모든 시스템 작업은 사용자의 비밀과 공개 인터넷 사이의 경계를 넘어야 합니다. Pipelock은 에이전트가 자체 프록시, MCP 래퍼, 샌드박스, 호스트 격리 모델 또는 클러스터 배포 토폴로지를 통해 라우팅될 때 그 경계가 됩니다. 중재된 아웃바운드 및 인바운드 트래픽을 스캔하고, 모드에 따라 공격을 차단하거나 플래그를 지정하며, 결정에 대한 서명된 증거를 기록합니다.

---

## 직접 확인하세요

대부분의 에이전트 보안 도구는 대시보드를 신뢰하라고 요구합니다. Pipelock은 서명된 영수증을 제공하며, 사용자가 보유한 키를 사용하여 오프라인에서 직접 확인할 수 있게 해줍니다. 계정도 서버도 필요 없습니다.

내장 데모는 실제 공격 시나리오를 실행하고, 차단한 후, 서명된 영수증과 공개 키를 디스크에 기록합니다. 구성도 네트워크도 필요 없습니다:```bash
pipelock demo --receipts-dir ./out                                   # runs attack scenarios, writes 7 signed receipts + signer.pub
pipelock verify-receipt "$(ls ./out/*.json | head -1)" --key ./out/signer.pub  # check a signature yourself (each receipt is <action-id>.json)

두 가지 정직성 메모를 먼저 밝힙니다. 데모는 실행 시 출력하는 임시 키로 서명하며, 이는 영수증이 명명된 신원에 연결되는 것이 아니라 자체적으로 일관성이 있음을 증명합니다. 공개 Pipelock 플레이그라운드는 Pipelock이 게시하는 키에 대해 검증하는 별도의 경로입니다. 그리고 Pipelock을 실행하는 운영자는 서명 키를 보유하므로, 영수증은 경계가 결정한 내용과 키 보유자가 서명했음을 증명할 뿐, 운영자가 정직하다는 것을 증명하지는 않습니다. `pipelock anchor receipts`는 영수증 체인의 체크포인트를 로컬 백엔드 또는 Rekor 투명성 로그에 기록하여 나중에 감사할 수 있게 하며, 해당 앵커에 대한 운영자 독립적 검증은 아직 종단 간 입증 중입니다.

증명이 약속보다 나은 이유에 대한 전체 논증은 [증명 대 증명서](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/security/demonstration-over-attestation.md)에 있습니다.

---

## 빠른 시작```bash
# Install from source (Go 1.25+)
go install github.com/luckyPipewrench/pipelock/cmd/pipelock@latest

# Set up local agent integrations and generate a config
pipelock init

# Test the scanner
pipelock check --url "https://evil.com/?k=AKIAIOSFODNN7EXAMPLE"  # blocked: AWS Access ID
pipelock check --url "https://docs.python.org/3/"                # allowed

- **입력 스캐닝:** MCP 클라이언트 요청은 도구 인수에서 DLP 유출 및 인젝션을 확인합니다.
- **응답 스캐닝:** 서버 응답은 에이전트가 보기 전에 스캔됩니다.
- **도구 중독:** `tools/list` 설명은 숨겨진 지시 사항 및 세션 중간의 rug-pull 변경 사항을 확인합니다.
- **도구 정책:** 17개의 내장 규칙은 실행 전에 파괴적인 파일 삭제, 자격 증명 액세스, 리버스 셸, 지속성 메커니즘, 인코딩된 명령 실행, 및 관련 고위험 도구 호출을 차단합니다.
- **도구 호출 체인:** 10개의 내장 카테고리-축 패턴은 정찰, 자격 증명 도용, 데이터 스테이징, 지속성, 유출 및 콜백 체인을 구성 가능한 갭 허용 한계로 탐지합니다.
- **A2A 검사:** Google Agent-to-Agent 프로토콜 트래픽은 포워드 및 MCP 경로에서 검사됩니다. Pipelock은 독립 실행형 A2A 프록시가 아닙니다.
- **인증된 MCP HTTP 리스너 (v3.2.0):** non-loopback MCP 리스너는 기본적으로 fail closed되며 `--mcp-auth-token-file` 또는 명시적 `--mcp-allow-unauthenticated`가 네트워크 정책 격리 배포에 필요합니다. 토큰 없는 루프백 리스너는 DNS-rebound 및 잘못된 포트 호스트 권한을 거부하고 헤더에서 리스너 자격 증명을 제거합니다.

### 격리

비권한 프로세스 격리는 OS 네이티브 프리미티브를 사용합니다. Linux는 Landlock, seccomp 및 네트워크 네임스페이스를 사용합니다. macOS는 `sandbox-exec` 프로파일을 사용합니다. 컨테이너에서 `--best-effort`는 네임스페이스 생성이 제한될 때 Landlock과 seccomp를 유지하며, 네트워크 스캐닝은 프록시 기반 라우팅을 사용합니다.```bash
pipelock sandbox --config pipelock.yaml -- python agent.py
pipelock sandbox --best-effort -- python agent.py
pipelock mcp proxy --sandbox --config pipelock.yaml -- npx server

`pipelock contain install / run / verify / rollback / add-tool / grant-workspace / revoke-workspace / ca-refresh`는 nftables owner-match 라우팅, systemd 서비스 설정, 래퍼 명령어, 워크스페이스 ACL, CA 갱신, 자세 증거를 관리하는 3-UID 운영자/프록시/에이전트 모델을 관리합니다. 자세한 내용은 [`docs/contain-cli.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/contain-cli.md)를 참조하세요.

