AEGIS

Независимая наблюдаемость на уровне ОС для ИИ-агентов кодинга

Следит за тем, что ИИ-агенты реально делают на вашей машине — процессы, файлы, сеть — извне агентов, без необходимости в хуках.

AEGIS — это независимый наблюдатель на уровне ОС для ИИ-агентов. Он отслеживает процессы агентов, доступ к файлам и сетевую активность независимо от того, как агент был запущен и сотрудничает ли он с мониторингом — и привязывает каждое наблюдение к конкретному экземпляру агента, с указанием доказательств этой атрибуции. Построен на движке мониторинга на CommonJS JavaScript, с TypeScript в рендерере и общих типах. Открытый исходный код, локально, без телеметрии — всё остаётся на вашей машине.

_{Демо записано на v0.10.0-alpha; некоторые подписи с тех пор переименованы.}

Скачать · Сообщить об ошибке · Запрос функции · Участие в разработке

Что наблюдает AEGIS

Перечисленные выше факты не поддерживаются вручную: npm run counts:check заново выводит каждый задокументированный счётчик из дерева при каждом запуске CI и завершает сборку ошибкой, когда число в документации расходится с реальностью.

Граф доказательств

Что отличает AEGIS от просмотрщика процессов — это не сенсоры, а то, что каждое событие привязано к экземпляру агента, с доказательствами, которые можно проверить:

• Идентичность экземпляра. Агент идентифицируется как pid + время рождения ОС (instanceId), поэтому переиспользованный PID — это новый экземпляр, а не продолжение истории старого. Кэширование идентичности ограничено свидетелем, а CI запускает инъекционное доказательство (npm run verify:gate, 4 мутанта), которое становится красным, если идентичность когда-либо может быть выдана из устаревшего кэша.
• Атрибуция с указанными доказательствами. Каждая запись аудита содержит pid, instanceId и объект attribution с одним из трёх статусов — confirmed, inferred или unattributed — подкреплённый закрытым реестром кодов доказательств. Когда AEGIS не знает, какой агент коснулся файла, он говорит unattributed; он никогда не выдумывает владельца.
• Журнал с защитой от подделки. События аудита — это JSONL с хэш-цепочкой (Event Schema v1) с ежедневной ротацией, хранением в течение 30 дней и явными маркерами потерь при переполнении буфера записи.
• Измерено, а не заявлено. Механизм идентичности бенчмаркируется в репозитории: паритет времени рождения у провайдера был точным для каждого сопоставимого процесса в обоих записанных прогонах (542/542 и 419/419), а побочный процесс снимка процессов стоит ~10 мс на сканирование, тогда как запасной провайдер — сотни и тысячи. Таблицы по прогонам, окружения и указанные пробелы находятся в docs/bench/.

Доказательства: src/main/process-identity.js · src/main/attribution.js · аудит корректности · бенчмарк 2026-08-12 · бенчмарк 2026-08-13

Monitor-first

AEGIS — это камера, а не охранник. Он наблюдает и записывает — он не блокирует агентов на уровне ОС на сегодняшний день. Нет хуков ядра и нет автоматического принуждения. Управление процессами (завершение / приостановка / возобновление) — только ручное и по инициативе пользователя. Активная блокировка находится в дорожной карте, а не в текущем релизе. Используйте AEGIS для видимости, аудита и обнаружения аномалий — сочетайте его с песочницами, когда вам нужно принуждение.

Чем AEGIS отличается от надзора внутри агента

Большинство инструментов надзора за ИИ-агентами инструментируют самого агента — плагин Claude Code, расширение IDE, обёртка SDK. Такое размещение имеет структурное слепое пятно: агент появляется только если он (или его пользователь) установил хук. Голый python autogpt.py, неперехваченный бинарник или инструмент, который просто не сотрудничает, невидим для инструментации внутри агента.

