AEGIS

Observabilidade independente ao nível do SO para agentes de IA

Observa o que os agentes de IA realmente fazem na sua máquina — processos, ficheiros, rede — a partir de fora dos agentes, sem necessidade de hooks.

AEGIS é um observador independente ao nível do SO para agentes de IA. Observa os processos dos agentes, o acesso a ficheiros e a atividade de rede, independentemente de como o agente foi iniciado ou se coopera com a monitorização — e associa cada observação a uma instância específica do agente, com a evidência dessa atribuição registada de forma explícita. Construído sobre um motor de monitorização JavaScript CommonJS, com TypeScript no renderer e nos tipos partilhados. Open-source, local, sem telemetria — tudo permanece na sua máquina.

_{Demonstração gravada na v0.10.0-alpha; alguns rótulos foram renomeados desde então.}

Download · Reportar Erro · Pedido de Funcionalidade · Contribuir

O que o AEGIS observa

Os factos contados acima não são mantidos manualmente: npm run counts:check re-deriva cada contador documentado a partir da árvore em cada execução de CI e falha a compilação quando um número na documentação se desvia da realidade.

O grafo de evidência

O que distingue o AEGIS de um visualizador de processos não são os sensores — é o facto de cada evento estar associado a uma instância de agente, com evidência que pode auditar:

• Identidade da instância. Um agente é identificado por pid + tempo de nascimento do SO (instanceId), pelo que um PID reciclado é uma nova instância, não uma continuação do histórico da anterior. O cache de identidade é controlado por uma testemunha, e o CI executa uma prova de injeção (npm run verify:gate, 4 mutantes) que fica vermelha se uma identidade puder alguma vez ser servida a partir de um cache obsoleto.
• Atribuição com evidência declarada. Cada registo de auditoria contém pid, instanceId e um objeto attribution com um de três estados — confirmed, inferred ou unattributed — apoiado por um registo fechado de códigos de evidência. Quando o AEGIS não sabe qual agente tocou num ficheiro, diz unattributed; nunca inventa um proprietário.
• Registo à prova de adulteração. Os eventos de auditoria são JSONL encadeados por hash (Event Schema v1) com rotação diária, retenção de 30 dias e marcadores de perda explícitos quando o buffer de escrita transborda.
• Medido, não afirmado. O mecanismo de identidade é avaliado no repositório: a paridade do tempo de nascimento do fornecedor foi exata para todos os processos comparáveis em ambas as execuções registadas (542/542 e 419/419), e o sidecar de snapshot de processos custa ~10 ms por análise, enquanto o fornecedor de recurso custa centenas a milhares. As tabelas por execução, ambientes e lacunas declaradas estão em docs/bench/.

Evidência: src/main/process-identity.js · src/main/attribution.js · auditoria de correção · bench 2026-08-12 · bench 2026-08-13

Monitor-first

O AEGIS é uma câmara, não um guarda. Observa e regista — não bloqueia agentes ao nível do SO atualmente. Não existem hooks de kernel nem aplicação automática. O controlo de processos (kill / suspend / resume) é manual e apenas invocado pelo utilizador. O bloqueio ativo está no roadmap, não na versão atual. Use o AEGIS para visibilidade, auditoria e deteção de anomalias — combine-o com sandboxing quando precisar de aplicação.

Como o AEGIS difere da supervisão dentro do agente

A maioria das ferramentas de supervisão de agentes de IA instrumenta o próprio agente — um plugin de Claude Code, uma extensão de IDE, um wrapper de SDK. Essa colocação tem um ponto cego estrutural: um agente só aparece se ele (ou o seu utilizador) instalou o hook. Um python autogpt.py puro, um binário sem wrapper ou uma ferramenta que simplesmente não coopera é invisível para a instrumentação dentro do agente.

