agentrust-io/cmcpcMCP: 기밀 MCP 게이트웨이. MCP 도구 호출에 대한 하드웨어 증명 기반 정책 적용.
<p align="center">
<img src="https://raw.githubusercontent.com/agentrust-io/cmcp/HEAD/docs/assets/icon.svg" width="96" height="96" alt="cMCP"/>
</p>
# cMCP: 기밀 MCP 런타임
커뮤니티 업데이트 및 기여자 하이라이트: [LinkedIn의 AgenTrust](https://www.linkedin.com/company/agentrust-io/).
### 관리 대상 에이전트가 접근할 수 없는 TEE 내부에서 MCP 도구 정책을 적용하세요
<p align="center">
<a href="https://cmcp.agentrust-io.com">
<img src="https://img.shields.io/badge/Documentation-cmcp.agentrust--io.com-7c3aed?style=for-the-badge" alt="Documentation" height="36">
</a>
</p>
<p align="center">
<strong>
<a href="#quick-start">빠른 시작</a> ·
<a href="#how-it-works">아키텍처</a> ·
<a href="#configuration">구성</a> ·
<a href="#cli-reference">CLI</a> ·
<a href="https://github.com/agentrust-io/cmcp/blob/main/CHANGELOG.md">변경 로그</a>
</strong>
</p>
[](https://github.com/agentrust-io/cmcp/actions/workflows/ci.yml) [](LICENSE) [](https://pypi.org/project/cmcp-runtime/) [](https://scorecard.dev/viewer/?uri=github.com/agentrust-io/cmcp) [](https://discord.gg/grgzFEHgkj)
> **개발자 프리뷰** - 2026년 6월 23일 Confidential Computing Summit에서 출시되었습니다. v1.0 이전에 호환성을 깨는 변경이 있을 수 있습니다. 현재 제공되는 기능과 로드맵에 있는 기능을 정확히 확인하려면 [STATUS.md](https://github.com/agentrust-io/cmcp/blob/main/STATUS.md)를 참조하세요.
**cMCP(Confidential MCP Runtime)는 AI 에이전트가 수행하는 모든 도구 호출을 사용자가 작성한 규칙에 따라 검사하며, 에이전트가 변조할 수 없는 격리된 하드웨어에서 실행될 수 있는 오픈소스 게이트웨이입니다.** AI 에이전트는 일반적으로 MCP(Model Context Protocol)를 통해 도구 호출이라는 요청을 보내 도구(데이터베이스, CRM, 이메일, 내부 API)를 사용합니다. cMCP는 이러한 호출 경로에 위치하여 각 호출을 규칙(Cedar 정책 언어로 작성)에 따라 검사하고, 규칙이 금지하는 호출을 차단합니다. cMCP는 TEE(신뢰 실행 환경: 머신 소유자조차도 프로그램의 메모리에 접근할 수 없도록 격리하는 하드웨어) 내부에서 실행될 수 있으며, 이 경우 관리 대상 에이전트는 cMCP에 접근할 수 없습니다. 각 세션은 서명된 영수증인 TRACE Claim으로 종료되며, 게이트웨이를 실행한 주체를 신뢰하지 않고도 누구나 이를 검증할 수 있습니다. 이 영수증은 게이트웨이가 TEE에서 실행될 때 하드웨어 보고서로 뒷받침되며, 소프트웨어 모드에서는 서명만 제공됩니다(하드웨어 증명 없음). 이러한 용어가 생소하신가요? [쉬운 말로 설명한 용어](https://agentrust-io.com/#plain-terms)를 참조하세요.
> **요약:** 에이전트를 cMCP 게이트웨이로 연결하세요. 게이트웨이는 모든 도구 호출을 Cedar 규칙에 따라 검사하고, 규칙이 거부하는 호출을 차단하거나 마스킹(내용을 비움)하며, 누군가 변조했는지 보여주는 서명된 영수증을 제공합니다. `pip install cmcp-runtime`을 실행하고 특별한 하드웨어 없이 모든 컴퓨터에서 소프트웨어 모드로 시작하세요.