Вместо этого AEGIS находится на уровне ОС: он наблюдает за процессами, файлами и сетевой активностью извне агентов, поэтому то, что он видит, не зависит от сотрудничества агента — только от собственного покрытия AEGIS (см. известные ограничения). Это не единственный инструмент, наблюдающий за агентами локально — AgentSight, например, наблюдает со слоя eBPF на Linux — а инструменты на основе хуков скорее дополняют, чем конкурируют: хуки видят намерения (промпты, вызовы инструментов) внутри агентов, которые согласились на это, тогда как AEGIS видит эффекты (процессы, файлы, соединения) для всего, что работает на машине, привязывая их к экземплярам агентов без требования сотрудничества.

Известные ограничения

Монитор, который нельзя откалибровать, — это монитор, которому нельзя доверять, поэтому ограничения указаны здесь, а не обнаруживаются позже. Повторно проверенные выводы, лежащие в основе этого списка, каждый со статусом OPEN/CLOSED, находятся в аудите корректности; краткая версия:

• Покрытие основано на сигнатурах и эвристиках. Обнаружение начинается с 110 агентов (262 сигнатуры имён процессов) плюс эвристики (WSL, расширения IDE, пробы локальных LLM). Бинарник агента, не соответствующий ни одной из них, не обнаруживается.
• У опроса есть слепое пятно. Процесс, родившийся и умерший между тиками сканирования (~10 с), никогда не наблюдается; страницы бенчмарков явно это указывают. Захват событий через ETW находится в дорожной карте, со статической разведкой уже в docs/recon/kernel-file-etw.md.
• Идентичность на macOS/Linux ухудшена. Эти платформы в настоящее время не предоставляют время рождения ОС, поэтому идентичность экземпляра откатывается только к PID и небезопасна при переиспользовании PID. Отслеживание стоимости токенов — только для Windows.
• Окна событий в UI молча усекаются. Рендерер хранит ограниченные окна событий, которые могут расходиться с итогами, и баннера об усечении пока нет.
• Здоровье сенсоров отслеживается, но ещё не отображается. Главный процесс записывает здоровье каждого сенсора для файловой системы и сети, но UI пока не может отличить тихую машину от мёртвого сенсора, а переполнения сканирования процессов пропускаются без счётчика.
• Маркерам потерь аудита нужна успешная запись на диск. Если процесс убит, пока диск всё ещё сбоит, вытесненные записи аудита могут быть потеряны без маркера на диске.

Что мы намеренно не заявляем

Числа появляются в этом README только тогда, когда они выведены из репозитория (и проверяются npm run counts:check) или измерены задокументированным методом. Некоторые числа, о которых спрашивают люди, пока не существуют, поэтому мы их не указываем:

• Время запуска. Бенчмарка запуска не существует; старое заявление «менее двух секунд» было удалено, а не оставлено неизмеренным.
• Показатели обнаружения или ложных срабатываний. Сценарный бенчмарк с независимым оракулом существует (bench/, оценивается против Sysmon/Procmon), но он только для Windows, покрывает один сценарий и не запускается в CI — это не основание для показателя.
• Накладные расходы. Собственная стоимость CPU/RAM AEGIS не измерялась задокументированным методом.
• Заголовки об ускорении бенчмарков. Измеренное соотношение снимок-против-запасного изменилось с 193× до 51× между двумя днями на одной машине; устойчивое заявление — более слабое: снимок ~10 мс, запасной — сотни и тысячи мс — и только в этой форме оно цитируется здесь.
• По-событийные оценки уверенности. Намеренно отсутствуют в продукте, пока не существует бенчмарка с эталонной истиной.
• Количество тестов. Скопированные вручную счётчики наборов тестов молча устаревают; набор печатает свои собственные счётчики, а CI запускает его при каждом коммите.

Зачем нужен независимый надзор

ИИ-агенты работают с глубоким доступом к файлам, учётным данным и командам оболочки. Риск не гипотетический: отчёт Kaspersky о случае OpenClaw сообщает, что аудит безопасности в январе 2026 года выявил 512 уязвимостей, восемь из них критических, и утверждает, что более глубокая проблема архитектурная — привилегированный локальный доступ в сочетании со способностью общаться снаружи (Kaspersky, 2026-02-10). Патчи исправляют ошибки; они не дают вам видимости того, что агент реально делал на вашей машине. Эта видимость — тот слой, который добавляет AEGIS.