O AEGIS posiciona-se antes na camada do SO: observa a atividade de processos, ficheiros e rede a partir de fora dos agentes, pelo que o que vê não depende da cooperação do agente — apenas da cobertura do próprio AEGIS (ver limitações conhecidas). Não é a única ferramenta a observar agentes localmente — o AgentSight, por exemplo, observa a partir da camada eBPF no Linux — e as ferramentas baseadas em hooks são complementares em vez de concorrentes: os hooks veem a intenção (prompts, chamadas de ferramentas) dentro dos agentes que aderiram, enquanto o AEGIS vê os efeitos (processos, ficheiros, ligações) para tudo o que corre na máquina, ligado a instâncias de agentes sem exigir cooperação.

Limitações conhecidas

Um monitor que não consegue calibrar é um monitor em que não pode confiar, pelo que as limitações são declaradas aqui em vez de descobertas mais tarde. As conclusões re-verificadas por trás desta lista, cada uma com um estado OPEN/CLOSED, vivem na auditoria de correção; a versão curta:

• A cobertura é baseada em assinaturas e heurísticas. A deteção começa com 110 agentes (262 assinaturas de nomes de processos) mais heurísticas (WSL, extensões IDE, sondagens de LLM locais). Um binário de agente que não corresponda a nenhuma destas não é detetado.
• A sondagem tem um ponto cego. Um processo nascido e morto entre ticks de análise (~10 s) nunca é observado; as páginas de bench declaram isto explicitamente. A captura por evento via ETW está no roadmap, com um recon estático já em docs/recon/kernel-file-etw.md.
• A identidade em macOS/Linux é degradada. Essas plataformas não fornecem atualmente tempo de nascimento do SO, pelo que a identidade da instância recai apenas no PID e é insegura sob reutilização de PID. O acompanhamento de custos de tokens é apenas para Windows.
• As janelas de eventos da UI truncam silenciosamente. O renderer mantém janelas de eventos limitadas que podem discordar dos totais, e ainda não existe um banner de truncamento.
• A saúde dos sensores é monitorizada mas ainda não é mostrada. O processo principal regista a saúde por sensor para os sensores de sistema de ficheiros e rede, mas a UI ainda não consegue distinguir uma máquina silenciosa de um sensor morto, e os excessos de análise de processos são ignorados sem um contador.
• Os marcadores de perda de auditoria precisam de um flush bem-sucedido. Se o processo for morto enquanto o disco ainda está a falhar, as entradas de auditoria expulsas podem ser perdidas sem um marcador no disco.

O que deliberadamente não afirmamos

Os números aparecem neste README apenas quando são derivados do repositório (e aplicados por npm run counts:check) ou medidos com um método escrito. Alguns números que as pessoas pedem ainda não existem, pelo que não os declaramos:

• Tempo de arranque. Não existe benchmark de arranque; a antiga afirmação de "menos de dois segundos" foi removida em vez de ser mantida sem medição.
• Taxas de deteção ou falsos positivos. Existe um bench de cenário com um oráculo independente (bench/, pontuado contra Sysmon/Procmon), mas é apenas para Windows, cobre um cenário e não corre no CI — não é uma base para uma taxa.
• Sobrecarga. O custo de CPU/RAM do próprio AEGIS não foi medido sob um método escrito.
• Manchetes de aceleração de benchmark. A razão medida snapshot-vs-fallback moveu-se de 193× para 51× entre dois dias na mesma máquina; a afirmação duradoura é a mais fraca — snapshot ~10 ms, fallback centenas a milhares de ms — e essa é a única forma citada aqui.
• Pontuações de confiança por evento. Deliberadamente ausentes do produto até existir um bench de verdade fundamental.
• Contagens de testes. As contagens de suíte copiadas à mão ficam obsoletas silenciosamente; a suíte imprime as suas próprias contagens, e o CI executa-a em cada commit.