### 증거 및 수령증

- **플라이트 레코더(flight recorder):** 해시 체인 방식의 JSONL 증거 로그로, Ed25519 서명 체크포인트 및 DLP 편집 기능을 제공합니다. stock 설치 시 `pipelock init`이 레코더 디렉터리와 서명 키를 준비하며, 디렉터리와 키가 존재할 때까지 레코더는 비활성 상태를 유지합니다. 자세한 내용은 [Flight Recorder](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/flight-recorder.md)를 참조하세요.
- **액션 수령증(action receipts):** 중재된 액션에 대해 발행되는 서명된 레코드로, 판결, 정책 해시, 전송 계층, 스캐너 계층을 포함합니다. 블록은 수령증을 생성합니다. 허용 경로(allow-path) 수령증 적용에는 `flight_recorder.require_receipts` 설정이 필요합니다. `pipelock verify-receipt --key <signer.pub>`로 확인합니다. 고정되지 않은 실행(unpinned run)은 구조적 전용이며, `--allow-unpinned` 플래그가 없으면 0이 아닌 종료 코드를 반환합니다.
- **중재 엔벨로프(mediation envelope):** 전달된 HTTP 요청 및 MCP `_meta`에 포함된 RFC 8941 사이드밴드 메타데이터로, 액션 유형, 판결, 행위자 ID, 정책 해시, 오염 컨텍스트, 수령증 상관 ID를 포함합니다. 자세한 내용은 [federation guide](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md)를 참조하세요.
- **수령증 적합성(receipt conformance):** 네 가지 독립적인 교차 언어 검증기 구현(Go, TypeScript, Rust, Python)이 하나의 공유 [적합성 코퍼스(conformance corpus)](https://github.com/luckypipewrench/pipelock/blob/HEAD/sdk/conformance/)에 대해 실행되며, 중복 키, 정수 오버플로우, 페어링되지 않은 서로게이트 등 변조 및 위조 가능한 입력을 포함합니다. 브라우저 wasm 표면은 Go 검증기 구현을 재사용합니다. AARP/SVID 평가는 여전히 오프라인 검증기 프로필로 남아 있으며, 런타임 신원 적용이 아닙니다.
- **앵커(anchors):** `pipelock anchor receipts`는 수령증 체인 체크포인트를 로컬 백엔드 또는 Rekor에 기록합니다. Rekor 앵커링은 추후 감사를 위한 증거 자료이며, Rekor 검증에는 고정된 로그 키가 필요하며 종단 간 운영자 독립성 경로는 아직 입증 중입니다.
- **자세 캡슐(posture capsule):** `pipelock posture emit` 및 `pipelock posture verify`는 배포의 적용 자세에 대한 서명된 스냅샷을 생성 및 확인하며, CI 게이트 및 점수 모델을 포함하여 검토자가 경계가 주장한 대로 구성되었는지 확인할 수 있습니다.

### Fleet 및 Enterprise

- **운영자 대시보드(operator dashboard):** `pipelock dashboard serve`는 서명된 증거에 대한 읽기 전용 콘솔입니다. Pro에서는 개요, 증거, 예외, 에이전트, 예산, 신뢰 및 키(Trust & Keys) 뷰를 제공합니다. Enterprise에서는 Fleet, Workbench, 인시던트(Incdident) 뷰가 추가됩니다. 자세한 내용은 [`docs/cli/dashboard.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/dashboard.md)를 참조하세요.
- **무료 증거 뷰어(free evidence viewer):** `pipelock evidence serve` 및 `pipelock evidence view`는 라이선스나 교차 에이전트 열거 없이 하나의 선택된 레코더 세션을 렌더링합니다. `pipelock evidence verify-cert`는 Pro에서 발행한 적용 범위 인증서를 오프라인에서 확인합니다.
- **컨덕터(Conductor):** Enterprise fleet 제어 평면으로, 서명된 정책 번들 배포, 서명된 증거 싱크(`pipelock fleet-sink`), 등록, 원격 종료, 롤백, 드라이런, 결정 재생, mTLS/SPIFFE를 통한 런타임/적용 상태 드리프트 사전 점검을 수행합니다. 팔로워는 로컬에서 적용합니다. 기본 스테일 정책 모드는 유예 기간 이후 독립적인 거부 소스(deny source)를 활성화하며, 문서화된 `continue_last_known_good` 재정의는 해당 자세를 약화시킵니다. 컨덕터는 에이전트 비밀을 보유하지 않습니다. 자세한 내용은 [Conductor guide](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/conductor.md)를 참조하세요.
- **법적 보존(legal hold):** `pipelock dashboard legal-hold add/list/release`는 대시보드의 HTTP 권한 밖에서 유지되는 규정 준수 메타데이터로 보존 명령을 관리하므로, 손상된 대시보드라도 보존 정보를 읽을 수는 있지만 위조하거나 삭제할 수는 없습니다.
- **행동 베이스라인(behavioral baseline):** 프로파일링 후 잠금 방식으로 MCP 도구 동작을 처리하며, `pipelock baseline list/show/ratify/forget`을 통해 운영자 승인 및 재학습을 지원합니다. 자세한 내용은 [`docs/cli/baseline.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/baseline.md)를 참조하세요.

