AegisGraph — Plataforma de Engenharia

Descoberta automatizada de vulnerabilidades orientada por grafos para aplicações de mensagens seguras. Implementação de engenharia da 577 Industries para o tópico DARPA SBIR Direct-to-Phase-II HR0011SB20254-12 (ASEMA).

Procurando artefatos voltados para avaliadores? A versão pública sanitizada de viabilidade está em 577-Industries/asema-feasibility-artifacts na tag v1.0.0-asema-dp2-feasibility. Comece por lá se estiver verificando alegações na proposta ASEMA.

O que este Repositório Contém

A plataforma de engenharia — a implementação real por trás do AegisGraph:

Início Rápido

git clone https://github.com/577Industries/aegisgraph
cd aegisgraph
git checkout v1.0.0-tier3-research

# Recommended: use the pinned devcontainer
devcontainer up
make tooling-strict                # verify pinned toolchain
python3 -m pytest -q               # expect 1030 passed, 19 skipped

# Per-engine smoke tests
make reprochain-map                # ReproChain reachability mapping
make polydiff-regression           # PolyDiff differential parser regression (8 historical CVE rediscoveries)
make extract                       # static extraction over pinned SMAs
make smabench                      # SMABench benchmark generation
make validate                      # evidence + CETM validation
make reproduce                     # full reproduction pipeline

O ponto de entrada da CLI é aegisgraph após a instalação, ou python3 -m aegisgraph.cli a partir deste checkout.

Postura de Pesquisa

• Apenas pesquisa defensiva em cibersegurança. Sem sondagem de alvos ao vivo, interação com contas de produção, testes com credenciais ou varredura sem autorização por escrito.
• Sem payloads armados em artefatos públicos (bytes que disparam crashes são apenas hash; rastreamentos de pilha brutos permanecem no lado da engenharia).
• Sem redistribuição de código-fonte bruto de alvos. Trabalhamos a partir de âncoras de código-fonte públicas (Signal Android e Element X Android fixados por commit).
• Artefatos públicos controlados por make export-public-sanitized e aprovação humana explícita antes da publicação.
• Falseabilidade. Um teste de corrupção deliberada no validador confirma que a introdução de um padrão proibido, marcador de redistribuição de código-fonte de alvo ou incompatibilidade de chave de vetor de pontuação é detectada e rejeitada — a disciplina é testável, não apenas declarada.

Testes

• 1030 testes aprovados no corte v1.0 (tag v1.0.0-tier3-research, commit d91c1df6)
• 19 ignorados (condicionados ao provisionamento de runner auto-hospedado conforme tarefa T-M4.1; devcontainer reduz o número de ignorados para 0)
• CI: .github/workflows/ci.yml é executado ao push; reproduce.yml está if: false até que o runner auto-hospedado seja provisionado
• Verificação de sanitização: validator/sanitize_check.py aplica 9 regras em cada candidato a exportação pública antes que qualquer artefato saia deste repositório

Registro de Decisões

Os 14 ADRs em docs/decision-log/ documentam cada decisão arquitetural:

Lançamentos + Tags

• v1.0.0-tier3-research (atual, Maio 2026) — conjunto completo de 6 mecanismos, 1030 testes aprovados, Schema v2, CETM de 82 alegações
• v0.3.0-tier3-research (Maio 2026) — linha de base v0.3 (preservada como âncora histórica)

A versão pública correspondente de viabilidade está em 577-Industries/asema-feasibility-artifacts:

• v1.0.0-asema-dp2-feasibility (atual) — pacote de figuras F15-F22, CETM de 82 alegações, delta de ferramentas de linha de base, esquema polydiff v1.0, matriz de rastreabilidade completa
• v0.3.0-asema-dp2-feasibility — âncora histórica; preservada na íntegra

Licença

Apache-2.0. Veja LICENSE.

Fonte da Verdade

SPEC.md é a especificação técnica em vigor. Se a implementação e a especificação divergirem, atualize a especificação deliberadamente.