Porquê supervisão independente

Os agentes de IA correm com acesso profundo a ficheiros, credenciais e comandos de shell. O risco não é hipotético: o relatório da Kaspersky sobre o caso OpenClaw indica que uma auditoria de segurança em janeiro de 2026 identificou 512 vulnerabilidades, oito delas críticas, e argumenta que o problema mais profundo é arquitetural — acesso local privilegiado combinado com a capacidade de comunicar externamente (Kaspersky, 2026-02-10). Corrigir patches resolve bugs; não lhe dá visibilidade sobre o que um agente realmente fez na sua máquina. Essa visibilidade é a camada que o AEGIS adiciona.

Download

Instalador Windows

A partir da v0.11.0-alpha, as versões incluem um instalador NSIS para Windows — descarregue o .exe da última versão. As versões a partir da v0.13.0-alpha também incluem um manifesto assinado, pelo que um download pode ser verificado offline contra a chave pública comprometida neste repositório — ver Verificar uma versão AEGIS. Versões anteriores não incluem manifesto e não podem ser verificadas desta forma.

A partir do código-fonte (todas as plataformas)```bash

git clone https://github.com/antropos17/Aegis.git cd Aegis npm install npm start

> Requer **Node.js 24.x** (`engines` em `package.json`). Windows 10/11 recomendado; macOS/Linux experimental ([#37](https://github.com/antropos17/Aegis/issues/37)) — consulte [limitações conhecidas](#limitações-conhecidas).

### Experimente sem agentes de IA

Não tem agentes de IA em execução? O modo de demonstração permite explorar o painel completo com dados simulados — sem monitoramento real, sem processos reais.```bash
npm run dev
# then open http://localhost:5174

O servidor de desenvolvimento carrega o motor de cenário de demonstração — vite.config.js o ativa sempre que o comando é serve, então o dashboard simulado é renderizado sem uma etapa de build separada e sem Electron. Para um build estático e compartilhável (sem servidor de desenvolvimento, sem Electron), execute npm run build:demo e sirva o diretório dist/demo resultante com qualquer servidor de arquivos estático (o build usa caminhos de assets relativos, então qualquer host funciona).

O modo demo executa um motor de cenário que percorre quatro fases de ameaça — calmo → elevado → crítico → reset — com até 12 agentes de IA simulados (Claude Code, Copilot, Cursor e outros). Eventos de acesso a arquivos, conexões de rede, pontuações de anomalia e avaliações de risco são todos gerados em tempo real, para que cada aba e recurso seja totalmente funcional.

Use-o para avaliar o AEGIS antes de implantar, demonstrar a UI para sua equipe ou desenvolver novos recursos sem precisar de um ambiente Windows ativo.

Histórico de versões

Recursos

Detecção — 110 agentes (262 assinaturas de nomes de processos), resolução de cadeia pai, monitoramento de caminhos sensíveis e de configuração de agentes, pontuação de risco por agente com notas de confiança (A+ a F), detecção de LLM local, marcação de falsos positivos

Análise — Linhas de base comportamentais com médias móveis, detecção de anomalias em múltiplos eixos, avaliação de ameaças por IA via API da Anthropic (opt-in), relatórios de ameaças HTML imprimíveis

Dashboard — Dashboard em grade bento: medidor RiskRing, TrustBadge, feed de atividades com filtros, linha do tempo de sessão com dicas de atribuição, cartões de agentes expansíveis, predefinições de proteção (Paranoid/Strict/Balanced/Developer), paleta de comandos (Ctrl+K), atalhos de teclado (Ctrl+1-5), tema claro/escuro, notificações toast, proteção contra OOM

Exportação — Relatórios JSON, CSV, HTML, arquivo ZIP com um clique, log de auditoria JSONL com hash encadeado (rotação diária, retenção de 30 dias)

i18n — Internacionalização com base em inglês (en.json); traduções da comunidade são bem-vindas

CLI — --scan-json para scripts, --version, --help

Conjuntos de regras YAML

• 73 regras de detecção em 8 categorias (config de IA, segredos, SSH, nuvem, navegador, ferramentas de desenvolvimento, cripto, certificados)
• Validadas contra rules/_schema.json; editar um conjunto de regras recarrega em hot-reload sem reiniciar
• Estenda adicionando um .yaml em rules/. Os IDs de regra devem ser únicos — um ID duplicado é ignorado, não sobrescrito. Um arquivo recém-adicionado é captado no próximo reload ou reinício, pois o watcher reage a mudanças em arquivos de nível superior existentes

Capturas de tela

Capturadas do build de demonstração (npm run build:demo), 2026-08-21.

