🌍 English | 日本語 | 简体中文 | 한국어

Kit de Governança de Agentes

Implante agentes em produção sem perder o sono

🚀 Início Rápido · 📋 Especificações · 📦 PyPI · 📝 Registro de Alterações

[!IMPORTANT] Visualização Pública -- versões de visualização pública com qualidade de produção. Pode haver alterações significativas antes da GA (Disponibilidade Geral).

Aplicação de políticas, identidade, isolamento (sandbox) e SRE para agentes de IA autônomos. Um pip install, qualquer framework.

O Problema

Seus agentes de IA chamam ferramentas, navegam na web, consultam bancos de dados e delegam para outros agentes. Uma vez implantados, eles tomam decisões de forma autônoma. Você precisa de respostas para três perguntas:

1. Essa ação é permitida? Um agente com acesso a send_email e query_database não deveria ser capaz de drop_table. Escopos OAuth e funções IAM controlam quais serviços um agente pode alcançar, não o que ele faz uma vez conectado.

2. Qual agente fez isso? Em um sistema multiagente, cinco agentes podem compartilhar uma única chave de API. Quando algo dá errado, "um agente fez isso" não é uma resposta de incidente.

3. Você consegue provar o que aconteceu? Auditores e órgãos reguladores precisam de registros à prova de adulteração de cada decisão: qual política estava ativa, o que o agente solicitou e por que foi permitido ou negado.

Segurança no nível do prompt ("por favor, siga as regras") não é uma superfície de controle. É um pedido educado a um sistema estocástico. O OWASP LLM01:2025 afirma isso explicitamente: "não está claro se existem métodos infalíveis de prevenção para injeção de prompt." Os números publicados corroboram isso. Andriushchenko et al. (ICLR 2025) relatam uma taxa de sucesso de ataque de 100% no GPT-4o, GPT-3.5, Claude 3 e Llama-3 usando ataques adaptativos com acesso a logprob e otimização de sufixo, avaliados no benchmark JailbreakBench (Chao et al., NeurIPS 2024). O próprio AI Red Teaming Agent da Microsoft formaliza a Taxa de Sucesso de Ataque (ASR), a taxa de violações de política sob entrada adversária, como a métrica canônica para essa classe de falha. Lessons from Red Teaming 100 Generative AI Products reforça o ponto: "as mitigações não eliminam o risco por completo" e o red teaming deve ser um processo contínuo porque as defesas no nível do modelo são probabilísticas por construção.

O AGT não tenta vencer essa batalha dentro do prompt. Cada chamada de ferramenta, envio de mensagem e delegação é interceptado no código da aplicação determinística antes que a intenção do modelo chegue à rede. As ações que o kernel do AGT nega não são "improváveis". Elas são estruturalmente impossíveis. Essa é a diferença entre pedir que um agente se comporte bem e torná-lo incapaz de se comportar mal.

Início Rápido

Pré-requisitos: Python 3.10+```bash pip install agent-governance-toolkit[full]

Para o Claude Code, adicione o AGT como um marketplace de plugins e instale o plugin de governança:```text
/plugin marketplace add microsoft/agent-governance-toolkit
/plugin install agt-governance@agent-governance-toolkit

Governar qualquer função de ferramenta em duas linhas:```python from agentmesh.governance import govern

safe_tool = govern(my_tool, policy="policy.yaml") # every call checked, logged, enforced

É isso. O `safe_tool` avalia sua política YAML em cada chamada, registra a decisão e levanta `GovernanceDenied` se a ação for bloqueada.```yaml
# policy.yaml
apiVersion: governance.toolkit/v1
name: production-policy
default_action: allow
rules:
  - name: block-destructive
    condition: "action.type in ['drop', 'delete', 'truncate']"
    action: deny
    description: "Destructive operations require human approval"

  - name: require-approval-for-send
    condition: "action.type == 'send_email'"
    action: require_approval
    approvers: ["security-team"]

Notas:
☑️ - Testado | 🤖 - Ações automatizadas | ⚠️ - Depende de binário de terceiros

• não testado

Shells

Bind shells

Bind shells são uma parte essencial da maioria dos vetores de ataque de bind shell. Como o nome sugere, o código de bind shell abre uma porta de ligação e escuta conexões de entrada, oferecendo uma conexão de shell. Esta seção inclui reverse shells como arquivos separados, mas também shells universais que incorporam tanto os atos de associar o shell a uma porta quanto conectar de volta ao IP de origem.