에이전트가 Snowflake, Salesforce, 수십 개의 API를 호출합니다. 그 호출 중 하나에서 고객 데이터가 유출되는 것을 무엇이 막아줄까요? 규제 기관이 요청하면 유출되지 않았음을 증명할 수 있을까요?
---
## 문제
에이전트가 도구를 호출합니다. 정책 엔진이 허용이라고 판단합니다. 도구 호출이 통과됩니다.
이 중 어느 것도 정책 엔진 자체가 침해되지 않았음을 증명하지 못합니다. 소프트웨어 전용 MCP 거버넌스는 다음을 보장할 수 없습니다:
- 디스크에 있는 Cedar 정책이 실제로 실행된 정책임을 보장하지 못합니다. 악의적인 관리자는 승인 후 번들을 교체할 수 있으며, 해시 검사는 관리자가 제어하는 동일한 OS 내부에서 실행됩니다.
- 허용/거부 결정이 메모리에서 뒤집히지 않았음을 보장하지 못합니다. 평가기의 공급망 CVE는 공격자와 동일한 주소 공간에서 실행됩니다.
- 감사 로그가 실제로 일어난 일을 반영함을 보장하지 못합니다. 소프트웨어 서명 키를 보유한 누구든 사후에 유효한 감사 체인을 재구성할 수 있습니다.
도구 호출을 관리하는 제어 평면은 관리 대상 프로세스가 접근할 수 없는 곳에서 실행되어야 합니다.
MCP 도구 호출에 대한 하드웨어 증명 기반 정책 적용. 모든 도구 호출은 가로채여 Cedar 정책 번들에 대해 평가되며, TEE(Trusted Execution Environment) 내부에서 실행되는 정책 엔진에 의해 적용됩니다. 게이트웨이는 단일 도구 호출을 처리하기 전에 설치된 코드, 정책 번들 및 구성을 하드웨어 증명 보고서에 측정하고, 번들이 다시 로드될 때마다 재증명합니다.
하드웨어 배포에서 cMCP Runtime은 TEE 내부에서 도구 호출 페이로드를 처리합니다. 호스트와 연결 공급자가 읽을 수 있는 내용은 이그레스 정책에 따라 달라지며, 업스트림 도구 서버는 TEE 외부의 별도 구성 요소입니다. 소프트웨어 모드(`CMCP_DEV_MODE`)는 하드웨어 격리를 제공하지 않습니다. [LIMITATIONS.md](https://github.com/agentrust-io/cmcp/blob/main/LIMITATIONS.md)에는 cMCP가 방지하지 못하는 사항이 나열되어 있습니다.
---
## 빠른 시작
```bash
pip install cmcp-runtime
```
`cmcp-config.yaml`를 생성합니다:
```yaml
attestation:
provider: auto
enforcement_mode: advisory # advisory eases first-run tuning; the default is `enforcing`
listen_addr: "127.0.0.1:8443" # pin loopback: dev mode runs without a bearer token
policy_bundle_path: ./policies/
catalog_path: ./catalog.json
```
여기서 `listen_addr`는 선택 사항이 아닙니다. `CMCP_DEV_MODE=1`은 빠르게 테스트할 수 있도록 bearer 토큰 요구 사항을 의도적으로 건너뛰며, 기본 바인딩은 여전히 `0.0.0.0:8443`입니다. 0.3.0에서는 이 조합이 머신의 모든 인터페이스에 인증 없는 게이트웨이를 열어두었습니다. 0.4.0부터는 거부됩니다. 토큰 없는 개발 모드는 루프백 주소에만 바인딩할 수 있으며, 비루프백 바인딩에는 `CMCP_BEARER_TOKEN`이 필요합니다. `listen_addr`을 명시적으로 고정하면 두 버전 모두에서 설정이 올바르게 동작합니다.
