Для альтернатив Skill, curl и git-clone, а также для систем PEP 668 и настройки сокрытия секретов см. [полное руководство по установке](https://github.com/prismorsec/prismor/blob/main/docs/installation.md).

---

## Возможности<a name="capabilities" />

![Архитектура Prismor](https://assets.kitploit.com/production/public/readmes/13903/0e84c7211b3275de581182b7f69c44d8224142323b43220dd1234eee17616757.png)

- 🛡️ [Prismor](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md) охватывает движок политик, журналы сессий, аудит безопасности и справочник по CLI
- 📦 [Цепочка поставок](https://github.com/prismorsec/prismor/blob/main/docs/supply-chain.md) охватывает принудительные меры во время установки, сопоставление IOC и оценку рисков
- 🛜 [Сетевая изоляция](https://github.com/prismorsec/prismor/blob/main/docs/network-isolation.md) охватывает управление исходящим трафиком на основе политик, обнаружение необработанных IP и блокировку туннелей
- 🔍 [Сканер навыков](https://github.com/prismorsec/prismor/blob/main/docs/skill-scanner.md) охватывает сканирование рисков серверов MCP и навыков по поддерживаемым агентам
- 🚦 [Ограничения MCP](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md#custom-guardrails-for-mcp-tools) позволяют заблокировать конкретный сервер или инструмент MCP либо потребовать одобрения человеком перед вызовом агентом с помощью правила политики, которое вы пишете сами
- 🛰️ [Шлюз MCP](https://github.com/prismorsec/prismor/blob/main/docs/mcp-gateway.md) — это единый коннектор MCP, который стоит перед всеми остальными используемыми вами серверами MCP: каждый `tools/call` проходит оценку политики перед перенаправлением, а каждый ответ сканируется на инъекции до того, как его увидит модель, поэтому отравленный результат инструмента никогда не становится контекстом. `prismor mcp-gateway install` переносит существующий `.mcp.json` за него
- 🛤️ [Прокси LLM](https://github.com/prismorsec/prismor/blob/main/docs/llm-proxy.md) управляет агентом, который Prismor не может перехватить, через то единственное, что есть у каждого агента: его трафик к модели. Направьте его на `prismor proxy` с помощью `ANTHROPIC_BASE_URL`, `OPENAI_BASE_URL` или `HttpOptions(base_url=...)` из Google Gen AI SDK, и больше ничего в агенте не меняется. Каждый вызов инструмента, который модель *предлагает* — Anthropic `tool_use`, OpenAI `tool_calls`, Gemini `functionCall` — преобразуется в то же событие, которое порождает хук `Bash`, и оценивается по тому же правилу, при этом потоковые вызовы удерживаются до тех пор, пока их можно будет оценить
- [Хуки вывода Claude](https://github.com/prismorsec/prismor/blob/main/docs/inference-hook.md) делают Prismor сервером безопасности ИИ за Claude Enterprise: Anthropic отправляет каждый управляемый запрос из claude.ai, Claude Code и Cowork в `prismor inference-hook serve`, который применяет вашу политику к транскрипту и отвечает allow/deny до запуска модели — подписанные запросы (Standard Webhooks), fail-closed, теневой режим, ничего не нужно устанавливать на устройства пользователей. `prismor inference-hook test` отправляет подписанные образцы кадров для проверки связки
- 🏷️ [Теги инструментов](https://github.com/prismorsec/prismor/blob/main/docs/tool-tags.md) классифицируют инструменты по возможностям (чтение, запись, сеть, выполнение), чтобы правило могло гласить «ничто, читающее приватные данные, не должно также иметь доступ к сети» вместо перечисления каждого инструмента по отдельности — инструменты MCP самообъявляются через `_meta`, а `prismor tags` выводит список, тестирует и проверяет выражения правил
- 🔐 [Sweep и Cloak](https://github.com/prismorsec/prismor/blob/main/docs/sweep-and-cloak.md) охватывает предотвращение утечек секретов на границах инструментов, практическую настройку, лучшие практики, модель угроз и очистку утёкших секретов
- 🦞 [Интеграция с OpenClaw](https://github.com/prismorsec/prismor/blob/main/docs/openclaw.md) охватывает хуки времени выполнения, сканирование на инъекции в промпты и настройку области проекта или пользователя для OpenClaw
- 🤖 [Сокрытие агента Hermes](https://github.com/prismorsec/prismor/blob/main/docs/hermes.md) охватывает сокрытие секретов, специфичное для Hermes, с автообнаружением точек входа pip, установкой в файловую систему и защитой вставки pre_gateway_dispatch
- ☁️ [Виртуальные машины размещённых агентов](https://github.com/prismorsec/prismor/blob/main/docs/cloud-agents.md) управляет агентами, работающими на машине, в которую вы никогда не входите (Claude Code в вебе, облачные агенты Cursor, агент программирования Copilot, OpenHands Cloud, Codex cloud, Replicas): скрипт настройки платформы устанавливает бинарник, а `install-hooks --portable` записывает конфигурацию хуков, безопасную для коммита
- 🧠 [Семантический страж](https://github.com/prismorsec/prismor/blob/main/docs/semantic-guard.md): опциональный гибридный слой, добавляющий проверку намерения с помощью LLM для перефразированных попыток инъекции в промпты, которые не могут поймать правила на регулярных выражениях
- 🪤 [Canary](https://github.com/prismorsec/prismor/blob/main/docs/canary.md) размещает файлы учётных данных-приманок, которые вызывают находку уровня CRITICAL в момент, когда агент их читает, выявляя поведение разведки
- 🪪 [IAM](https://github.com/prismorsec/prismor/blob/main/docs/iam.md) даёт каждому агенту именованную идентичность и профиль разрешений с наименьшими привилегиями, когда несколько агентов используют одно рабочее пространство