📸 Shield — Visão geral em tempo real

📸 Feed de atividades

📸 Regras e permissões

📸 Relatórios e exportação

📸 Estatísticas de agentes

📸 Configurações

Arquitetura```

┌───────────────┐ ┌────────────────┐ ┌───────────────┐ ┌───────────────┐ │ Process │ │ File │ │ Network │ │ LLM Runtime │ │ Snapshot │ │ Watcher │ │ Monitor │ │ Detector │ │ (sidecar with │ │ (chokidar + │ │ (TCP + rDNS + │ │ (Ollama / LM │ │ CIM fallback)│ │ handle / RM) │ │ verdicts) │ │ Studio) │ └──────┬────────┘ └──────┬─────────┘ └──────┬────────┘ └──────┬────────┘ └──────────────┬───┴───────────────────┴──────────────────┘ ▼ ┌───────────────────────────────┐ │ Identity & Attribution │ │ instanceId = pid + birth time │ │ evidence codes, no guessing │ └──────┬────────────────┬───────┘ ▼ ▼ ┌──────────────────┐ ┌─────────────────────┐ │ Baselines + │ │ Audit Logger │ │ Anomaly (4-axis) │ │ (Event Schema v1, │ │ Risk Engine │ │ hash-chained JSONL) │ └──────┬───────────┘ └──────┬──────────────┘ ▼ ▼ ┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ │ Dashboard │ │ Exports │ │ CLI │ │ (Svelte IPC) │ │ (JSON/CSV/HTML/ │ │ (--scan-json │ │ │ │ ZIP) │ │ --version) │ └──────────────┘ └──────────────────┘ └───────────────┘

Per-sensor health records live in the main process; surfacing them in the UI is on the roadmap.

**Stack**: Electron 43, Svelte 5, Vite 7, Vitest. O motor de monitoramento é JavaScript (CommonJS); TypeScript é usado no renderer e nos tipos compartilhados. O CI valida cada merge com jobs de build, lint, svelte-check, test e audit; `npm run counts:check` re-deriva cada contador documentado a partir da árvore, `npm run verify:gate` prova a testemunha de identidade contra mutantes injetados, e `npm run verify:seq-gate` prova o motor de sequência contra mutantes injetados.

## Banco de dados de agentes

110 agentes em [`src/shared/agent-database.json`](https://github.com/antropos17/aegis/blob/master/src/shared/agent-database.json):

**Codificação** — Claude Code, GitHub Copilot, Cursor, Windsurf, Tabnine, Amazon Q, Cody, Aider
**Autônomos** — OpenClaw, Devin, Manus AI, OpenHands, SWE-Agent, AutoGPT, BabyAGI, CrewAI
**Desktop** — Anthropic Computer Use, Google Gemini, Apple Intelligence, Microsoft Copilot
**Frameworks** — LangChain, Semantic Kernel, AutoGen, MetaGPT, TaskWeaver
**LLMs locais** — Ollama, LM Studio, vLLM, llama.cpp, LocalAI, GPT4All, Jan

Adicione agentes personalizados pela interface ou edite o JSON. Consulte [AGENTS.md](https://github.com/antropos17/aegis/blob/master/AGENTS.md).

## Roadmap

Tudo abaixo está **planejado**, não lançado. O AEGIS hoje é apenas monitor (veja [Monitor-first](#monitor-first)).