게이트웨이를 시작합니다:
```bash
CMCP_DEV_MODE=1 cmcp start --config cmcp-config.yaml
```
도구 호출을 수행하세요:
```bash
curl -X POST http://localhost:8443/mcp \
-H "Content-Type: application/json" \
-d '{"jsonrpc":"2.0","id":1,"method":"tools/call","params":{"name":"salesforce.contacts","arguments":{"query":"Acme Corp"},"_cmcp":{"session_id":"s1","workflow_id":"demo-agent"}}}'
```
가이드 버전을 선호하시나요? [agentrust-io.com/quickstart](https://agentrust-io.com/quickstart/)는 하드웨어도, 가입도 필요 없이 노트북에서 약 10분 만에 동일한 과정을 안내합니다. 설치하고, Cedar `forbid` 규칙 하나를 작성하고, 도구 호출이 업스트림에 도달하기 전에 403 `POLICY_DENY`를 반환하는 것을 확인한 다음, 서명된 영수증을 검증합니다.
전체 안내는 [docs/quickstart.md](https://github.com/agentrust-io/cmcp/blob/main/docs/quickstart.md)를 참조하세요: Cedar 정책, 도구 카탈로그, 첫 번째 TRACE Claim, 그리고 검증(하드웨어 TEE 불필요).
---
## 작동 방식
1. 에이전트는 MCP 서버에 직접 보내는 대신 모든 도구 호출을 cMCP Gateway로 보냅니다.
2. 게이트웨이는 트래픽을 처리하기 전에 시작 시점에 설치된 코드, Cedar 정책 번들, 구성을 측정합니다. SEV-SNP, TDX, Azure CVM에서는 다이제스트가 `report_data`에 바인딩되며, TPM 계층에서는 인증된 NV 인덱스에 확장됩니다. 정책을 다시 로드하면 새로운 증명이 트리거됩니다.
3. 들어오는 각 도구 호출은 TEE 내부에서 실행되는 Cedar 정책 엔진에 의해 평가됩니다. 결과는 허용, 거부, 또는 마스킹입니다. 호출과 그 결정은 하드웨어로 봉인된 감사 체인에 추가됩니다.
4. 세션이 끝나면 게이트웨이는 TRACE Claim을 생성합니다. 이는 어떤 도구가 실행되었는지, 어떤 정책이 각 호출을 결정했는지, 그리고 전체 감사 체인을 기록한 서명되고 하드웨어로 증명된 아티팩트입니다. 검증자는 운영자를 신뢰하지 않고도 이를 확인합니다.
```
Agent -> cMCP Runtime -> Cedar Policy Engine (TEE) -> Tool
|
GatewayClaim (TRACE Profile)
+-- trace.eat_profile
+-- trace.runtime.platform + measurement
+-- trace.policy.bundle_hash
+-- trace.cnf.jwk (Ed25519 confirmation key)
+-- gateway.audit_chain (root/tip/length)
+-- signature (Ed25519 over canonical JSON)
```
## 하드웨어 제공자
| 제공자 | 플랫폼 | 보증 수준 | 비고 |
|---|---|---|---|
| `tpm` | TPM 2.0 / vTPM (Azure, AWS, GCP Trusted Launch) | 중간 | 로컬 TPM quote |
| `sev-snp` | AMD SEV-SNP (Azure DCasv5, AWS C6a Nitro) | 높음 | AMD KDS |
| `tdx` | Intel TDX (Azure DCedsv5, GCP C3) | 높음 | Intel PCS |
| `gpu-cc` _(v0.2)_ | NVIDIA H100/H200/Blackwell (CC 모드) | 높음 | NVIDIA Remote Attestation Service (NRAS) |
제공자 자동 감지 프로브 순서: `azure-cvm -> tpm -> sev-snp -> tdx`. `detect()`가 성공하는 첫 번째 제공자가 선택됩니다. 하드웨어 제공자가 감지되지 않으면 게이트웨이는 `CMCP_DEV_MODE=1`(증명되지 않은 소프트웨어 전용 폴백)에서만 시작되며, 그렇지 않으면 시작을 거부합니다.