### 운영성

- **킬 스위치(kill switch):** 여섯 가지 독립적인 활성화 소스(설정 파일, 원격 API, SIGUSR1, 센티널 파일, Conductor 원격 종료, 스테일 번들 감지)가 있습니다. 활성화된 소스 하나라도 트래픽을 차단하며, 컨트롤러에는 엔드포인트 및 IP 예외가 있습니다.
- **스캔 API(Scan API):** `url`, `dlp`, `prompt_injection`, `tool_call` 판결에 대한 프로그래밍 방식 스캔을 제공하며, 베어러 토큰 인증, 토큰별 속도 제한, 구조화된 결과, Prometheus 메트릭을 지원합니다. 자세한 내용은 [docs/scan-api.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/scan-api.md)를 참조하세요.
- **파일시스템 센티널(filesystem sentinel):** 에이전트 작업 디렉터리에서 디스크에 기록된 비밀을 감시하고, Linux에서 MCP 서브프로세스 계통에 쓰기를 귀속시킵니다. 자세한 내용은 [docs/guides/filesystem-sentinel.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/filesystem-sentinel.md)를 참조하세요.
- **이벤트 방출(event emission):** 프록시 핫 경로를 차단하지 않고 감사 이벤트를 SIEM, 웹훅 수신기, syslog, CEF, OTLP 및 메트릭 출력으로 전달합니다. 자세한 내용은 [docs/guides/siem-integration.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/siem-integration.md)를 참조하세요.
- **보안 평가(security assessment):** `pipelock assess init`, `pipelock assess run`, `pipelock assess finalize`는 공격 시뮬레이션, 구성 점수 매기기, 설치 검증, MCP 검색을 조정하여 재현 가능한 증거 번들을 생성합니다. 보호되지 않은 MCP 서버와 같은 심각한 노출은 숫자 점수와 관계없이 등급을 제한합니다. 무료 요약에서는 등급, 섹션 점수, 주요 결과를 보여줍니다. 라이선스를 잠금 해제하면 서버별 결과, 수정 명령어, Ed25519 서명 증거가 포함된 전체 보고서를 확인할 수 있습니다.

