Skill, curl, git-clone 대안, 그리고 PEP 668 시스템과 시크릿 은닉 설정에 대해서는 [전체 설치 가이드](https://github.com/prismorsec/prismor/blob/main/docs/installation.md)를 참고하세요.

---

## 기능<a name="capabilities" />

![Prismor 아키텍처](https://assets.kitploit.com/production/public/readmes/13903/0e84c7211b3275de581182b7f69c44d8224142323b43220dd1234eee17616757.png)

- 🛡️ [Prismor](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md)는 정책 엔진, 세션 로그, 보안 감사, CLI 레퍼런스를 다룹니다
- 📦 [공급망](https://github.com/prismorsec/prismor/blob/main/docs/supply-chain.md)은 설치 시점 적용, IOC 매칭, 위험 점수 산정을 다룹니다
- 🛜 [네트워크 격리](https://github.com/prismorsec/prismor/blob/main/docs/network-isolation.md)는 정책 기반 이그레스 제어, 원시 IP 탐지, 터널 차단을 다룹니다
- 🔍 [Skill 스캐너](https://github.com/prismorsec/prismor/blob/main/docs/skill-scanner.md)는 지원되는 에이전트 전반의 MCP 서버 및 스킬 위험 스캔을 다룹니다
- 🚦 [MCP 가드레일](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md#custom-guardrails-for-mcp-tools)을 사용하면 특정 MCP 서버나 도구를 차단하거나, 에이전트가 호출하기 전에 사람의 승인을 요구할 수 있으며, 정책 규칙을 직접 작성할 수 있습니다
- 🛰️ [MCP 게이트웨이](https://github.com/prismorsec/prismor/blob/main/docs/mcp-gateway.md)는 사용하는 모든 MCP 서버를 앞단에서 연결하는 단일 MCP 커넥터입니다 — 각 `tools/call`은 전달되기 전에 정책 평가를 거치고, 각 응답은 모델이 보기 전에 인젝션 스캔을 거치므로 오염된 도구 결과가 컨텍스트가 되는 일이 없습니다. `prismor mcp-gateway install`은 기존 `.mcp.json`을 그 뒤로 옮깁니다
- 🛤️ [LLM 프록시](https://github.com/prismorsec/prismor/blob/main/docs/llm-proxy.md)는 Prismor가 후킹할 수 없는 에이전트를, 모든 에이전트가 가진 단 하나의 것 — 모델 트래픽 — 을 통해 통제합니다. `ANTHROPIC_BASE_URL`, `OPENAI_BASE_URL`, 또는 Google Gen AI SDK의 `HttpOptions(base_url=...)`로 `prismor proxy`를 가리키면 에이전트의 다른 어떤 것도 바뀌지 않습니다. 모델이 *제안*하는 모든 도구 호출 — Anthropic `tool_use`, OpenAI `tool_calls`, Gemini `functionCall` — 은 `Bash` 훅이 생성하는 것과 동일한 이벤트로 재구성되어 동일한 규칙으로 판정되며, 스트리밍 호출은 판정될 때까지 보류됩니다
- [Claude 추론 훅](https://github.com/prismorsec/prismor/blob/main/docs/inference-hook.md)은 Prismor를 Claude Enterprise 뒤의 AI 보안 서버로 만듭니다: Anthropic이 claude.ai, Claude Code, Cowork에서 오는 모든 통제 대상 프롬프트를 `prismor inference-hook serve`로 보내면, 이 서버가 트랜스크립트에 정책을 실행하고 모델이 실행되기 전에 허용/거부를 응답합니다 — 서명된 요청(Standard Webhooks), 페일 클로즈드, 섀도 모드, 사용자 기기에 설치할 필요 없음. `prismor inference-hook test`는 서명된 샘플 프레임을 보내 연결 상태를 확인합니다
- 🏷️ [도구 태그](https://github.com/prismorsec/prismor/blob/main/docs/tool-tags.md)는 도구를 기능(읽기, 쓰기, 네트워크, 실행)별로 분류하여, 규칙이 모든 도구를 하나하나 나열하는 대신 "사적 데이터를 읽는 것은 네트워크에도 접근할 수 없다"라고 표현할 수 있게 합니다 — MCP 도구는 `_meta`를 통해 스스로 선언하며, `prismor tags`는 규칙 표현식을 나열, 테스트, 린트합니다
