Каждое действие вашего агента должно пересекать границу между вашими секретами и открытым интернетом. Pipelock становится этой границей, когда агент направляется через его прокси, обёртку MCP, песочницу, модель изоляции хоста или топологию кластерного развёртывания. Он сканирует медиированный исходящий и входящий трафик, блокирует или помечает атаки в зависимости от режима и записывает подписанное доказательство решения.

---

## Проверьте Самостоятельно

Большинство инструментов безопасности агентов требуют доверять их панели управления. Pipelock выдаёт вам подписанную квитанцию и позволяет проверить её самостоятельно, офлайн, с помощью ключа, который вы храните. Никакой учётной записи и никакого сервера.

Встроенная демонстрация запускает реальные сценарии атак, блокирует их и записывает подписанные квитанции вместе с открытым ключом на диск без какой-либо настройки и без сети:```bash
pipelock demo --receipts-dir ./out                                   # runs attack scenarios, writes 7 signed receipts + signer.pub
pipelock verify-receipt "$(ls ./out/*.json | head -1)" --key ./out/signer.pub  # check a signature yourself (each receipt is <action-id>.json)

Две заметки о честности, сделанные заранее. Демо-версия подписывается эфемерным ключом, который она выводит для запуска, что доказывает, что квитанции самосогласованны, а не привязаны к именованной идентичности. Публичная игровая площадка Pipelock — это отдельный путь, который проверяет подпись по ключу, публикуемому Pipelock. А оператор, запускающий Pipelock, хранит ключ подписи, поэтому квитанция доказывает, что решила граница и что владелец ключа подписал её, а не то, что оператор честен. `pipelock anchor receipts` записывает контрольные точки цепочки квитанций в локальное хранилище или в журнал прозрачности Rekor для последующего аудита, а независимая от оператора проверка по этой контрольной точке всё ещё доказывается от начала до конца.

Полное обоснование того, почему доказательство лучше обещаний, приведено в [демонстрация вместо аттестации](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/security/demonstration-over-attestation.md).

---

## Быстрый старт```bash
# Install from source (Go 1.25+)
go install github.com/luckyPipewrench/pipelock/cmd/pipelock@latest

# Set up local agent integrations and generate a config
pipelock init

# Test the scanner
pipelock check --url "https://evil.com/?k=AKIAIOSFODNN7EXAMPLE"  # blocked: AWS Access ID
pipelock check --url "https://docs.python.org/3/"                # allowed

- **Input scanning:** Запросы MCP-клиентов проверяются на утечки DLP и инъекции в аргументах инструментов.
- **Response scanning:** Ответы сервера сканируются до того, как их увидит агент.
- **Tool poisoning:** Описания в `tools/list` проверяются на скрытые инструкции и внезапные изменения в ходе сессии.
- **Tool policy:** 17 встроенных правил блокируют деструктивные удаления файлов, доступ к учетным данным, обратные оболочки, механизмы персистентности, выполнение закодированных команд и другие高危 вызовы инструментов до их выполнения.
- **Tool call chains:** 10 встроенных шаблонов по категориям и осям обнаруживают разведку, кражу учетных данных, подготовку данных, персистентность, эксфильтрацию и цепочки обратных вызовов с настраиваемой толерантностью к пробелам.
- **A2A inspection:** Трафик протокола Google Agent-to-Agent проверяется на прямом пути и на пути MCP; Pipelock не является отдельным прокси-сервером A2A.
- **Authenticated MCP HTTP listeners (v3.2.0):** не-петлевые MCP-слушатели по умолчанию закрыты и требуют `--mcp-auth-token-file` или явного `--mcp-allow-unauthenticated` для сетевых изолированных развертываний. Безтокеновые петлевые слушатели отклоняют DNS-rebound и неверные порты Host, а также очищают учетные данные слушателя из заголовков.

### Изоляция

Изоляция непривилегированных процессов использует нативные примитивы ОС. Linux использует Landlock, seccomp и сетевые пространства имен. macOS использует профили `sandbox-exec`. В контейнерах `--best-effort` сохраняет Landlock и seccomp, когда создание пространств имен ограничено, а сетевое сканирование использует маршрутизацию на основе прокси.```bash
pipelock sandbox --config pipelock.yaml -- python agent.py
pipelock sandbox --best-effort -- python agent.py
pipelock mcp proxy --sandbox --config pipelock.yaml -- npx server

`pipelock contain install / run / verify / rollback / add-tool / grant-workspace / revoke-workspace / ca-refresh` управляет моделью 3-UID оператор/прокси/агент с nftables owner-match маршрутизацией, настройкой systemd-сервисов, командами-обёртками, ACL рабочих областей, обновлением CA и свидетельствами состояния. См. [`docs/contain-cli.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/contain-cli.md).