<details>
<summary>더 많은 기능</summary>

| 기능 | 설명 |
|---------|-------------|
| **감사 보고서(Audit Reports)** | `pipelock report --input events.jsonl`은 위험 등급, 타임라인, 증거 부록이 포함된 HTML/JSON/번들 보고서를 생성합니다. `--sign`으로 Ed25519 서명합니다. ([샘플 보고서](https://github.com/luckypipewrench/pipelock/blob/HEAD/examples/sample-report.html)) |
| **진단(Diagnose)** | `pipelock diagnose`는 네트워크 없이 구성의 종단 간 검증을 위해 7가지 로컬 검사를 실행합니다. |
| **적용 진단(Enforcement Doctor)** (v2.5) | `pipelock doctor`는 프록싱, TLS 가로채기, 요청 본문 스캔, Browser Shield, MCP 래핑, MCP 바이너리 무결성, 도구 출처, file_sentry, Sentry, 배포 경계 신호에 대한 구성된 상태와 적용 가능한 상태를 보고합니다. |
| **요청 본문 삽입 차단(Request Body Injection Blocking)** (v2.5) | 요청 본문 프롬프트 인젝션 및 중요 DLP 결과가 적용 모드에서 비공급자 대상을 전달, 역방향, TLS 가로채기, WebSocket 전송에 걸쳐 하드 차단하며, 운영자에게 표시되는 진단을 위한 차단 이유 헤더를 포함합니다. |
| **요청 정책(Request Policy)** (v2.6) | 기본적으로 허용하는 거부/경고 레일: 경로와 GraphQL 연산 조건자를 매칭하고 JSON `$batch` 엔벨로프를 재귀적으로 처리하며, 구문 분석 불가능하거나 불투명한 본문에서 폐쇄 실패하고, 계약 게이트보다 먼저 실행됩니다. 자세한 내용은 [요청 정책 가이드](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/request-policy.md)를 참조하세요. |
| **TLS 가로채기(TLS Interception)** | 선택적 CONNECT 터널 MITM: 본문/헤더/응답을 해독하고 스캔한 후 재암호화합니다. `pipelock tls init`이 CA를 생성하고, `pipelock tls install-ca`는 플랫폼 신뢰 저장소 설치 단계를 출력합니다. |
| **차단 힌트(Block Hints)** | 옵트인 `explain_blocks: true`는 차단된 응답에 수정 제안을 추가합니다. |
| **프로젝트 감사(Project Audit)** | `pipelock audit ./project`는 보안 위험을 스캔하고 맞춤형 구성을 생성합니다. |
| **구성 점수(Config Scoring)** (v2.6) | `pipelock audit score --config pipelock.yaml`은 23개 범주에 걸쳐 170점 예산과 성적 등급으로 보안 자세를 평가합니다. |
| **파일 무결성(File Integrity)** | SHA256 매니페스트는 작업 공간 파일의 수정, 추가, 삭제를 감지합니다. |
| **Git 보호(Git Protection)** | `git diff \| pipelock git scan-diff`는 커밋 전에 비밀을 잡아냅니다. |
| **Ed25519 서명(Ed25519 Signing)** | 다중 에이전트 신뢰를 위한 키 관리, 파일 서명 및 서명 검증입니다. |
| **세션 프로파일링(Session Profiling)** | 도메인 급증 및 볼륨 스파이크에 대한 세션별 행동 분석입니다. |
| **적응형 적용(Adaptive Enforcement)** | 경고에서 차단으로 확대되는 세션별 위협 점수, 확대 해제 타이머, 도메인 버스트 감지입니다. |
| **적응형 운영자 CLI(Adaptive Operator CLI)** (v2.5) | `pipelock adaptive status / flush / whoami`는 인증된 관리 API를 통해 런타임 적응형 상태를 노출합니다. [`docs/cli/adaptive.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/adaptive.md) 참조. |
| **결과 억제(Finding Suppression)** | 구성 규칙 또는 인라인 `pipelock:ignore` 주석을 통해 알려진 오탐을 무음 처리합니다. |
| **다중 에이전트 지원(Multi-Agent Support)** | `X-Pipelock-Agent` 헤더를 통한 에이전트 식별로 에이전트별 필터링을 지원합니다. |
| **Fleet 모니터링(Fleet Monitoring)** | 인스턴스별 Prometheus 메트릭과 즉시 가져올 수 있는 [Grafana 대시보드](https://github.com/luckypipewrench/pipelock/blob/HEAD/configs/grafana-dashboard.json)를 제공합니다. 무료 단일 인스턴스 모니터링이며, Conductor와는 별개입니다. |
| **운영자 대시보드(Operator Dashboard)** (v3.1, Pro/Enterprise) | `pipelock dashboard serve`는 개요, 증거, 예외, 에이전트, 예산, 신뢰 및 키, Fleet, Workbench, 인시던트 뷰를 제공하며, 토큰, OIDC 또는 mTLS 인증, 범위 제한 RBAC, 원시 보기 상승, 백업/복원, 예외 수명 주기 레코드, 적용 범위 인증서를 지원합니다. [`docs/cli/dashboard.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/dashboard.md) 참조. |
| **무료 증거 뷰어(Free Evidence Viewer)** (v3.1) | `pipelock evidence serve`는 라이선스 없이 교차 에이전트 열거 없이 하나의 선택된 레코더 세션을 읽기 전용 HTML 보고서로 제공합니다. `pipelock evidence verify-cert`는 Pro에서 발행한 적용 범위 인증서를 오프라인에서 확인합니다. |
| **Conductor: fleet 제어 평면** (v2.7, Enterprise) | mTLS/SPIFFE를 통한 서명된 정책 번들 배포, 서명된 증거 감사 싱크(`pipelock fleet-sink`), 등록, 원격 종료, 정책 롤백, 드라이런, 결정 재생, 런타임/적용 상태 드리프트 사전 점검을 제공합니다. `fleet` 라이선스 기능에 의해 게이트되며, 스테일 정책 동작은 명시적이며 기본적으로 엄격한 거부입니다. 자세한 내용은 [Conductor 가이드](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/conductor.md)를 참조하세요. |
| **A2A 스캐닝(A2A Scanning)** | Google의 Agent-to-Agent 프로토콜에 대해 전달/MCP 경로에서 에이전트 카드 중독 탐지, 카드 드리프트 모니터링, 세션 밀수 방지를 제공합니다. |