- [ ] Bloqueio ativo — aplicar regras em caso de violação (userspace, pré-execução; drivers de kernel são um não-objetivo) (hoje: observar e registrar apenas)
- [ ] Exibir a saúde de cada sensor na interface — registros do processo principal existem ([design](https://github.com/antropos17/aegis/blob/master/docs/roadmap/sensor-health-degraded.md))
- [ ] Mapeamento MITRE ATT&CK para regras de detecção
- [ ] Detecção de anomalias baseada em ML (hoje: pesos heurísticos fixos)
- [ ] Suporte de primeira classe para macOS e Linux (atualmente experimental — [#37](https://github.com/antropos17/Aegis/issues/37))
- [ ] Monitoramento de GPU para detecção de inferência local
- [ ] Atribuição de arquivos por processo (ETW, fanotify) — reconhecimento estático: [docs/recon/kernel-file-etw.md](https://github.com/antropos17/aegis/blob/master/docs/recon/kernel-file-etw.md)
- [ ] Detecção de contêineres/VMs (Docker, WSL)
- [ ] Extensão de navegador para agentes de IA baseados na web
- [x] Atualizações automáticas assinadas para Windows (implementado; o primeiro lançamento requer instalação manual)
- [x] i18n / localização ([#53](https://github.com/antropos17/Aegis/issues/53))

## Perguntas frequentes

### O que é o Aegis?

O Aegis é um monitor de código aberto em nível de sistema operacional para agentes de IA. Ele rastreia processos, acesso a arquivos, atividade de rede e anomalias comportamentais em tempo real, construído sobre Electron 43 e Svelte 5. O motor de monitoramento é JavaScript CommonJS; o renderer usa módulos ES, e TypeScript é usado no renderer e nas definições de tipos compartilhadas. Todos os dados permanecem locais — sem telemetria, sem dependência de nuvem.

### Por que os agentes de IA precisam de monitoramento?

Agentes de IA autônomos como OpenClaw, AutoGPT e Devin têm acesso profundo a arquivos locais, credenciais e comandos de shell — mas operam com supervisão mínima. O caso OpenClaw é o exemplo concreto: uma auditoria de segurança relatada pela [Kaspersky](https://www.kaspersky.com/blog/openclaw-vulnerabilities-exposed/55263/) identificou 512 vulnerabilidades em um agente popular. O Aegis fornece a camada de observabilidade independente, para que você possa ver o que os agentes realmente fazem na sua máquina.

### Como o Aegis é diferente do EDR tradicional?

Ferramentas EDR tradicionais monitoram ameaças conduzidas por humanos — malware, ransomware, phishing. O Aegis é construído especificamente para o comportamento de agentes de IA: ele vem com 110 agentes (262 assinaturas de nomes de processos) em seu banco de detecção, 73 regras de detecção ajustadas para padrões específicos de agentes e linhas de base comportamentais que rastreiam como a atividade de cada agente muda ao longo do tempo. Ele também é monitor-first: observa e registra, deixando a aplicação de regras para o sandboxing.

### O Aegis funciona com ferramentas MCP?

O Aegis monitora processos, não protocolos. Se uma ferramenta conectada via Model Context Protocol (MCP) gerar processos, acessar arquivos ou fizer chamadas de rede, essa atividade será observada e atribuída como qualquer outra — o Aegis não analisa o tráfego MCP em si.

### O Aegis substitui o sandboxing?

Não. O Aegis é uma camada de observabilidade, não uma camada de restrição. Sandboxes limitam o que os agentes podem fazer; o Aegis mostra o que os agentes estão fazendo. Eles são complementares — use sandboxing para aplicação de regras e o Aegis para visibilidade, auditoria e detecção de anomalias.

### Quais agentes o Aegis suporta?

O Aegis vem com 110 agentes (262 assinaturas de nomes de processos) em seu banco de dados, abrangendo assistentes de codificação (Claude Code, Copilot, Cursor), agentes autônomos (OpenClaw, AutoGPT, CrewAI, Devin), IA de desktop (Gemini, Apple Intelligence), frameworks (LangChain, AutoGen, MetaGPT) e runtimes de LLM locais (Ollama, LM Studio, llama.cpp). Você pode adicionar agentes personalizados pela interface ou pelo arquivo de configuração JSON.