- 🔐 [Sweep and Cloak](https://github.com/prismorsec/prismor/blob/main/docs/sweep-and-cloak.md)은 도구 경계에서의 시크릿 방지, 실용적 설정, 모범 사례, 위협 모델, 유출된 시크릿 정리를 다룹니다
- 🦞 [OpenClaw 통합](https://github.com/prismorsec/prismor/blob/main/docs/openclaw.md)은 OpenClaw를 위한 런타임 훅, 프롬프트 인젝션 스캔, 프로젝트 또는 사용자 범위 설정을 다룹니다
- 🤖 [Hermes 에이전트 은닉](https://github.com/prismorsec/prismor/blob/main/docs/hermes.md)은 pip 엔트리 포인트 자동 탐색, 파일시스템 설치, pre_gateway_dispatch 붙여넣기 가드를 포함한 Hermes 전용 시크릿 은닉을 다룹니다
- ☁️ [호스팅 에이전트 VM](https://github.com/prismorsec/prismor/blob/main/docs/cloud-agents.md)은 로그인한 적 없는 머신에서 실행되는 에이전트(Claude Code on the web, Cursor cloud agents, Copilot coding agent, OpenHands Cloud, Codex cloud, Replicas)를 통제합니다: 플랫폼의 설정 스크립트가 바이너리를 설치하고, `install-hooks --portable`이 커밋해도 안전한 훅 설정을 작성합니다
- 🧠 [시맨틱 가드](https://github.com/prismorsec/prismor/blob/main/docs/semantic-guard.md): 정규식 규칙이 잡지 못하는 의역된 프롬프트 인젝션 시도를 위해 LLM 지원 의도 검사를 추가하는 옵트인 하이브리드 계층
- 🪤 [Canary](https://github.com/prismorsec/prismor/blob/main/docs/canary.md)는 에이전트가 읽는 순간 CRITICAL 발견을 유발하는 허니토큰 자격 증명 파일을 심어 정찰 행위를 잡아냅니다
- 🪪 [IAM](https://github.com/prismorsec/prismor/blob/main/docs/iam.md)은 여러 에이전트가 워크스페이스를 공유할 때 각 에이전트에 명명된 아이덴티티와 최소 권한 권한 프로필을 부여합니다
- 🧩 [프레임워크 에이전트](https://github.com/prismorsec/prismor/blob/main/docs/frameworks-overview.md)는 프로덕션 에이전트(OpenAI Agents SDK, Python 및 JS의 LangChain/LangGraph, CrewAI, browser-use, Pydantic AI, AutoGen Core, Agno, Semantic Kernel, Google ADK, BeeAI, Claude Agent SDK, Vercel AI SDK, Mastra)를 한 번의 호출로 보호합니다 — 각 요청을 `use_subject("user:alice")`로 감싸면 멀티테넌트 에이전트가 사용자별 귀속, 사용자별 IAM 프로필, 사용자별 정지를 얻습니다
- 🎯 [스코프드 에이전트](https://github.com/prismorsec/prismor/blob/main/docs/scoped-agent.md)는 세션별로 최소한의 작업 특화 규칙을 합성하여 인젝션된 이탈 시도가 차단되도록 합니다
- 🧬 [학습](https://github.com/prismorsec/prismor/blob/main/docs/learning.md)은 세션 기록을 마이닝하여 새 규칙을 제안하고, 오탐을 표시하고, 회피를 탐지합니다
- ⚖️ [계층형 정책 및 예외](https://github.com/prismorsec/prismor/blob/main/docs/policy-layers-and-exemptions.md)는 규칙별 관찰/적용, 재정의 불가능한 하한선, 조직/프로젝트/레포 계층 전반의 관리자 부여, 시간 제한 예외를 다룹니다
- 🔐 [명시적 적용 선택 및 잠금 해제 창](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md#choosing-what-blocks) — 적용 설정은 아무것도 차단하지 않는 상태에서 시작하며 사용자가 차단할 집합을 선택합니다; `prismor allow`는 좁은 예외를 만들고, `prismor unlock`은 에이전트가 정책을 편집할 수 있는 비밀번호로 보호된 시간 제한 창을 엽니다(Prismor 자체를 보호하는 자기 보호 규칙은 절대 아님)