• amd64 assembly - linux/tcp_bind_shell
  • Descrição: shellcode tcp_bind_shell
  • Argumentos: Nenhum
  • Uso: compilar, executar, escutar na porta 4444
  • Notas: ☑️
  • SHA256: 2e0aeb2e8a481e45470b55e47d0ea9c64e8acc98e92c64d6ace79f294a273bc2
• amd64 assembly - linux/tls_bind_shell
  • Descrição: shellcode tls_bind_shell
  • Argumentos: Nenhum
  • Uso: gerar certificado, compilar, executar, escutar com ncat --ssl
  • Notas: ☑️
  • SHA256: 47e9bb4d1a9a053d8b72f2b18c4604e2dc26b1ef3ff2079e6c9de3e89dfd41ac

safe_tool(action="read", table="users") {'table': 'users', 'rows': 42}

safe_tool(action="drop", table="users") GovernanceDenied: Action denied by policy rule 'block-destructive': Destructive operations require human approval

Ou use a API `PolicyEvaluator` completa para controle programático:

<details>
<summary><b>PolicyEvaluator exemplo</b></summary>```python
from agent_os.policies import (
    PolicyEvaluator, PolicyDocument, PolicyRule,
    PolicyCondition, PolicyAction, PolicyOperator, PolicyDefaults
)

evaluator = PolicyEvaluator(policies=[PolicyDocument(
    name="my-policy", version="1.0",
    defaults=PolicyDefaults(action=PolicyAction.ALLOW),
    rules=[PolicyRule(
        name="block-dangerous-tools",
        condition=PolicyCondition(
            field="tool_name",
            operator=PolicyOperator.IN,
            value=["execute_code", "delete_file"]
        ),
        action=PolicyAction.DENY, priority=100,
    )],
)])

result = evaluator.evaluate({"tool_name": "web_search"})    # Allowed
result = evaluator.evaluate({"tool_name": "delete_file"})   # Blocked

**.NET**```csharp
using AgentGovernance;
using AgentGovernance.Extensions.ModelContextProtocol;
using AgentGovernance.Policy;

var kernel = new GovernanceKernel(new GovernanceOptions
{
    PolicyPaths = new() { "policies/default.yaml" },
});
var result = kernel.EvaluateToolCall("did:mesh:agent-1", "web_search",
    new() { ["query"] = "latest AI news" });

// MCP server integration
builder.Services.AddMcpServer()
    .WithGovernance(options => options.PolicyPaths.Add("policies/mcp.yaml"));

**Go**```go
import agentmesh "github.com/microsoft/agent-governance-toolkit/agent-governance-golang"

client, _ := agentmesh.NewClient("my-agent",
    agentmesh.WithPolicyRules([]agentmesh.PolicyRule{
        {Action: "data.read", Effect: agentmesh.Allow},
        {Action: "*", Effect: agentmesh.Deny},
    }),
)
result := client.ExecuteWithGovernance("data.read", nil)

Ferramentas CLI:```bash agt doctor # check installation agt verify # OWASP compliance check agt verify --evidence ./agt-evidence.json --strict # fail CI on weak evidence agt red-team scan ./prompts/ --min-grade B # prompt injection audit agt lint-policy policies/ # validate policy files

Guia completo: [quickstart.md](https://github.com/microsoft/agent-governance-toolkit/blob/main/docs/quickstart.md) -- do zero a agentes governados em 5 minutos.
🌍 Também em: [Japonês](https://github.com/microsoft/agent-governance-toolkit/blob/main/docs/i18n/quickstart.ja.md) | [Chinês Simplificado](https://github.com/microsoft/agent-governance-toolkit/blob/main/docs/i18n/quickstart.zh-CN.md) | [Coreano](https://github.com/microsoft/agent-governance-toolkit/blob/main/docs/i18n/quickstart.ko.md)