```python
from cmcp_runtime.config import TEEProvider
# Auto-detect (default)
# attestation.provider: auto -> azure-cvm -> tpm -> sev-snp -> tdx
# (software-only is used only under CMCP_DEV_MODE=1)
# Explicit hardware selection
# attestation.provider: sev-snp
```
## 적용 모드
| 모드 | 동작 | 사용 사례 |
|---|---|---|
| `enforcing` | 정책 거부 시 HTTP 403을 반환하며 호출이 전달되지 않음 | 프로덕션 |
| `advisory` | 정책 거부가 로그에 기록되며 호출은 계속 진행됨 | 최초 배포, 정책 조정 |
| `silent` | 정책이 평가되지만 아무것도 기록되거나 차단되지 않음 | 기준선 설정 |
기본값은 `enforcing`입니다. advisory 모드를 사용하려면 `cmcp-config.yaml`에서 `enforcement_mode: advisory`를 설정하십시오.
---
## 구성
`cmcp-config.yaml` 전체 참조:
```yaml
attestation:
provider: auto # auto | tpm | sev-snp | tdx | software-only
enforcement_mode: enforcing # enforcing | advisory | silent
validity_seconds: 86400 # attestation freshness window (default: 24 hours)
staleness_policy: fail_closed # fail_closed | warn_only
expected_measurement: ~ # pin a specific PCR/measurement (optional)
policy_bundle_path: policies/ # directory containing .cedar files and manifest.json
catalog_path: catalog.json # approved tool catalog
listen_addr: "127.0.0.1:8443" # tokenless dev mode is loopback-only; set CMCP_BEARER_TOKEN before binding wider
max_response_size_bytes: 2097152 # 2 MB default
policy_reload_interval_seconds: 0 # >0 with a pinned CMCP_POLICY_HASH refuses to start, see docs/spec/policy-hot-reload.md
```
환경 변수:
| 변수 | 효과 |
|---|---|
| `CMCP_DEV_MODE=1` | 소프트웨어 전용 TEE 제공자 사용; 하드웨어 불필요 |
| `CMCP_BEARER_TOKEN` | 모든 인바운드 요청에 이 베어러 토큰 요구 |
---
## CLI 레퍼런스
| 명령어 | 플래그 | 설명 |
|---|---|---|
| `cmcp start` | `--config PATH` (필수) | 게이트웨이 시작 |
| `cmcp validate-config` | `--config PATH` (필수) | 시작하지 않고 `cmcp-config.yaml` 검증 |
| `cmcp validate-bundle` | `--bundle-path PATH` (필수), `--expected-hash sha256:<hex>` (필수) | 배포 전에 Cedar 번들 해시 검증 |
| `cmcp verify` | `CLAIM_FILE` (필수); `--policy-hash`, `--catalog-hash`, `--max-age`, `--trusted-key`, `--trusted-tpm-ca`, `--audit-bundle`, `--agent-manifest`, `--agent-manifest-trust-anchor` | 서명된 TRACE Claim 검증 (서명, 스키마, 신선도, 감사 체인, 고정된 해시, 신뢰 앵커) |
---
## TRACE Claims
`GatewayClaim`은 감사자, 규제 기관 또는 다운스트림 검증자에게 전달되는 증명의 단위입니다. 세션별(또는 호출별, 구성 가능)로 생성되며 TEE를 벗어나지 않는 키로 서명됩니다.
| 필드 | 설명 |
|---|---|
| `trace.eat_profile` | EAT 프로필 URI: `tag:agentrust-io.com,2026:trace-v0.2` |
| `trace.runtime` | 엔클레이브 부팅 시 기록된 TEE 플랫폼 및 하드웨어 측정값 |
| `trace.policy.bundle_hash` | 시작 시 로드된 Cedar 번들의 SHA-256; 정책 파일을 변경하면 이 값이 변경됨 |
| `trace.cnf.jwk` | TEE 서명 키에 바인딩된 Ed25519 공개 키 |
| `trace.tool_transcript` | 감사 체인에서 파생된 호출별 뷰: `hash` (감사 체인 끝에 바인딩), `call_count`, 그리고 프라이버시를 보존하는 `entries` (도구 이름, 데이터 클래스, 결정) |
| `gateway.audit_chain` | 해시 체인 감사 로그의 루트와 끝; 개별 항목을 재생하지 않고도 검증 가능 |
| `signature` | 전체 클레임 본문의 정규화된 JSON(RFC 8785)에 대한 Ed25519 서명 |
(이 표는 가장 많이 사용되는 필드의 요약입니다.)