- 📡 [라이브 텔레메트리](https://github.com/prismorsec/prismor/blob/main/docs/live-telemetry.md)는 선택적 엔터프라이즈 컨트롤 플레인 연결 — 기기 등록, 서명된 원격 정책, 자체 호스팅 조직 대시보드로 스트리밍되는 마스킹된 텔레메트리 — 을 다룹니다
- 🔌 [텔레메트리 싱크](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-sinks.md)는 모든 발견을 이미 운영 중인 대상 — OpenTelemetry 컬렉터(OTLP/HTTP 로그), Splunk HEC, Datadog, syslog, 웹훅, 또는 JSON/CEF/OCSF 형식의 로컬 파일 — 으로 전달하며, 차단 결정 전에 디스패치되고 도구 호출을 지연시킬 수 없습니다
- 📊 [대시보드](https://github.com/prismorsec/prismor/blob/main/docs/dashboard.md)는 터미널 및 로컬 웹 대시보드와 세션 포렌식을 다루며, `prismor tokens`가 세션의 컨텍스트와 토큰 지출이 실제로 어디로 갔는지 분석합니다
- 🩺 [상태 및 복구](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md) — `prismor doctor`는 모든 하위 시스템(훅, 정책 서명, 등록, 텔레메트리 싱크, 체인 상태)을 상태 점검하고, `prismor pause` / `pause-hard`는 사고 중 사람을 위해 *적용만* 일시 중단하며 관찰 모드 로깅은 계속 실행됩니다
- 🧾 [서명된 감사 추적](https://github.com/prismorsec/prismor/blob/main/docs/audit-trail.md)은 모든 에이전트 행동을 로컬에서 해시 체인 및 Ed25519 서명하므로, `prismor trail verify`가 이력이 편집, 삭제, 재작성되지 않았음을 증명합니다
- 🔖 [서명된 텔레메트리 영수증](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-receipts.md)은 기기가 보고하는 레코드의 전송 스키마입니다 — 정규 바이트, 두 개의 무결성 계층, 의존성 없는 참조 검증기를 제공하여 SIEM이나 감사자가 Prismor 없이도 영수증을 확인할 수 있습니다
- 📑 [증명 번들](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md)은 포스처, 에이전트 인벤토리, 호스트 탐색, 프레임워크 통제 커버리지(OWASP LLM/Agentic, NIST AI RMF, EU AI Act), 추적 앵커를 하나의 Ed25519 서명 파일로 패키징하여 감사자가 `prismor attest verify`로 재검증합니다
- 🔦 [호스트 탐색](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md#host-discovery)은 `prismor discover`로 머신을 스윕하고 Prismor 훅 없이 실행 중인 AI 에이전트(섀도 AI)를 표시합니다
- ⏪ [트랜스크립트 수집](https://github.com/prismorsec/prismor/blob/main/docs/transcript-ingest.md)은 Prismor가 설치되기 *전에* 에이전트가 한 일을 재구성합니다 — `prismor ingest --discover`는 디스크의 세션 트랜스크립트를 라이브 정책 엔진을 통해 재생하므로 첫날부터 대시보드가 채워지고 규칙을 적용으로 전환했을 때 무엇이 차단되었을지 정확히 볼 수 있으며, 모니터링 없이 실행된 세션을 위한 `--coverage`도 제공합니다
- 🗺️ [에이전틱 AI 아키텍처 리뷰](https://github.com/prismorsec/prismor/blob/main/docs/agentic-architecture-review.md)는 멀티 에이전트/도구 사용 시스템을 위한 설계 시점 체크리스트입니다 — 권한 범위, 메모리 무결성, 에이전트 간 신뢰, 인간 감독 배치 — 각 항목은 실제 통제 ID와, 존재하는 경우 이를 뒷받침하는 Prismor 규칙에 매핑됩니다
- 🐳 [Docker 및 컨테이너](https://github.com/prismorsec/prismor/blob/main/docs/docker.md)는 컨테이너 강화, 사전 요구 사항, 알려진 제한 사항을 다룹니다