- 🧩 [Агенты фреймворков](https://github.com/prismorsec/prismor/blob/main/docs/frameworks-overview.md) защищает продакшн-агентов (OpenAI Agents SDK, LangChain/LangGraph на Python и JS, CrewAI, browser-use, Pydantic AI, AutoGen Core, Agno, Semantic Kernel, Google ADK, BeeAI, Claude Agent SDK, Vercel AI SDK, Mastra) одним вызовом — оберните каждый запрос в `use_subject("user:alice")`, и мультитенантный агент получит атрибуцию по пользователям, профили IAM по пользователям и приостановку по пользователям
- 🎯 [Ограниченный агент](https://github.com/prismorsec/prismor/blob/main/docs/scoped-agent.md) синтезирует минимальные, специфичные для задачи правила для каждой сессии, чтобы внедрённый уход от задачи был заблокирован
- 🧬 [Обучение](https://github.com/prismorsec/prismor/blob/main/docs/learning.md) анализирует историю сессий, чтобы предлагать новые правила, отмечать ложные срабатывания и обнаруживать обход
- ⚖️ [Многослойная политика и исключения](https://github.com/prismorsec/prismor/blob/main/docs/policy-layers-and-exemptions.md) охватывает режимы observe/enforce для каждого правила, неотменяемый нижний уровень и предоставляемые администратором ограниченные по времени исключения на уровнях организации / проекта / репозитория
- 🔐 [Явный выбор enforce и окно разблокировки](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md#choosing-what-blocks) — настройка enforce начинается с того, что ничего не блокируется, и вы выбираете набор; `prismor allow` создаёт узкие исключения, а `prismor unlock` открывает защищённое паролем, ограниченное по времени окно, в котором агент может редактировать политику (но никогда — правила самозащиты, охраняющие сам Prismor)
- 📡 [Живая телеметрия](https://github.com/prismorsec/prismor/blob/main/docs/live-telemetry.md) охватывает опциональное подключение к корпоративной панели управления — регистрацию устройств, подписанную удалённую политику и отредактированную телеметрию, передаваемую в самостоятельно размещённую панель организации
- 🔌 [Приёмники телеметрии](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-sinks.md) пересылают каждую находку в то, что вы уже используете — коллектор OpenTelemetry (логи OTLP/HTTP), Splunk HEC, Datadog, syslog, вебхук или локальный файл в формате JSON/CEF/OCSF — отправка происходит до решения о блокировке и никогда не может задержать вызов инструмента
- 📊 [Панель управления](https://github.com/prismorsec/prismor/blob/main/docs/dashboard.md) охватывает терминальную и локальную веб-панели, а также форензику сессий, при этом `prismor tokens` показывает, куда на самом деле ушли контекст и расход токенов сессии
- 🩺 [Работоспособность и восстановление](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md) — `prismor doctor` проверяет работоспособность каждой подсистемы (хуки, подпись политики, регистрация, приёмник телеметрии, состояние цепочки), а `prismor pause` / `pause-hard` приостанавливает *только принудительные меры* для человека во время инцидента, пока ведение журнала в режиме наблюдения продолжается
- 🧾 [Подписанный журнал аудита](https://github.com/prismorsec/prismor/blob/main/docs/audit-trail.md) связывает хеш-цепочкой и подписывает Ed25519 каждое действие агента локально, поэтому `prismor trail verify` доказывает, что история не была отредактирована, удалена или перезаписана
- 🔖 [Подписанные квитанции телеметрии](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-receipts.md) — это схема передачи для записей, которые сообщает устройство: канонические байты, два слоя целостности и эталонный верификатор без зависимостей, чтобы SIEM или аудитор могли проверить квитанцию без Prismor
- 📑 [Пакет аттестации](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md) упаковывает состояние защищённости, инвентаризацию агентов, обнаружение хостов, покрытие контроля фреймворков (OWASP LLM/Agentic, NIST AI RMF, EU AI Act) и якорь журнала в один подписанный Ed25519 файл, который аудитор перепроверяет с помощью `prismor attest verify`
- 🔦 [Обнаружение хостов](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md#host-discovery) сканирует машину с помощью `prismor discover` и отмечает любого ИИ-агента, работающего без хуков Prismor (теневой ИИ)
- ⏪ [Загрузка транскриптов](https://github.com/prismorsec/prismor/blob/main/docs/transcript-ingest.md) восстанавливает, что делали ваши агенты *до* установки Prismor — `prismor ingest --discover` воспроизводит транскрипты сессий с диска через живой движок политик, поэтому панель управления заполняется в первый же день, и вы можете точно увидеть, что заблокировало бы переключение правила в режим enforce, плюс `--coverage` для сессий, работавших без мониторинга
- 🗺️ [Обзор архитектуры агентного ИИ](https://github.com/prismorsec/prismor/blob/main/docs/agentic-architecture-review.md) — это контрольный список на этапе проектирования для мультиагентных систем и систем с использованием инструментов: область разрешений, целостность памяти, доверие между агентами, размещение человеческого надзора — каждый пункт сопоставлен с реальным ID контроля и, где он существует, с правилом Prismor, которое его подстраховывает
- 🐳 [Docker и контейнеры](https://github.com/prismorsec/prismor/blob/main/docs/docker.md) охватывает укрепление контейнеров, предварительные требования и известные ограничения