---

## Como Funciona```
Agent ──► Policy Engine ──► Identity ──► Audit Log
            (YAML/OPA/Cedar)  (SPIFFE/DID/mTLS)  (Tamper-evident)
                 │                                      │
                 ├── Allowed ──► Tool executes           │
                 └── Denied  ──► GovernanceDenied        │
                                                        ▼
                                                 Decision Record

Cada camada é opcional. Comece com govern() e adicione camadas à medida que seu perfil de risco cresce. A maioria das equipes utiliza aplicação de políticas + logs de auditoria e nunca precisa da pilha completa.

Pacotes

Recursos Adicionais

Instalação

Todos os cinco SDKs de linguagem implementam governança principal (política, identidade, confiança, auditoria). Python possui a pilha completa. Copilot CLI e Claude Code são superfícies de desenvolvedor primárias construídas sobre o SDK TypeScript. Veja a Matriz de Pacotes por Linguagem para cobertura detalhada por linguagem.

Pré-requisitos

• Python: 3.10+
• Node.js: 18+ / npm 9+ (SDK TypeScript)
• .NET: 8+
• Go: 1.25+
• Rust: 1.70+
• Opcional: AZURE_CLIENT_ID, AZURE_TENANT_ID, AZURE_CLIENT_SECRET para funcionalidades integradas ao Azure

Suporte a Frameworks

Lista completa: Integrações de Framework · Exemplos de Início Rápido

Exemplos

Especificações

Cada componente principal possui uma especificação formal RFC 2119 com testes de conformidade. Essas especificações definem o contrato comportamental: o que as implementações DEVEM, DEVEM RECOMENDAR e PODEM fazer.

992 testes de conformidade garantem que o código permaneça alinhado às especificações. 29 Registros de Decisão de Arquitetura documentam o porquê.

Conformidade com Padrões

Segurança

O AGT aplica governança na camada de middleware da aplicação, não no nível do kernel do SO. O mecanismo de políticas e os agentes compartilham o mesmo limite de processo.

Recomendação para produção: Execute cada agente em um contêiner separado para isolamento em nível de SO. Veja Arquitetura: Limites de Segurança.

Veja Limitações Conhecidas para limites de design honestos e defesa em camadas recomendada.

Documentação

Contribuindo

Guia de Contribuição · Comunidade · Discord · Política de Segurança · Changelog

Usando o AGT? Adicione sua organização em ADOTANTES.md.

Governança

Notas Importantes

Se você usar o Agent Governance Toolkit para construir aplicações que operam com frameworks ou serviços de agentes de terceiros, faça isso por sua própria conta e risco. Recomendamos revisar todos os dados compartilhados com serviços de terceiros e estar ciente das práticas de terceiros em relação à retenção e localização dos dados.

Fontes Oficiais

As únicas fontes oficiais do Agent Governance Toolkit são:

A equipe do projeto não mantém nem endossa quaisquer sites, pacotes ou sites de documentação de terceiros que afirmam ser oficiais. Se você encontrar um site ou pacote suspeito usando o nome Agent Governance Toolkit, denuncie através dos canais descritos em SECURITY.md.

Licença

Este projeto está licenciado sob a licença MIT.

Marcas Registradas

Este projeto pode conter marcas registradas ou logotipos de projetos, produtos ou serviços. O uso autorizado de marcas registradas ou logotipos da Microsoft está sujeito e deve seguir as Diretrizes de Marcas Registradas e Marca da Microsoft. O uso de marcas registradas ou logotipos da Microsoft em versões modificadas deste projeto não deve causar confusão ou implicar patrocínio da Microsoft. Qualquer uso de marcas registradas ou logotipos de terceiros está sujeito às políticas desses terceiros.