| **행동 베이스라인(Behavioral Baseline)** | 프로파일링 후 잠금 방식으로 MCP 도구 동작을 처리하며, `pipelock baseline list/show/ratify/forget`을 통해 운영자 승인 및 재학습을 지원합니다. [`docs/cli/baseline.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/baseline.md) 참조. |
| **지갑 고갈 방지(Denial-of-Wallet)** | 에이전트별 MCP 예산: 총 도구 호출, 동일 도구 재시도, 루프/사이클 감지, 벽시계 지속 시간. |
| **오염 확대(Taint Escalation)** | 신뢰가 복원될 때까지 MCP 및 작업 경계를 넘는 노출 기반 정책 확대. |
| **중재 엔벨로프(Mediation Envelope)** | 전달된 HTTP 요청 및 MCP `_meta`에 포함된 RFC 8941 사이드밴드 메타데이터로, 인바운드 검증, 재생 방지, SPIFFE 행위자 형식, RFC 9421 서명 키 디렉터리를 포함합니다. [federation 가이드](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md) 참조. |
| **수령증 적합성(Receipt Conformance)** | 독립적인 Go, TypeScript, Rust, Python 구현과 Go 기반 브라우저 wasm 표면을 아우르는 교차 구현 수령증 검증 스위트(`sdk/conformance/`). `EvidenceReceipt v2`는 RFC 8785/JCS 정규화를 사용합니다. AARP/SVID 평가는 오프라인 검증기 측에 남아 있습니다. |
| **학습 후 잠금(Learn-and-Lock)** (v2.4) | 에이전트별 행동 계약: 트래픽 관찰, 서명된 후보 계약 컴파일, 섀도우에서 캡처된 관찰 재생, 규칙별 비준, 서명된 활성 매니페스트 승격, URL 기반 전송 및 MCP 도구 호출에 대해 라이브 적용. [learn-and-lock 가이드](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/learn-and-lock.md) 참조. |
| **차단 이유 헤더(Block-Reason Header)** (v2.4) | HTTP 지원 차단 경로에 `X-Pipelock-Block-Reason` 헤더, MCP JSON-RPC 오류 메타데이터에 동일한 이유 어휘를 사용합니다. [차단 이유 헤더](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/block-reason-header.md) 참조. |
| **쐐기 감지 감시자(Wedge-Detection Watchdog)** (v2.4) | `health_watchdog`는 서브시스템 하트비트가 오래되면 `/health`에서 503을 반환합니다. [health 엔드포인트 가이드](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/health.md) 참조. |
| **편집 제공자 플러그인 형태(Redaction Provider Plugin Shape)** (v2.4) | Anthropic, OpenAI, Gemini 채팅 API에 대한 자사 편집 파서와 타사 파서를 위한 제공자 플러그인 형태. |
| **감사 패킷 v0 스키마 + 검증기(Audit Packet v0 Schema + Verifiers)** (v2.5) | 자사 표준 감사 패킷 스키마와 Go, TypeScript, Rust 검증기 구현, 독립형 [`pipelock-verifier`](https://github.com/luckypipewrench/pipelock/blob/HEAD/cmd/pipelock-verifier/) CLI. 스키마는 [`sdk/audit-packet/`](https://github.com/luckypipewrench/pipelock/blob/HEAD/sdk/audit-packet/), 검증기 패키지는 [`sdk/verifiers/`](https://github.com/luckypipewrench/pipelock/blob/HEAD/sdk/verifiers/)에 있습니다. |
| **호스트 격리 생명 주기(Host Containment Lifecycle)** (v2.5) | `pipelock contain install / run / verify / rollback / add-tool / grant-workspace / revoke-workspace / ca-refresh`는 3-UID 격리 모델을 관리합니다. [`docs/contain-cli.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/contain-cli.md) 참조. |
| **MCP 무결성 매니페스트(MCP Integrity Manifests)** (v2.5) | `pipelock mcp integrity manifest generate / verify / sign / verify-signature`는 MCP 서버 바이너리/스크립트를 해시로 고정하고, 서브프로세스 실행 전에 신뢰된 매니페스트 서명을 요구할 수 있습니다. [`docs/cli/mcp-integrity.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/mcp-integrity.md) 참조. |
| **Kubernetes MCP 런처 계약(Kubernetes MCP Launcher Contract)** (v2.5) | `pipelock init sidecar --mcp-upstream`은 동반 리스너 구성, 서비스 포트, 워크로드 어노테이션, NetworkPolicy 허용, `PIPELOCK_MCP_PROXY_URL`, 마운트된 `PIPELOCK_MCP_CONFIG`를 내보냅니다. [`docs/cli/init-sidecar.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/init-sidecar.md) 참조. |
| **Federation 엄격 모드(Federation Strict Mode)** (v2.5) | 인바운드 중재 엔벨로프 검증은 기본적으로 SPIFFE 형식 행위자를 요구하며, 계약 툼스톤이 적용되고, `pipelock envelope trust add/list/remove/verify`가 로컬 신뢰를 관리합니다. [federation 가이드](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md) 참조. |
| **미디어 정책(Media Policy)** | JPEG/PNG에서 스테가노그래픽 메타데이터를 제거하고 기본적으로 오디오/비디오를 거부하며, SVG 활성 콘텐츠를 강화하고 이미지 크기 제한을 적용합니다. [미디어 정책](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/media-policy.md) 참조. |
| **규정 준수 매핑(Compliance Mappings)** | OWASP MCP Top 10, OWASP Agentic Top 15, OWASP LLM Top 10, NIST 800-53, EU AI Act, 조달/감사 매핑을 제공합니다. |