Скачать

Установщик для Windows

Начиная с v0.11.0-alpha, релизы поставляются с NSIS-установщиком для Windows — скачайте .exe из последнего релиза. Релизы с v0.13.0-alpha и далее также поставляются с подписанным манифестом, поэтому загрузку можно проверить офлайн против публичного ключа, закоммиченного в этом репозитории — см. Проверка релиза AEGIS. Более ранние релизы не содержат манифеста и не могут быть проверены таким образом.

Из исходного кода (все платформы)```bash

git clone https://github.com/antropos17/Aegis.git cd Aegis npm install npm start

> Требуется **Node.js 24.x** (`engines` в `package.json`). Рекомендуются Windows 10/11; macOS/Linux — экспериментально ([#37](https://github.com/antropos17/Aegis/issues/37)) — см. [известные ограничения](#known-limits).

### Попробуйте без AI-агентов

Нет запущенных AI-агентов? Демо-режим позволяет изучить полную панель управления с имитированными данными — без реального мониторинга и реальных процессов.```bash
npm run dev
# then open http://localhost:5174

Dev-сервер несёт в себе демо-движок сценариев — vite.config.js активирует его всякий раз, когда команда — serve, поэтому симулированная панель управления отображается без отдельного шага сборки и без Electron. Для статической сборки, которой можно поделиться (без dev-сервера и без Electron), выполните npm run build:demo и раздайте получившуюся директорию dist/demo любым статическим файловым сервером (сборка использует относительные пути к ассетам, поэтому подойдёт любой хост).

Демо-режим запускает движок сценариев, который циклически проходит через четыре фазы угроз — спокойствие → повышенная → критическая → сброс — с участием до 12 симулированных AI-агентов (Claude Code, Copilot, Cursor и другие). События доступа к файлам, сетевые подключения, оценки аномалий и оценки рисков генерируются в реальном времени, так что каждая вкладка и функция полностью работоспособны.

Используйте его, чтобы оценить AEGIS перед развёртыванием, продемонстрировать UI своей команде или разрабатывать новые функции без необходимости в живой среде Windows.

История релизов

Возможности

Обнаружение — 110 агентов (262 сигнатуры имён процессов), разрешение родительских цепочек, отслеживание чувствительных путей и конфигураций агентов, оценка риска по каждому агенту с доверительными оценками (от A+ до F), локальное обнаружение LLM, пометка ложных срабатываний

Анализ — Поведенческие базовые линии со скользящими средними, многоосевое обнаружение аномалий, оценка угроз с помощью ИИ через Anthropic API (по желанию), печатные HTML-отчёты об угрозах

Панель управления — Bento-grid панель: индикатор RiskRing, TrustBadge, лента активности с фильтрами, временная шкала сеансов с всплывающими подсказками атрибуции, раскрывающиеся карточки агентов, пресеты защиты (Paranoid/Strict/Balanced/Developer), палитра команд (Ctrl+K), горячие клавиши (Ctrl+1-5), тёмная/светлая тема, всплывающие уведомления, защита от OOM

Экспорт — JSON, CSV, HTML-отчёты, ZIP-архив в один клик, хэш-цепочный JSONL-журнал аудита (ежедневная ротация, хранение 30 дней)

i18n — Интернационализация с английской базой (en.json); приветствуются переводы сообщества

CLI — --scan-json для скриптов, --version, --help

YAML-наборы правил

• 73 правила обнаружения в 8 категориях (конфигурация ИИ, секреты, SSH, облако, браузер, инструменты разработчика, криптовалюта, сертификаты)
• Проверяются по rules/_schema.json; редактирование набора правил вызывает горячую перезагрузку без перезапуска
• Расширяйте, добавляя .yaml в rules/. Идентификаторы правил должны быть уникальными — дублирующийся ID пропускается, а не переопределяется. Недавно добавленный файл подхватывается при следующей перезагрузке или перезапуске, поскольку наблюдатель реагирует на изменения в существующих файлах верхнего уровня

Скриншоты

Снято с демо-сборки (npm run build:demo), 2026-08-21.