모든 기능에 걸친 전체 명령 맵: [CLI 레퍼런스](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md).

이러한 기능은 [OWASP Top 10 for LLM Applications](https://genai.owasp.org/llm-top-10/)에 매핑됩니다 - 프롬프트 인젝션(LLM01), 민감 정보 노출(LLM02), 공급망(LLM03), 부적절한 출력 처리(LLM05), 과도한 권한(LLM06)을 다룹니다.

---

## 시나리오 및 사용 사례<a name="scenarios-and-use-cases" />

이를 작동시키는 명령과 설정을 포함한 실제 워크플로 — 관찰 모드에서 팀 온보딩, 멀티 에이전트 및 프레임워크 파이프라인을 위한 사용자별 IAM 귀속, 섀도 AI 탐색, 고위험 작업에 대한 단계별 승인, 규정 준수 감사를 위한 서명된 증명 번들 생성. [USE_CASES.md](https://github.com/prismorsec/prismor/blob/main/USE_CASES.md)를 참고하세요.

---

## 구성<a name="configuration" />

### 명령 레퍼런스

전체 명령 맵: [docs/cli-reference.md](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md).

### 거버넌스 모드

`prismor setup`은 여섯 개의 정책 축을 수동으로 구성하는 대신 하나의 포스처를 선택하도록 요청합니다. 각각은 `.prismor/policy.yaml`로 컴파일됩니다 — 적용, 이그레스, 도구 접근, 태그 규칙, 샌드박스 및 데이터 경계가 함께 반영됩니다.

![Prismor 거버넌스 모드](https://raw.githubusercontent.com/prismorsec/prismor/main/assets/prismor-modes.png)

| 모드 | 대상 | 커버리지 | 마찰 |
|---|---|---|---|
| `dev-safe` | 읽지 않은 코드에 대한 기능 작업 | 31% | 9% |
| `trusted-workspace` | 신뢰할 수 있는 내부 레포, 로컬 Docker 작업 | 34% | 9% |
| `regulated-airgap` | PII/PHI, SOC 2, EU AI Act — 네트워크 없음, 셸 없음 | 100% | 90% |```bash
prismor mode list                            # compare the three
prismor mode explain dev-safe                # the trade, including what it does NOT stop
prismor mode apply dev-safe                  # compile it into this workspace
prismor mode apply regulated-airgap --observe   # what it would block, blocking nothing

### 하나의 정책 엔진, 모든 집행 표면

Stage 1에는 하나 이상의 문이 있으며, 이는 의도된 것입니다. 단일 개입 지점이 모든 에이전트를 커버하지는 않습니다. 훅은 가장 넓은 범위를 차지하지만 모든 호스트가 훅을 제공하는 것은 아닙니다. MCP는 일부 에이전트를 가로챌 수 있는 유일한 지점입니다. 프로덕션 프레임워크 에이전트는 훅을 걸 호스트가 없는 곳에서 실행됩니다.

따라서 각 표면은 자신이 본 것을 하나의 정규 이벤트로 정규화하고 동일한 평가자에게 판정을 요청합니다. 한 번 작성된 규칙은 어떻게 도착하든 동일한 작업을 커버합니다.

| 표면 | 관리 대상 | 거부 | 입력 재작성 | 출력 편집 |
|---|---|:--:|:--:|:--:|
| 코딩 에이전트 훅 | 에이전트의 전체 도구 표면 | 예 | Claude/Qwen | 아니오 |
| MCP 게이트웨이 | 하나의 커넥터 뒤에 있는 모든 MCP 서버 | 예 | 예 | 예 |
| 미러링된 내장 기능 | 에이전트 자체의 Bash/Read/Write, MCP를 통해 | 예 | 예 | 예 |
| 프레임워크 SDK 어댑터 | 인프로세스 에이전트 (13개 프레임워크) | 예 | 아니오 | 아니오 |
| `prismor eval-server` | 비파이썬 호출자, 외부 프록시 | 예 | 예 | 예 |
| 추론 훅 채널 | 호스팅된 트랜스크립트 턴 웹훅 | 예 | 아니오 | 아니오 |

"출력 편집"이 미러가 존재하는 이유입니다. 사전 작업 훅은 파일 읽기를 *거부*할 수만 있는 반면, 응답을 전달하는 표면은 자격 증명이 마스킹된 파일을 반환할 수 있습니다.