### Posso usar o Aegis em produção?

O Aegis é um software alfa (veja [Releases](https://github.com/antropos17/Aegis/releases) para a versão atual) e é recomendado para ambientes de desenvolvimento e teste. Ele é monitor-first — não bloqueará nada — e recursos de implantação em produção, como atualização automática e aplicação de regras em nível de sistema operacional, estão no [roadmap](#roadmap), não na versão atual.

### O Aegis é gratuito?

Sim. O Aegis é lançado sob a licença MIT, sem telemetria, sem requisitos de nuvem e sem planos pagos. O código-fonte completo está disponível no GitHub.

## Contribuidores

<table>
  <tr>
    <td align="center"><a href="https://github.com/antropos17"><img src="https://assets.kitploit.com/production/public/readmes/11867/d578c57b7ef172e620fdae169ad91c8e0055b37d16844c2c2629faaf9b9219a2.jpg" width="80px;" alt=""/><br/><sub><b>Antropos7</b></sub></a></td>
    <td align="center"><a href="https://github.com/ElshadHu"><img src="https://assets.kitploit.com/production/public/readmes/11867/3c10ee663b93377a199c1e7210a9367027209543b0517b81c3d062f896295e8f.jpg" width="80px;" alt=""/><br/><sub><b>Elshad Humbatli</b></sub></a></td>
    <td align="center"><a href="https://github.com/skmelendez"><img src="https://assets.kitploit.com/production/public/readmes/11867/e5155c2418c9da5882d234cc3c4cc9553f394b267dc070af20e46ec29e6c1424.jpg" width="80px;" alt=""/><br/><sub><b>Steven Melendez</b></sub></a></td>
    <td align="center"><a href="https://github.com/travisbreaks"><img src="https://assets.kitploit.com/production/public/readmes/11867/bc41c225a907e0765ed5854e34d18643727303d9f0322b87e3aadffce277f93a.jpg" width="80px;" alt=""/><br/><sub><b>travisbreaks</b></sub></a></td>
    <td align="center"><a href="https://github.com/raye-deng"><img src="https://assets.kitploit.com/production/public/readmes/11867/922df91939ff1c15304305ca05e0e48193a6fd98679450b765363ae710a22344.png" width="80px;" alt=""/><br/><sub><b>raye-deng</b></sub></a></td>
    <td align="center"><a href="https://github.com/KJyang-0114"><img src="https://assets.kitploit.com/production/public/readmes/11867/bf4bc0e449422b18054b342eea0716b8d434554a3b84fd539df0ac570d375a73.png" width="80px;" alt=""/><br/><sub><b>KJyang-0114</b></sub></a></td>
  </tr>
</table>

[CONTRIBUTING.md](https://github.com/antropos17/aegis/blob/master/CONTRIBUTING.md) &middot; [SECURITY.md](https://github.com/antropos17/aegis/blob/master/SECURITY.md) &middot; [CODE_OF_CONDUCT.md](https://github.com/antropos17/aegis/blob/master/CODE_OF_CONDUCT.md)

## Suporte

Se o Aegis for útil para você, considere dar uma estrela no GitHub — isso ajuda outras pessoas a descobrirem o projeto.

**Equipes e Empresas** — Precisa de dashboards centralizados, integração com SIEM ou implantação gerenciada? Estamos construindo isso. [Seja notificado](mailto:[email protected]?subject=Aegis%20Enterprise%20Interest)

## Licença

[MIT](https://github.com/antropos17/aegis/blob/master/LICENSE)

## Histórico de estrelas

[![Star History Chart](https://assets.kitploit.com/production/public/readmes/11867/7cd00fa07216305d19bb2b6ece0de2b2dd36eeb2786d065aef0359159e4598a8/43d9ce4f0049392bf903058716bccb8009e9bdf415dc7e9e892487d4c1f75365-display-v1.webp)](https://www.star-history.com/?repos=antropos17%2FAegis&type=timeline&legend=top-left)