</details>

---

## 무료, Pro, Enterprise

모든 탐지, 적용, 격리 및 단일 에이전트 증거는 Apache 2.0에 따라 영원히 무료입니다. 유료 등급은 다중 에이전트 조정(Pro)과 Fleet 거버넌스 및 규정 준수(Enterprise)를 추가합니다.

| 기능 | 무료 | Pro | Enterprise |
|---|:--:|:--:|:--:|
| 스캔 및 탐지(정렬된 URL 파이프라인, DLP, 인젝션, SSRF, 스트리밍 SSE, 편집, 주소 보호) | 예 | 예 | 예 |
| MCP 및 A2A 스캐닝(입력, 응답, 도구 정책, 도구 체인, 중독, 무결성, 인증된 리스너) | 예 | 예 | 예 |
| 격리, 샌드박스, 호스트 `contain`, 6-소스 킬 스위치 | 예 | 예 | 예 |
| 액션 수령증, 플라이트 레코더, 앵커, 무료 증거 뷰어, `verify-cert`, 독립형 검증기 | 예 | 예 | 예 |
| 카나리 토큰, 스킬 스캔, `explain`, 단일 인스턴스 Prometheus 및 Grafana | 예 | 예 | 예 |
| 에이전트별 프로필: 신원, 예산, 구성 및 스캐너 격리, 에이전트별 샌드박스 | 아니요 | 예 | 예 |
| 소스 CIDR 및 네트워크 선택기에 의한 에이전트별 라우팅 | 아니요 | 예 | 예 |
| 운영자 대시보드: 개요, 증거, 예외, 에이전트, 예산, 신뢰 및 키 | 아니요 | 예 | 예 |
| 에이전트별 적용 범위 인증서 | 아니요 | 예 | 예 |
| 법적 보존 및 규정 준수 메타데이터 | 아니요 | 예 | 예 |
| Conductor fleet 제어 평면, `fleet-sink` 감사 싱크, 원격 종료, 롤백, 결정 재생, 드리프트 사전 점검 | 아니요 | 아니요 | 예 |
| mTLS 등록 및 로스터 검증 서명 정책 배포 | 아니요 | 아니요 | 예 |
| 대시보드 fleet 뷰: Fleet, Workbench, 인시던트 | 아니요 | 아니요 | 예 |

서명된 `pipelock assess` 보고서는 Pro 및 Enterprise와 별개인 별도의 `assess` 자격입니다. 무료 assess 등급은 변경되지 않습니다.

---

## 작동 방식

Pipelock은 **기능 분리**를 사용합니다. 적용된 배포에서 에이전트 프로세스는 비밀을 보유하지만 직접적인 네트워크 액세스는 없습니다. Pipelock은 네트워크 액세스 권한이 있지만 에이전트 비밀은 없습니다. 에이전트가 프롬프트 인젝션을 당하더라도 방화벽의 제어에 도달할 수 없습니다.

동일한 포트를 사용하는 세 가지 HTTP 프록시 모드와 전용 MCP 프록시 및 A2A 검사(전달 및 MCP 경로):

- **Fetch 프록시** (`/fetch?url=...`): URL을 가져오고 텍스트를 추출한 후 인젝션을 스캔하여 깨끗한 콘텐츠를 반환합니다.
- **Forward 프록시** (`HTTPS_PROXY`): 애플리케이션 코드 변경 없이 표준 HTTP CONNECT 터널링. 프록시 구성이 여전히 필요합니다. 선택적 TLS 가로채기로 페이로드 스캔이 가능합니다.
- **WebSocket 프록시** (`/ws?url=ws://...`): DLP 및 인젝션 감지를 통한 양방향 프레임 스캔.
- **MCP 프록시** (`pipelock mcp proxy`): stdio 또는 HTTP MCP 서버를 양방향 스캔으로 래핑합니다.
- **A2A 검사**: 전달 및 MCP 경로를 통과하는 Google Agent-to-Agent 프로토콜 트래픽을 검사합니다.

![Pipelock 기능 분리: 에이전트 트래픽이 인터넷 서비스에 도달하기 전에 방화벽에 의해 스캔됩니다](https://raw.githubusercontent.com/luckypipewrench/pipelock/HEAD/docs/assets/how-it-works.svg)

<details>
<summary>텍스트 다이어그램 (터미널용)</summary>```
┌──────────────────────────────────────────────────────────┐
│ PRIVILEGED ZONE                                          │
│                                                          │
│ AI Agent                                                 │
│ - API keys, credentials, private code and context        │
│ - Network-isolated by deployment                         │
└────────────────────────────┬─────────────────────────────┘
                             │ mediated request
                             │ fetch / CONNECT / WS / MCP / A2A
                             ▼
┌──────────────────────────────────────────────────────────┐
│ FIREWALL ZONE                                            │
│                                                          │
│ Pipelock Agent Firewall                                  │
│ - Destination: URL, SSRF, and DNS checks                 │
│ - Data: DLP, secret detection, and budgets               │
│ - Content: prompt injection and tool poisoning           │
│ - Policy: allow, block, or redact                        │
│ - No agent secrets                                       │
└────────────────────────────┬─────────────────────────────┘
                             │ approved request
                             ▼
┌──────────────────────────────────────────────────────────┐
│ INTERNET                                                 │
│                                                          │
│ Web APIs, websites, MCP servers, tools, and A2A services │
└──────────────────────────────────────────────────────────┘