`cmcp_verify` 라이브러리를 통한 검증은 운영자를 신뢰할 필요가 없습니다. 검증자는 TEE에 바인딩된 키에 대해 서명을, 승인된 값에 대해 정책 번들 해시를, 그리고 내부 일관성에 대해 감사 체인을 확인합니다.
규범 스키마는 [`schemas/trace-claim.schema.json`](https://github.com/agentrust-io/cmcp/blob/main/schemas/trace-claim.schema.json)이며, [docs/quickstart.md](https://github.com/agentrust-io/cmcp/blob/main/docs/quickstart.md)에서 완전한 예제를 보여줍니다. 전체 검증 프로토콜은 [docs/spec/verification-library.md](https://github.com/agentrust-io/cmcp/blob/main/docs/spec/verification-library.md)와 [TRACE 명세](https://trace.agentrust-io.com)를 참조하세요.
---
## 표준 정합성
| 표준 | 적용 범위 |
|---|---|
| OWASP Agentic AI Top 10 | MCP10 (도구 호출을 통한 데이터 유출), MCP02 (비승인 도구), MCP08 (증명 가능한 거버넌스), MCP04 (공급망) |
| NIST SP 800-207 | TEE 내부의 정책 결정 지점; 워크로드 아이덴티티에 대한 암묵적 신뢰 없음 |
| EU AI Act Art. 12, 15 | 결정별 감사 기록 (Art. 12); TEE 기반 사이버보안 통제 (Art. 15) |
| DORA Art. 9 | 증명 체인; `gateway.audit_chain`을 통한 감사 로그 보존 |
| RATS/EAT RFC 9711 | `GatewayClaim`은 EAT이며; `eat_profile` 필드가 TRACE 프로필을 식별함 |
---
## 보안
| 도구 | 검사 항목 |
|---|---|
| ruff | 모든 PR에서 스타일 및 임포트 린팅 |
| bandit | 모든 PR에서 Python 보안 린팅 |
| pip-audit | 모든 PR에서 의존성 취약점 스캔 |
| mypy | 모든 PR에서 정적 타입 검사 |
| CodeQL | Python SAST, 보안 확장 쿼리, 매주 |
| OpenSSF Scorecard | 매주 점수 산정, SARIF 업로드 |
취약점 보고 및 대응 SLA는 [SECURITY.md](https://github.com/agentrust-io/cmcp/blob/main/SECURITY.md)를 참조하세요. APM 페이로드 캡처, 런타임 구성 주입, 그리고 Phase 1에서 해결하지 않는 P4.1 공급망(타이포스쿼팅)의 잔여 위험을 포함한 명시적 범위 경계는 [LIMITATIONS.md](https://github.com/agentrust-io/cmcp/blob/main/LIMITATIONS.md)를 참조하세요.
---
## 문서
| 페이지 | 설명 |
|---|---|
| [docs/quickstart.md](https://github.com/agentrust-io/cmcp/blob/main/docs/quickstart.md) | 30분 이내에 처음부터 첫 TRACE Claim까지 |
| [docs/configuration.md](https://github.com/agentrust-io/cmcp/blob/main/docs/configuration.md) | 모든 필드와 기본값을 포함한 전체 구성 참조 |
| [docs/confinement.md](https://github.com/agentrust-io/cmcp/blob/main/docs/confinement.md) | 실험적 Linux 에이전트 샌드박스, 우회 테스트 및 신뢰 가정 |
| [docs/SPEC.md](https://github.com/agentrust-io/cmcp/blob/main/docs/SPEC.md) | 제품 사양: 문제 분류 체계, 아키텍처, 커버리지 매트릭스 |
| [docs/spec/threat-model.md](https://github.com/agentrust-io/cmcp/blob/main/docs/spec/threat-model.md) | STRIDE 분석, 공격자 모델, 잔여 위험 |
| [docs/spec/cedar-policy.md](https://github.com/agentrust-io/cmcp/blob/main/docs/spec/cedar-policy.md) | Cedar 정책 언어 참조 및 스키마 |
| [docs/testing/benchmarks.md](https://github.com/agentrust-io/cmcp/blob/main/docs/testing/benchmarks.md) | TEE 제공자별 지연 시간 및 처리량 벤치마크 |