📸 Shield — Обзор в реальном времени

📸 Лента активности

📸 Правила и разрешения

📸 Отчёты и экспорт

📸 Статистика агентов

📸 Настройки

Архитектура```

┌───────────────┐ ┌────────────────┐ ┌───────────────┐ ┌───────────────┐ │ Process │ │ File │ │ Network │ │ LLM Runtime │ │ Snapshot │ │ Watcher │ │ Monitor │ │ Detector │ │ (sidecar with │ │ (chokidar + │ │ (TCP + rDNS + │ │ (Ollama / LM │ │ CIM fallback)│ │ handle / RM) │ │ verdicts) │ │ Studio) │ └──────┬────────┘ └──────┬─────────┘ └──────┬────────┘ └──────┬────────┘ └──────────────┬───┴───────────────────┴──────────────────┘ ▼ ┌───────────────────────────────┐ │ Identity & Attribution │ │ instanceId = pid + birth time │ │ evidence codes, no guessing │ └──────┬────────────────┬───────┘ ▼ ▼ ┌──────────────────┐ ┌─────────────────────┐ │ Baselines + │ │ Audit Logger │ │ Anomaly (4-axis) │ │ (Event Schema v1, │ │ Risk Engine │ │ hash-chained JSONL) │ └──────┬───────────┘ └──────┬──────────────┘ ▼ ▼ ┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ │ Dashboard │ │ Exports │ │ CLI │ │ (Svelte IPC) │ │ (JSON/CSV/HTML/ │ │ (--scan-json │ │ │ │ ZIP) │ │ --version) │ └──────────────┘ └──────────────────┘ └───────────────┘

Per-sensor health records live in the main process; surfacing them in the UI is on the roadmap.

**Стек**: Electron 43, Svelte 5, Vite 7, Vitest. Движок мониторинга написан на JavaScript (CommonJS); TypeScript используется в рендерере и общих типах. CI проверяет каждый merge с помощью задач сборки, lint, svelte-check, тестов и аудита; `npm run counts:check` заново выводит каждый задокументированный счётчик из дерева, `npm run verify:gate` доказывает свидетельство идентичности против внедрённых мутантов, а `npm run verify:seq-gate` доказывает работу движка последовательностей против внедрённых мутантов.

## База данных агентов

110 агентов в [`src/shared/agent-database.json`](https://github.com/antropos17/aegis/blob/master/src/shared/agent-database.json):

**Кодинг** — Claude Code, GitHub Copilot, Cursor, Windsurf, Tabnine, Amazon Q, Cody, Aider
**Автономные** — OpenClaw, Devin, Manus AI, OpenHands, SWE-Agent, AutoGPT, BabyAGI, CrewAI
**Десктопные** — Anthropic Computer Use, Google Gemini, Apple Intelligence, Microsoft Copilot
**Фреймворки** — LangChain, Semantic Kernel, AutoGen, MetaGPT, TaskWeaver
**Локальные LLM** — Ollama, LM Studio, vLLM, llama.cpp, LocalAI, GPT4All, Jan

Добавляйте собственных агентов через интерфейс или редактируя JSON. См. [AGENTS.md](https://github.com/antropos17/aegis/blob/master/AGENTS.md).

## Дорожная карта

Всё ниже — **запланировано**, а не выпущено. AEGIS сегодня работает только в режиме мониторинга (см. [Monitor-first](#monitor-first)).