Internet -- response --> Pipelock -- scanned content --> AI Agent

| CLI 프리셋 | 모드 | 동작 | 적합 대상 |
|------------|------|--------|----------|
| `balanced` | balanced | warn | 일반 목적 (기본값) |
| `strict` | strict | block | 고보안, 규제 산업 |
| `audit` | audit | warn | 로그 전용 평가 |
| `claude-code` | balanced | block | Claude Code 무인 실행 |
| `cursor` | balanced | block | Cursor IDE |
| `generic-agent` | balanced | warn | 튜닝 중 신규 에이전트 |
| `hostile-model` | strict | block | 검열 해제/제거 모델 |

구성 변경은 파일 감시자 또는 SIGHUP을 통해 적용됩니다. 전체 참조: **[docs/configuration.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/configuration.md)**

오탐 튜닝 관련: **[docs/false-positive-tuning.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/false-positive-tuning.md)**

---

## 통합 가이드

- **[Claude Code](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/claude-code.md):** MCP 프록시 설정, `.claude.json` 구성
- **[OpenAI Codex](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/codex.md):** MCP 프록시 래핑, 포워드 프록시, 샌드박스 통합
- **[Cline](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/cline.md):** Cline의 `mcp.json`용 MCP 프록시 래핑
- **[OpenCode](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/opencode.md):** OpenCode의 로컬 및 원격 MCP 서버용 MCP 프록시 래핑
- **[Zed](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/zed.md):** Zed의 `settings.json` 내 `context_servers` 블록용 MCP 프록시 래핑
- **[OpenAI Agents SDK](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/openai-agents.md):** `MCPServerStdio`, 다중 에이전트 핸드오프
- **[Google ADK](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/google-adk.md):** `McpToolset`, `StdioConnectionParams`
- **[AutoGen](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/autogen.md):** `StdioServerParams`, `mcp_server_tools()`
- **[CrewAI](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/crewai.md):** `MCPServerStdio` 래핑, `MCPServerAdapter`
- **[LangGraph](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/langgraph.md):** `MultiServerMCPClient`, `StateGraph`
- **[Hermes](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/hermes.md):** 전체 플러그인 지원 또는 Nous Research 에이전트용 경량 MCP 전용 래핑, 인증 헤더 사이드카 보존 포함
- **[JetBrains/Junie](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/jetbrains.md):** IntelliJ, PyCharm, GoLand용 MCP 프록시 래핑 ([워크스루](https://pipelab.org/learn/jetbrains-integration/))
- **Cursor:** `pipelock cursor install`는 셸 실행, MCP 도구 호출, 파일 읽기를 위한 Cursor 훅으로 Pipelock을 등록합니다. `--config`를 사용하여 검증된 정책 경로를 포함하고 `pipelock cursor remove`로 Pipelock이 관리하는 훅을 제거합니다. [Claude Code](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/claude-code.md)와 동일한 MCP 프록시 패턴으로 `configs/cursor.yaml`을 사용할 수도 있습니다 ([워크스루](https://pipelab.org/learn/cursor-integration/))
- **VS Code:** `pipelock vscode install`은 모든 MCP 서버가 MCP 프록시를 통해 라우팅되도록 `.vscode/mcp.json`을 다시 작성합니다. `--global`은 사용자 수준 `mcp.json`을 대상으로 합니다
- **[OpenClaw](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/openclaw.md):** 게이트웨이 사이드카, 초기화 컨테이너, 구성 래핑
- **기타 모든 MCP 클라이언트:** `pipelock generate mcporter`는 최상위 `mcpServers` 객체가 포함된 모든 JSON 파일을 읽고 각 서버를 Pipelock의 프록시를 통해 래핑하므로, 위 목록에 없는 클라이언트도 한 번의 명령으로 스캔을 통해 라우팅됩니다.

---

## 배포```bash
# Docker
docker pull ghcr.io/luckypipewrench/pipelock:latest
docker run -p 8888:8888 -v ./pipelock.yaml:/config/pipelock.yaml:ro \
  ghcr.io/luckypipewrench/pipelock:latest \
  run --config /config/pipelock.yaml --listen 0.0.0.0:8888

# Network-isolated agent with Docker Compose
pipelock generate docker-compose --agent claude-code -o docker-compose.yaml
docker compose up

# Kubernetes with Helm
helm install pipelock charts/pipelock/

이 작업은 사전 빌드된 바이너리를 다운로드하고, `pipelock audit`를 실행하며, PR diff에서 유출된 비밀을 스캔한 후, 감사 보고서를 워크플로 아티팩트로 업로드합니다. 전체 워크플로는 [`examples/ci-workflow.yaml`](https://github.com/luckypipewrench/pipelock/blob/HEAD/examples/ci-workflow.yaml)을 참조하세요.