Полная карта команд по всем возможностям: [Справочник по CLI](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md).

Эти возможности соответствуют [OWASP Top 10 для приложений LLM](https://genai.owasp.org/llm-top-10/) — охватывая инъекции в промпты (LLM01), раскрытие конфиденциальной информации (LLM02), цепочку поставок (LLM03), ненадлежащую обработку вывода (LLM05) и чрезмерную автономность (LLM06).

---

## Сценарии и варианты использования<a name="scenarios-and-use-cases" />

Реальные рабочие процессы с командами и конфигурацией, которые заставляют их работать — подключение команды в режиме наблюдения, атрибуция IAM по пользователям для мультиагентных и фреймворковых конвейеров, обнаружение теневого ИИ, ступенчатое одобрение для операций с высокими ставками и генерация подписанного пакета аттестации для аудита соответствия. См. [USE_CASES.md](https://github.com/prismorsec/prismor/blob/main/USE_CASES.md).

---

## Конфигурация<a name="configuration" />

### Справочник команд

Полная карта команд: [docs/cli-reference.md](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md).

### Режимы управления

`prismor setup` просит вас выбрать одну позицию вместо ручной настройки шести осей политики. Каждая компилируется в `.prismor/policy.yaml` — принудительные меры, исходящий трафик, доступ к инструментам, правила тегов, песочница и граница данных вместе.