- [ ] Активная блокировка — применение правил при нарушении (userspace, до выполнения; драйверы ядра не являются целью) (сегодня: наблюдение и логирование)
- [ ] Отображение состояния каждого сенсора в интерфейсе — записи основного процесса существуют ([дизайн](https://github.com/antropos17/aegis/blob/master/docs/roadmap/sensor-health-degraded.md))
- [ ] Сопоставление с MITRE ATT&CK для правил обнаружения
- [ ] Обнаружение аномалий на основе ML (сегодня: жёстко заданные эвристические веса)
- [ ] Полноценная поддержка macOS и Linux (сейчас экспериментальная — [#37](https://github.com/antropos17/Aegis/issues/37))
- [ ] Мониторинг GPU для обнаружения локального инференса
- [ ] Атрибуция файлов по процессам (ETW, fanotify) — статическая разведка: [docs/recon/kernel-file-etw.md](https://github.com/antropos17/aegis/blob/master/docs/recon/kernel-file-etw.md)
- [ ] Обнаружение контейнеров/ВМ (Docker, WSL)
- [ ] Расширение для браузера для веб-агентов ИИ
- [x] Подписанные автообновления Windows (реализовано; первый релиз требует ручной установки)
- [x] i18n / локализация ([#53](https://github.com/antropos17/Aegis/issues/53))

## Часто задаваемые вопросы

### Что такое Aegis?

Aegis — это открытый монитор уровня ОС для ИИ-агентов. Он отслеживает процессы, доступ к файлам, сетевую активность и поведенческие аномалии в реальном времени, построен на Electron 43 и Svelte 5. Движок мониторинга написан на CommonJS JavaScript; рендерер использует ES-модули, а TypeScript применяется в рендерере и общих определениях типов. Все данные остаются локальными — никакой телеметрии, никакой зависимости от облака.

### Зачем ИИ-агентам нужен мониторинг?

Автономные ИИ-агенты, такие как OpenClaw, AutoGPT и Devin, имеют глубокий доступ к локальным файлам, учётным данным и командам оболочки — но работают с минимальным контролем. Кейс OpenClaw — конкретный пример: аудит безопасности, о котором сообщила [Kaspersky](https://www.kaspersky.com/blog/openclaw-vulnerabilities-exposed/55263/), выявил 512 уязвимостей в одном популярном агенте. Aegis предоставляет независимый уровень наблюдаемости, чтобы вы могли видеть, что агенты на самом деле делают на вашей машине.

### Чем Aegis отличается от традиционного EDR?

Традиционные EDR-инструменты отслеживают угрозы, связанные с человеком, — вредоносное ПО, программы-вымогатели, фишинг. Aegis создан специально для поведения ИИ-агентов: он поставляется со 110 агентами (262 сигнатуры имён процессов) в своей базе обнаружения, 73 правилами обнаружения, настроенными на специфические паттерны агентов, и поведенческими базовыми линиями, которые отслеживают, как меняется активность каждого агента со временем. Он также работает по принципу monitor-first: наблюдает и логирует, а принудительное применение оставляет песочницам.

### Работает ли Aegis с инструментами MCP?

Aegis отслеживает процессы, а не протоколы. Если инструмент, подключённый через Model Context Protocol (MCP), порождает процессы, обращается к файлам или совершает сетевые вызовы, эта активность наблюдается и атрибутируется как любая другая — Aegis сам не разбирает трафик MCP.

### Заменяет ли Aegis песочницы?

Нет. Aegis — это уровень наблюдаемости, а не ограничения. Песочницы ограничивают, что агенты могут делать; Aegis показывает, что агенты делают. Они дополняют друг друга — используйте песочницы для принудительного применения, а Aegis — для видимости, аудита и обнаружения аномалий.

### Каких агентов поддерживает Aegis?

Aegis поставляется со 110 агентами (262 сигнатуры имён процессов) в своей базе, охватывающей ассистентов кодинга (Claude Code, Copilot, Cursor), автономных агентов (OpenClaw, AutoGPT, CrewAI, Devin), десктопный ИИ (Gemini, Apple Intelligence), фреймворки (LangChain, AutoGen, MetaGPT) и локальные LLM-среды выполнения (Ollama, LM Studio, llama.cpp). Вы можете добавлять собственных агентов через интерфейс или JSON-конфигурацию.