### 실행 가능 데모: 도구 응답 주입

[`examples/tool-response-injection/`](https://github.com/luckypipewrench/pipelock/blob/HEAD/examples/tool-response-injection/) 하네스는 무해한 이름과 설명을 가진 MCP 도구가 응답에 프롬프트 주입 페이로드를 숨기는 엔드투엔드 데모를 실행합니다. Pipelock이 응답이 에이전트에 도달하기 전에 차단하고, 제3자가 검증할 수 있는 서명된 작업 영수증을 발행합니다. 동일한 데모가 하나의 공유 서명 키로 세 가지 전송 방식에 대해 실행됩니다:

- MCP stdio
- MCP HTTP upstream
- HTTP fetch```bash
cd examples/tool-response-injection
python3 demo.py    # needs python3 + cryptography + pipelock on PATH

규칙 번들은 서명되고 버전이 고정됩니다. 전체 수명 주기는 구성 편집이 아닌 배포된 명령입니다:```bash
pipelock rules list                    # what is installed
pipelock rules diff pipelock-community # what a new version would change
pipelock rules update pipelock-community
pipelock rules verify                  # confirm signatures against the trusted keyring
pipelock rules remove pipelock-community

---

## 테스트

Pipelock은 보안 제품처럼 테스트됩니다. 오픈소스 코어에는 단위, 통합, 엔드투엔드 테스트가 있습니다. 별도의 비공개 적대적 테스트 스위트는 프로덕션 바이너리에 대한 공격 클래스를 실행합니다. 모든 우회(bypass)는 릴리스 전에 회귀 테스트(regression test)로 편입됩니다.

| 지표 | 값 |
|--------|-------|
| Go 테스트 (`-race` 포함) | 단위, 통합, 엔드투엔드 경로 |
| 커버리지 게이트 (codecov) | Apache-2.0 코어 프로젝트 91%, 신규 코드 패치 95% |
| 우회(Evasive) 커버리지 | 공개 우회 저항 매트릭스 + 비공개 적대적 말뭉치 |
| 스캐너 핫패스 오버헤드 | URL 스캔당 ~40μs (핫패스 벤치마크, [docs/performance.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/performance.md) 참조) |
| CI 매트릭스 | Go 1.25 + 1.26, CodeQL, golangci-lint |
| 공급망 | SLSA 출처(provenance), CycloneDX SBOM, cosign 서명 |

`make test`를 실행하여 로컬에서 확인하세요. 독립 벤치마크: 공개 [agent-egress-bench](https://github.com/luckyPipewrench/agent-egress-bench) 말뭉치. [실시간 결과](https://pipelab.org/gauntlet/)를 참조하세요.

---

## 크레딧

- 아키텍처는 [Anthropic의 Claude Code 샌드박싱](https://www.anthropic.com/engineering/claude-code-sandboxing) 및 [sandbox-runtime](https://github.com/anthropic-experimental/sandbox-runtime)의 영향을 받았습니다.
- 위협 모델은 [OWASP Agentic AI Top 10](https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/)을 기반으로 합니다.
- Pipelock이 이 분야의 다른 도구와 어떻게 관련되는지는 [docs/comparison.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/comparison.md)를 참조하세요.
- Dylan Corrales의 보안 검토 기여.

기여를 환영합니다. 지침은 [CONTRIBUTING.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/CONTRIBUTING.md)를 참조하세요.

Pipelock이 유용하다면, [이 저장소에 스타를 남겨주세요](https://github.com/luckyPipewrench/pipelock). 프로젝트를 찾는 다른 사람들에게 도움이 됩니다.

---

## 라이선스

Pipelock 코어는 **Apache License 2.0**에 따라 라이선스가 부여됩니다. Copyright 2026 Joshua Waldrep.

멀티 에이전트 기능(에이전트별 ID, 예산, 구성 격리)은 `enterprise/` 디렉토리에 있으며, `enterprise` 빌드 태그로 제한되고 **Elastic License 2.0 (ELv2)**에 따라 라이선스가 부여됩니다. 이 기능은 유효한 라이선스 키로 활성화됩니다.

오픈소스 코어는 유료 기능 없이 독립적으로 작동합니다. 모든 스캔, 탐지 및 단일 에이전트 보호는 무료입니다.

사전 빌드된 릴리스 아티팩트(Homebrew, GitHub 릴리스, Docker 이미지)에는 유효한 라이선스 키로 활성화되는 유료 계층 코드가 포함되어 있습니다. `go install` 또는 저장소의 `Dockerfile`을 사용하여 소스에서 빌드하면 커뮤니티 전용 바이너리가 생성됩니다.

Apache 2.0 텍스트는 [LICENSE](https://github.com/luckypipewrench/pipelock/blob/HEAD/LICENSE)를, ELv2 텍스트는 [enterprise/LICENSE](https://github.com/luckypipewrench/pipelock/blob/HEAD/enterprise/LICENSE)를 참조하세요.