![Режимы управления Prismor](https://raw.githubusercontent.com/prismorsec/prismor/main/assets/prismor-modes.png)

| Режим | Для | Покрытие | Трение |
|---|---|---|---|
| `dev-safe` | Работа над функциональностью в коде, который вы не читали | 31% | 9% |
| `trusted-workspace` | Доверенные внутренние репозитории, локальная работа с Docker | 34% | 9% |
| `regulated-airgap` | PII/PHI, SOC 2, EU AI Act — без сети, без оболочки | 100% | 90% |```bash
prismor mode list                            # compare the three
prismor mode explain dev-safe                # the trade, including what it does NOT stop
prismor mode apply dev-safe                  # compile it into this workspace
prismor mode apply regulated-airgap --observe   # what it would block, blocking nothing

### Один движок политик, все поверхности принудительного применения

У этапа 1 больше одной двери, и это сделано намеренно: ни одна точка перехвата не покрывает всех агентов. Хуки — самые широкие, но не каждый хост их предоставляет; MCP — единственное место, где некоторых агентов вообще можно перехватить; агенты production-фреймворков работают там, где нет хоста для подключения хуков.

Поэтому каждая поверхность нормализует увиденное в одно каноническое событие и запрашивает вердикт у одного и того же оценщика. Правило, написанное один раз, покрывает одно и то же действие независимо от того, как оно приходит.

| поверхность | чем управляет | отклонить | переписать ввод | редактировать вывод |
|---|---|:--:|:--:|:--:|
| Хуки кодинг-агентов | вся поверхность инструментов агента | да | Claude/Qwen | нет |
| Шлюз MCP | каждый MCP-сервер за одним коннектором | да | да | да |
| Зеркалированные встроенные инструменты | собственные Bash/Read/Write агента, через MCP | да | да | да |
| Адаптеры SDK фреймворков | внутрипроцессные агенты (13 фреймворков) | да | нет | нет |
| `prismor eval-server` | не-Python вызывающие стороны, внешние прокси | да | да | да |
| Канал inference-хуков | вебхук хостируемого хода транскрипта | да | нет | нет |

«Редактировать вывод» — вот почему существует зеркало: хук перед действием может только *отклонить* чтение файла, тогда как поверхность, несущая ответ, может вернуть файл с замаскированными учётными данными.

Это проверяется, а не утверждается — `tests/test_surface_conformance.py` воспроизводит одно действие через собственный нормализатор каждой поверхности и завершается ошибкой, если они расходятся в вердикте или правиле.

См. [контракт решений](https://github.com/prismorsec/prismor/blob/main/docs/decision-contract.md) для формы события и словаря вердиктов, и [поверхности управления](https://github.com/prismorsec/prismor/blob/main/docs/governance-surfaces.md) для того, какую поверхность использовать для каждого агента.

---

## Избранные возможности с пояснениями<a name="selected-capabilities-walked-through" />

Три модуля из [Возможностей](#capabilities), с настройкой, выводом и результатами.

### Гибридная семантическая защита от промпт-инъекций<a name="hybrid-semantic-prompt-injection-defense" />

Правила на регулярных выражениях ловят известные формы инъекций. Семантический страж добавляет слой, учитывающий намерение: эвристический предварительный фильтр обрабатывает очевидные случаи за <1 мс, а неопределённые входные данные эскалируются к LLM-судье, который в любом случае выносит вердикт — он подтверждает перефразированные атаки, которые регулярное выражение увидело лишь наполовину, и снимает подозрения с безобидного текста, который задел сигнал притязания на авторитет. Протестировано на 800+ случаях — **+30% полноты** без добавления ложных срабатываний, включая перефразированные инъекции и инъекции внутри файлов, обходящие регулярные выражения.