### Свидетельства и квитанции

- **Бортовой самописец:** журнал свидетельств в формате JSONL с хэш-цепочкой, подписанные контрольные точки Ed25519 и редактирование по DLP. `pipelock init` создаёт каталог самописца и ключ подписи для штатных установок; самописец остаётся неактивным, пока не существуют каталог и ключ. См. [Бортовой самописец](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/flight-recorder.md).
- **Квитанции действий:** подписанные записи, выдаваемые для опосредованных действий, содержащие вердикт, хэш политики, транспорт и уровень сканера. Блоки создают квитанции; принудительное использование квитанций пути allow-path требует `flight_recorder.require_receipts`. Проверяйте с помощью `pipelock verify-receipt --key <signer.pub>`. Незакреплённые запуски являются только структурными и завершаются с ненулевым кодом, если не передан `--allow-unpinned`.
- **Обёртка посредничества:** метаданные боковой полосы RFC 8941 в пересылаемых HTTP-запросах и MCP `_meta` с типом действия, вердиктом, идентификатором субъекта, хэшем политики, контекстом заражения и идентификатором корреляции квитанции. См. [руководство по федерации](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md).
- **Соответствие квитанций:** четыре независимые кроссязыковые реализации верификатора (Go, TypeScript, Rust и Python) выполняются на одном общем [корпусе соответствия](https://github.com/luckypipewrench/pipelock/blob/HEAD/sdk/conformance/), включая некорректные и подделываемые входные данные, такие как дублирующиеся ключи, целочисленное переполнение и непарные суррогаты. Браузерная поверхность wasm повторно использует реализацию верификатора Go. Оценка AARP/SVID остаётся офлайн-профилем верификатора, а не принудительным применением идентичности во время выполнения.
- **Якоря:** `pipelock anchor receipts` записывает контрольные точки цепочки квитанций в локальный бэкенд или Rekor. Привязка к Rekor является доказательным материалом для последующего аудита; верификация Rekor требует закреплённых ключей журнала, а сквозной путь независимости оператора ещё доказывается.
- **Капсула состояния:** `pipelock posture emit` и `pipelock posture verify` создают и проверяют подписанный снимок состояния принудительного применения политики развёртывания с CI-шлюзом и моделью оценки, чтобы рецензент мог подтвердить, что граница настроена так, как заявлено.

### Флот и предприятие

- **Панель оператора:** `pipelock dashboard serve` — консоль только для чтения над подписанными свидетельствами. Pro открывает обзор, свидетельства, исключения, агенты, бюджеты и представления «Доверие и ключи»; Enterprise добавляет представления «Флот», «Рабочее место» и «Инциденты». См. [`docs/cli/dashboard.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/dashboard.md).
- **Бесплатное средство просмотра свидетельств:** `pipelock evidence serve` и `pipelock evidence view` отображают один выбранный сеанс самописца без лицензии или перечисления агентов. `pipelock evidence verify-cert` проверяет выданные Pro сертификаты покрытия офлайн.
- **Кондуктор:** плоскость управления флотом Enterprise для подписанного распространения пакетов политик, подписанного приёмника свидетельств (`pipelock fleet-sink`), регистрации, удалённого отключения, отката, сухого прогона, повторного воспроизведения решений и предварительной проверки дрейфа состояния выполнения/применения через mTLS/SPIFFE. Последователи применяют локально; режим устаревшей политики по умолчанию активирует независимый источник запрета после своего окна отсрочки, в то время как документированное переопределение `continue_last_known_good` ослабляет эту позицию. Conductor не хранит секретов агентов. См. [руководство по Conductor](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/conductor.md).
- **Юридическое удержание:** `pipelock dashboard legal-hold add/list/release` управляет удержанием сохранности как метаданными соответствия, хранящимися вне HTTP-авторитета панели, так что скомпрометированная панель может читать удержания, но никогда не подделать или удалить их.
- **Поведенческий базовый уровень:** профилирование-затем-блокировка поведения MCP-инструментов с помощью `pipelock baseline list/show/ratify/forget` для одобрения оператором и переобучения. См. [`docs/cli/baseline.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/baseline.md).