---
## FAQ
### cMCP란 무엇인가요?
cMCP(Confidential MCP Runtime)는 하드웨어 TEE(신뢰 실행 환경) 내부에서 MCP 도구 호출 정책을 시행하는 오픈소스 게이트웨이입니다. 각 도구 호출을 가로채어 Cedar 정책 번들에 대해 평가하고, 결정(허용, 거부 또는 마스킹)을 시행하며, 해당 호출을 하드웨어로 봉인된 감사 체인에 기록합니다.
### cMCP는 소프트웨어 전용 MCP 거버넌스와 어떻게 다른가요?
소프트웨어 전용 거버넌스는 운영자나 공급망 CVE가 접근할 수 있는 동일한 OS에서 정책 엔진을 실행하므로, 실행된 정책이 승인된 것인지 또는 결정이 메모리에서 뒤바뀌지 않았는지를 증명할 수 없습니다. cMCP는 TEE 내부에서 정책 엔진을 실행하고 단 한 건의 호출도 처리하기 전에 해당 코드와 Cedar 번들을 하드웨어 증명 보고서에 측정하므로, 통제 대상 프로세스가 제어 평면에 접근할 수 없습니다.
### 시험해 보려면 특수 하드웨어가 필요한가요?
아니요. `CMCP_DEV_MODE=1`을 설정하면 소프트웨어 전용 TEE 제공자를 사용하여 하드웨어 TEE 없이 전체 퀵스타트를 실행할 수 있습니다. 하드웨어 제공자(TPM, AMD SEV-SNP, Intel TDX)는 프로덕션에서 사용됩니다.
### TRACE Claim이란 무엇인가요?
TRACE Claim(`GatewayClaim`)은 세션별로 생성되는 서명되고 하드웨어로 증명된 아티팩트입니다. 어떤 도구가 실행되었는지, 각 호출을 어떤 정책이 결정했는지, Cedar 번들 해시, 감사 체인을 기록하며, TEE를 절대 벗어나지 않는 Ed25519 키로 서명됩니다. 검증자는 운영자를 신뢰하지 않고 `cmcp_verify` 라이브러리로 이를 검증합니다.
### 어떤 TEE 제공자가 지원되나요?
TPM 2.0 / vTPM, AMD SEV-SNP, Intel TDX를 지원하며, NVIDIA GPU 기밀 컴퓨팅은 v0.2에서 계획되어 있습니다. 자동 감지 순서는 Azure 기밀 VM, 그다음 TPM 2.0 / vTPM, 그다음 AMD SEV-SNP, 그다음 Intel TDX이며, 소프트웨어 전용 제공자는 CMCP_DEV_MODE=1인 경우에만 사용됩니다.
### cMCP는 어떤 라이선스인가요?
MIT.
---
## 기여
[CONTRIBUTING.md](https://github.com/agentrust-io/cmcp/blob/main/CONTRIBUTING.md) · [GOVERNANCE.md](https://github.com/agentrust-io/cmcp/blob/main/GOVERNANCE.md) · [Discussions](https://github.com/orgs/agentrust-io/discussions)
[Discord](https://discord.gg/grgzFEHgkj)에서 커뮤니티에 참여하세요.
프로덕션에서 cMCP를 사용하고 계신가요? [ADOPTERS.md](https://github.com/agentrust-io/cmcp/blob/main/ADOPTERS.md)에 소속 기관을 추가하세요.
---
## 라이선스
MIT - [LICENSE](https://github.com/agentrust-io/cmcp/blob/main/LICENSE) 참조.