![Результаты семантического стража](https://assets.kitploit.com/production/public/readmes/13903/a32297d3549c5ff60690c8dca14490f1d53a17a253d912bcb2187414dea3d018.png)

Судья работает на логине, который у вас уже есть — API-ключ не нужен. `prismor setup` спрашивает об этом на шаге **LLM judge**; в скриптовом режиме:```bash
prismor setup --non-interactive --judge claude   # Claude Code CLI, your Claude login
prismor setup --non-interactive --judge codex    # Codex CLI, your ChatGPT login
prismor setup --non-interactive --judge api --judge-model gpt-4o-mini   # any litellm model + key

# Базовое использование
tool -s -p 8080

# С подробным выводом
tool -c -h example.com -v

# С пользовательским тайм-аутом
tool -t 30 -r 3

server:
  host: 0.0.0.0
  port: 8080
  timeout: 30

client:
  host: localhost
  port: 8080
  retry: 3

logging:
  level: info
  file: /var/log/tool.log

tool -p 9090

tool -v

tool -o output.txt

nohup tool -s &

tool -u

tool -b

tool -j

tool -V

tool -H

Вердикты: `< 30` разрешить · `30–59` предупредить · `≥ 60` заблокировать. Совпадение с IOC всегда блокирует. Настройте псевдонимы для ваших менеджеров пакетов, чтобы автоматически контролировать каждую установку.

`prismor supplychain harden` записывает настройки блокировки в `.npmrc` / `.yarnrc.yml` / `pip.conf` / `.cargo/config.toml`, чтобы менеджер пакетов применял их даже при обходе псевдонима (CI, плагины IDE).```bash
prismor supplychain harden           # apply to current directory
prismor supplychain harden --dry-run

`--scope` по умолчанию имеет значение `project`. **Project и user scope редактируют разные файлы** — запуск только с `--scope user` *не* затрагивает локальные хуки рабочего пространства, и наоборот:

| Агент | Project scope | User scope |
|---|---|---|
| Claude Code | `<workspace>/.claude/settings.json` | `~/.claude/settings.json` |
| Cursor | `<workspace>/.cursor/hooks.json` | `~/.cursor/hooks.json` |
| Windsurf | `<workspace>/.windsurf/hooks.json` | `~/.codeium/windsurf/hooks.json` |
| OpenClaw | `<workspace>/.openclaw/plugins.json` | `~/.openclaw/config.json` |
| Hermes | `<workspace>/.hermes/plugins.json` | `~/.hermes/config.json` |
| Codex | `<workspace>/.codex/hooks.json` | `~/.codex/hooks.json` |
| Copilot | `<workspace>/.github/copilot/hooks.json` | `~/.copilot/hooks.json` |
| Grok Build | `<workspace>/.grok/hooks/prismor.json` | `~/.grok/hooks/prismor.json` |
| Kiro CLI | `<workspace>/.kiro/agents/kiro_default.json` | `~/.kiro/agents/kiro_default.json` |
| Crush | `<workspace>/crush.json` | `~/.config/crush/crush.json` |
| OpenHands | `<workspace>/.openhands/hooks.json` | `~/.openhands/hooks.json` |
| Qwen Code | `<workspace>/.qwen/settings.json` | `~/.qwen/settings.json` |
| Continue CLI | `<workspace>/.continue/settings.json` | `~/.continue/settings.json` |
| Goose | `<workspace>/.agents/plugins/prismor/hooks/hooks.json` | `~/.agents/plugins/prismor/hooks/hooks.json` |

Если вы запускаете только один scope, хуки другого (если они установлены) продолжат срабатывать. Запустите оба, если хотите полностью убрать Prismor из картины для агента.

Запущенная сессия уже загрузила свою конфигурацию хуков — удаление в середине сессии не вступит в силу, пока вы не запустите новую сессию.

Если `prismor uninstall-hooks` сообщает об успехе, но хуки всё ещё срабатывают, вероятно, у вас устаревшая установка — например, копия, установленная через `pipx`, которая является устаревшим снимком dev-версии. Проверьте `which immunity` и, если он указывает на `pipx` venv, переустановите из текущего исходного кода (`pipx install --force <path-or-package>`) перед повторным запуском удаления. В крайнем случае отредактируйте файл конфигурации хуков вручную.

### 2. Мягкое отключение: режим наблюдения + dry-run

Оставьте хуки установленными, но не давайте им блокировать:```bash
prismor install-hooks --agent all --scope project --mode observe
PRISMOR_LOCAL_DRY_RUN=1   # set in your shell/session env