이는 주장이 아니라 검증됩니다 — `tests/test_surface_conformance.py`는 하나의 작업을 각 표면의 자체 정규화기를 통해 재생하고, 판정이나 규칙에 대해 불일치가 있으면 실패합니다.

이벤트 형태와 판정 어휘는 [결정 계약](https://github.com/prismorsec/prismor/blob/main/docs/decision-contract.md)을, 에이전트별로 어떤 표면을 사용할지는 [거버넌스 표면](https://github.com/prismorsec/prismor/blob/main/docs/governance-surfaces.md)을 참조하세요.

---

## 선별된 기능 살펴보기<a name="selected-capabilities-walked-through" />

[기능](#capabilities)에서 세 가지 모듈을 설정, 출력, 결과와 함께 살펴봅니다.

### 하이브리드 시맨틱 프롬프트 인젝션 방어<a name="hybrid-semantic-prompt-injection-defense" />

정규식 규칙은 알려진 인젝션 형태를 잡아냅니다. 시맨틱 가드는 의도 인식 계층을 추가합니다. 휴리스틱 사전 검사가 명백한 사례를 1ms 이내에 처리하고, 불확실한 입력은 LLM 판정자로 에스컬레이션되어 어느 쪽이든 판정을 담당합니다. 정규식이 절반만 본 패러프레이즈된 공격을 확인하고, 권위 주장 신호에 걸린 무해한 텍스트를 정리합니다. 800개 이상의 사례로 테스트됨 — **+30% 재현율**, 추가 오탐 없음, 정규식을 우회하는 패러프레이즈 및 파일 내 인젝션 포함.

![시맨틱 가드 결과](https://assets.kitploit.com/production/public/readmes/13903/a32297d3549c5ff60690c8dca14490f1d53a17a253d912bcb2187414dea3d018.png)

판정자는 이미 보유한 로그인으로 실행됩니다 — API 키가 필요하지 않습니다. `prismor setup`이 **LLM judge** 단계에서 묻습니다. 스크립트 방식:```bash
prismor setup --non-interactive --judge claude   # Claude Code CLI, your Claude login
prismor setup --non-interactive --judge codex    # Codex CLI, your ChatGPT login
prismor setup --non-interactive --judge api --judge-model gpt-4o-mini   # any litellm model + key

# 기본 사용법
mytool scan example.com

# 옵션과 함께 사용
mytool scan example.com --output results.json --format json

# 상세 모드
mytool scan example.com -v

# 여러 대상
mytool scan example.com test.com --threads 10

server: http://localhost:8080
token: your-token-here
output: results.json
format: json
threads: 5
timeout: 30

{
  "target": "example.com",
  "status": "success",
  "findings": [
    {
      "type": "vulnerability",
      "severity": "high",
      "description": "SQL Injection",
      "location": "/api/login"
    }
  ]
}

target,status,type,severity,description,location
example.com,success,vulnerability,high,SQL Injection,/api/login

<?xml version="1.0" encoding="UTF-8"?>
<results>
  <target>example.com</target>
  <status>success</status>
  <findings>
    <finding>
      <type>vulnerability</type>
      <severity>high</severity>
      <description>SQL Injection</description>
      <location>/api/login</location>
    </finding>
  </findings>
</results>

Error: Connection refused

# 서버 상태 확인
curl http://localhost:8080/health

Error: Authentication failed

# 토큰 확인
echo $MYTOOL_TOKEN

Error: Permission denied

# 권한 수정
chmod +x mytool

mytool scan example.com --verbose --debug

# 저장소 복제
git clone https://github.com/example/mytool.git
cd mytool

# 가상 환경 생성
python -m venv venv
source venv/bin/activate  # Windows: venv\Scripts\activate

# 의존성 설치
pip install -r requirements.txt
pip install -r requirements-dev.txt

# 테스트 실행
pytest tests/

판정: `< 30` 허용 · `30–59` 경고 · `≥ 60` 차단. IOC 일치 시 항상 차단. 패키지 관리자를 별칭으로 지정하여 모든 설치를 자동으로 게이트하세요.