### Можно ли использовать Aegis в продакшене?

Aegis — это альфа-программное обеспечение (см. [Releases](https://github.com/antropos17/Aegis/releases) для текущей версии) и рекомендуется для сред разработки и тестирования. Он работает по принципу monitor-first — ничего не блокирует — а функции для продакшен-развёртывания, такие как автообновление и принудительное применение на уровне ОС, находятся в [дорожной карте](#roadmap), а не в текущем релизе.

### Бесплатен ли Aegis?

Да. Aegis выпущен под лицензией MIT без телеметрии, облачных требований и платных тарифов. Полный исходный код доступен на GitHub.

## Участники

<table>
  <tr>
    <td align="center"><a href="https://github.com/antropos17"><img src="https://assets.kitploit.com/production/public/readmes/11867/d578c57b7ef172e620fdae169ad91c8e0055b37d16844c2c2629faaf9b9219a2.jpg" width="80px;" alt=""/><br/><sub><b>Antropos7</b></sub></a></td>
    <td align="center"><a href="https://github.com/ElshadHu"><img src="https://assets.kitploit.com/production/public/readmes/11867/3c10ee663b93377a199c1e7210a9367027209543b0517b81c3d062f896295e8f.jpg" width="80px;" alt=""/><br/><sub><b>Elshad Humbatli</b></sub></a></td>
    <td align="center"><a href="https://github.com/skmelendez"><img src="https://assets.kitploit.com/production/public/readmes/11867/e5155c2418c9da5882d234cc3c4cc9553f394b267dc070af20e46ec29e6c1424.jpg" width="80px;" alt=""/><br/><sub><b>Steven Melendez</b></sub></a></td>
    <td align="center"><a href="https://github.com/travisbreaks"><img src="https://assets.kitploit.com/production/public/readmes/11867/bc41c225a907e0765ed5854e34d18643727303d9f0322b87e3aadffce277f93a.jpg" width="80px;" alt=""/><br/><sub><b>travisbreaks</b></sub></a></td>
    <td align="center"><a href="https://github.com/raye-deng"><img src="https://assets.kitploit.com/production/public/readmes/11867/922df91939ff1c15304305ca05e0e48193a6fd98679450b765363ae710a22344.png" width="80px;" alt=""/><br/><sub><b>raye-deng</b></sub></a></td>
    <td align="center"><a href="https://github.com/KJyang-0114"><img src="https://assets.kitploit.com/production/public/readmes/11867/bf4bc0e449422b18054b342eea0716b8d434554a3b84fd539df0ac570d375a73.png" width="80px;" alt=""/><br/><sub><b>KJyang-0114</b></sub></a></td>
  </tr>
</table>

[CONTRIBUTING.md](https://github.com/antropos17/aegis/blob/master/CONTRIBUTING.md) &middot; [SECURITY.md](https://github.com/antropos17/aegis/blob/master/SECURITY.md) &middot; [CODE_OF_CONDUCT.md](https://github.com/antropos17/aegis/blob/master/CODE_OF_CONDUCT.md)

## Поддержка

Если Aegis полезен для вас, рассмотрите возможность поставить звезду на GitHub — это помогает другим узнать о проекте.

**Команды и предприятия** — Нужны централизованные дашборды, интеграция с SIEM или управляемое развёртывание? Мы работаем над этим. [Узнать первыми](mailto:[email protected]?subject=Aegis%20Enterprise%20Interest)

## Лицензия

[MIT](https://github.com/antropos17/aegis/blob/master/LICENSE)

## История звёзд

[![Star History Chart](https://assets.kitploit.com/production/public/readmes/11867/7cd00fa07216305d19bb2b6ece0de2b2dd36eeb2786d065aef0359159e4598a8/43d9ce4f0049392bf903058716bccb8009e9bdf415dc7e9e892487d4c1f75365-display-v1.webp)](https://www.star-history.com/?repos=antropos17%2FAegis&type=timeline&legend=top-left)