変更を行います: `policy list`（ツールごとの permit / forbid / default-deny、ゲートが許可または拒否した頻度）、`policy show`、`policy allow <tool>`、`policy deny <tool>`、`policy path`。実行中の `serve` は変更をホットリロードします。 |
| `wrap` | 保護された MCP コマンドを表示するか、Claude Desktop MCP サーバーにパッチを適用します。デフォルトではドライランです。`--write` を使用して Claude Desktop 設定を更新します。 |
| `dashboard` | `127.0.0.1` 上でローカル限定のダッシュボードを起動し、ツールインベントリ、リスク、ポリシーカバレッジ、正確なアクション承認、レシートチェーン、監査エクスポートを表示します。 |
| `recommend` | 観測されたローカル呼び出しからレビュー可能な JSON ポリシーをドラフトします。デフォルトではドライランです。`--write` を使用して `protect-mcp.recommended.json` を作成します。 |
| `registry` | 組織 ID を作成し、レシートダイジェストをアンカーし、静的検証ページを書き込みます。ホストモードではダイジェストのみをアップロードします。 |
| `record` | ローカルで検索可能なレシートビューアーを開きます（`--live` はエージェント実行中にストリームします）。ブラウザ内でゲートウェイ鍵、capability タグ、証明書ツリー、ワンクリック署名エクスポートに対して Ed25519 署名を検証します。すべてローカル、アップロードはありません。 |
| `claim` | レコードに対する述語の、署名付きで位置に依存しない証明を発行します（`--no <cap>`（`--no payment` を含む）、`--only <c1,c2>`、`--no-verdict <verdict>`、`--count <verdict>`、`--payment-under <cap>`）。決定カテゴリのみを開示します。`--anchor` を追加すると、クレームダイジェストを公開透過性ログに記録します。登録された鍵は名前付き組織としてアンカーされます。 |
| `anchor-record` | レコードのマークルルート、カウント、時間範囲を公開ログにチェックポイントします（変更がない場合はスキップするハートビートフレンドリー）。後続のクレームのコミットメントがアンカーされたチェックポイントと一致する場合、そのチェックポイント時点の完全なレコードに対するものであることが証明可能になります。 |
| `verify-claim` | クレームパックをオフラインで検証します: 署名、再計算されたマークルルート、独立して再計算された述語、およびアンカーサイドカー（存在する場合、アンカーされたエンベロープをこの正確なクレームにバインドし、公開ログがそれを保持していることを確認）。`--check-anchor` はアンカーを必須とし、`--offline` はログホップをスキップします。 |
| `killer-demo` | 完全なシャドウモードからポリシー、承認、署名付きレシートのデモパックを生成します。 |
| `verify-disclosure` | `scopeblind.selective_disclosure.v0` パッケージを検証し、開示されたフィールドと隠されたフィールドを説明します。 |
| `policy-packs` | スターター Cedar ポリシーパックを一覧表示、検査、インストールします。 |
| `evaluate` | Cedar ポリシーに対して1つのツール呼び出しを評価します（PreToolUse ゲート）。終了コード 2 = 拒否（フェイルクローズ）、終了コード 0 = 許可。 |
| `sign` | 1つのツール呼び出しに署名してレシートにします（PostToolUse）。ベストエフォート: 鍵がない場合は正直な未署名行を記録します。 |
| `simulate` | 記録された決定ログに対してポリシーをドライランし、何をブロックしたかを確認します。 |
| `demo` | ゲートでラップされた組み込みデモサーバーを起動し、レシートを即座に確認します。 |
| `doctor` | セットアップ（鍵、ポリシー、Cedar エンジン、検証器）を確認し、抑制セルフテストを実行します。 |
| `bundle` | レシートと公開鍵を含むオフライン検証可能な監査バンドルをエクスポートします。 |
| `report` | 決定ログとレシートからコンプライアンスレポート（Markdown または JSON）を生成します。 |
詳細なフラグリファレンスは `npx protect-mcp --help` を実行してください。
## リンク
- プロトコル（IETF）: [draft-farley-acta-signed-receipts](https://datatracker.ietf.org/doc/draft-farley-acta-signed-receipts/)
- [CHANGELOG](https://github.com/scopeblind/scopeblind-gateway/blob/HEAD/CHANGELOG.md)
- [npm](https://www.npmjs.com/package/protect-mcp)
- [scopeblind.com](https://scopeblind.com)
MIT ライセンス。 [ScopeBlind](https://scopeblind.com) によって構築されました。