`prismor supplychain harden`은 잠금 설정을 `.npmrc` / `.yarnrc.yml` / `pip.conf` / `.cargo/config.toml`에 기록하여 별칭이 우회되는 경우(CI, IDE 플러그인)에도 패키지 관리자가 이를 강제하도록 합니다.```bash
prismor supplychain harden           # apply to current directory
prismor supplychain harden --dry-run

`--scope`의 기본값은 `project`입니다. **프로젝트 범위와 사용자 범위는 서로 다른 파일을 편집합니다** — `--scope user`만 실행해도 워크스페이스의 로컬 훅은 *건드리지 않으며*, 그 반대도 마찬가지입니다:

| 에이전트 | 프로젝트 범위 | 사용자 범위 |
|---|---|---|
| Claude Code | `<workspace>/.claude/settings.json` | `~/.claude/settings.json` |
| Cursor | `<workspace>/.cursor/hooks.json` | `~/.cursor/hooks.json` |
| Windsurf | `<workspace>/.windsurf/hooks.json` | `~/.codeium/windsurf/hooks.json` |
| OpenClaw | `<workspace>/.openclaw/plugins.json` | `~/.openclaw/config.json` |
| Hermes | `<workspace>/.hermes/plugins.json` | `~/.hermes/config.json` |
| Codex | `<workspace>/.codex/hooks.json` | `~/.codex/hooks.json` |
| Copilot | `<workspace>/.github/copilot/hooks.json` | `~/.copilot/hooks.json` |
| Grok Build | `<workspace>/.grok/hooks/prismor.json` | `~/.grok/hooks/prismor.json` |
| Kiro CLI | `<workspace>/.kiro/agents/kiro_default.json` | `~/.kiro/agents/kiro_default.json` |
| Crush | `<workspace>/crush.json` | `~/.config/crush/crush.json` |
| OpenHands | `<workspace>/.openhands/hooks.json` | `~/.openhands/hooks.json` |
| Qwen Code | `<workspace>/.qwen/settings.json` | `~/.qwen/settings.json` |
| Continue CLI | `<workspace>/.continue/settings.json` | `~/.continue/settings.json` |
| Goose | `<workspace>/.agents/plugins/prismor/hooks/hooks.json` | `~/.agents/plugins/prismor/hooks/hooks.json` |

한 범위만 실행하면, 다른 범위의 훅(설치된 경우)은 계속 실행됩니다. 특정 에이전트에서 Prismor를 완전히 제거하려면 두 범위 모두 실행하세요.

실행 중인 세션은 이미 훅 설정을 로드한 상태입니다 — 세션 도중에 제거해도 새 세션을 시작하기 전까지는 적용되지 않습니다.

`prismor uninstall-hooks`가 성공을 보고했는데도 훅이 계속 실행된다면, 오래된 설치본을 실행 중일 가능성이 높습니다 — 예를 들어 개발 체크아웃의 오래된 스냅샷을 `pipx`로 설치한 복사본 같은 경우입니다. `which immunity`를 확인하고, `pipx` venv로 해석된다면 현재 소스에서 재설치(`pipx install --force <path-or-package>`)한 후 제거를 다시 실행하세요. 최후의 수단으로 훅 설정 파일을 직접 편집하세요.

### 2. 소프트 비활성화: 관찰 모드 + 드라이런

훅을 설치된 상태로 두되 차단을 중단하게 하려면:```bash
prismor install-hooks --agent all --scope project --mode observe
PRISMOR_LOCAL_DRY_RUN=1   # set in your shell/session env