### Эксплуатационные возможности

- **Аварийный выключатель:** шесть независимых источников активации: файл конфигурации, удалённый API, SIGUSR1, файл-маяк, удалённое отключение Conductor и обнаружение устаревшего пакета. Любой один активный источник блокирует трафик с исключениями для конечных точек и IP в контроллере.
- **API сканирования:** программное сканирование для вердиктов `url`, `dlp`, `prompt_injection` и `tool_call` с аутентификацией по токену-носителю, ограничением скорости на токен, структурированными результатами и метриками Prometheus. См. [docs/scan-api.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/scan-api.md).
- **Файловый маяк:** отслеживает рабочие каталоги агента на предмет записи секретов на диск и связывает записи с линией подпроцесса MCP в Linux. См. [docs/guides/filesystem-sentinel.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/filesystem-sentinel.md).
- **Эмиссия событий:** пересылает события аудита в SIEM, вебхуки, syslog, CEF, OTLP и выходные метрики без блокировки горячего пути прокси. См. [docs/guides/siem-integration.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/siem-integration.md).
- **Оценка безопасности:** `pipelock assess init`, `pipelock assess run` и `pipelock assess finalize` координируют симуляцию атак, оценку конфигурации, проверку установки и обнаружение MCP в воспроизводимый пакет свидетельств. Критические уязвимости, такие как незащищённые MCP-серверы, ограничивают оценку независимо от числового балла. Бесплатная сводка показывает ваш класс, оценки по разделам и главные результаты; лицензия открывает полный отчёт с результатами по конкретным серверам, командами исправления и свидетельствами, подписанными Ed25519.

<details>
<summary>Дополнительные возможности</summary>

| Функция | Что делает |
|---------|-------------|
| **Отчёты аудита** | `pipelock report --input events.jsonl` генерирует HTML/JSON/пакетные отчёты с оценкой риска, временной шкалой и приложением свидетельств. Подпись Ed25519 через `--sign`. ([Пример отчёта](https://github.com/luckypipewrench/pipelock/blob/HEAD/examples/sample-report.html)) |
| **Диагностика** | `pipelock diagnose` выполняет 7 локальных проверок для сквозной верификации вашей конфигурации без сети. |
| **Доктор принуждения** (v2.5) | `pipelock doctor` сообщает статус настроено-против-возможности принуждения для проксирования, перехвата TLS, сканирования тела запроса, Browser Shield, обёртки MCP, целостности двоичных файлов MCP, происхождения инструментов, file_sentry, Sentry и сигналов границ развёртывания. |
| **Блокировка внедрения тела запроса** (v2.5) | Результаты выявления внедрения подсказок и критического DLP в теле запроса жёстко блокируют нецелевые назначения в режиме принуждения через прямые, обратные, TLS-перехват и WebSocket-транспорты с заголовками причины блокировки для видимой оператору диагностики. |
| **Политика запросов** (v2.6) | Разрешительные по умолчанию/запретные/предупредительные рельсы для исходящих операций API: сопоставление маршрута плюс предикаты операций GraphQL, рекурсия в конверты JSON `$batch`, закрытие с ошибкой на непарсируемых или непрозрачных телах и выполнение перед шлюзом контракта. См. [руководство по политике запросов](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/request-policy.md). |
| **Перехват TLS** | Опциональный MITM туннеля CONNECT: расшифровка, сканирование тел/заголовков/ответов, повторное шифрование. `pipelock tls init` генерирует CA, затем `pipelock tls install-ca` выводит шаги установки в хранилище доверия платформы. |
| **Подсказки блокировки** | Опциональное `explain_blocks: true` добавляет предложения по исправлению к заблокированным ответам. |
| **Аудит проекта** | `pipelock audit ./project` сканирует на предмет угроз безопасности и генерирует адаптированную конфигурацию. |
| **Оценка конфигурации** (v2.6) | `pipelock audit score --config pipelock.yaml` оценивает состояние безопасности по 23 категориям с бюджетом в 170 баллов и буквенной оценкой. |
| **Целостность файлов** | Манифесты SHA256 обнаруживают изменённые, добавленные или удалённые файлы рабочей области. |
| **Защита Git** | `git diff \| pipelock git scan-diff` ловит секреты перед коммитом. |
| **Подпись Ed25519** | Управление ключами, подпись файлов и верификация подписи для многогаентного доверия. |
| **Профилирование сессий** | Поведенческий анализ на сессию для всплесков доменов и скачков объёма. |
| **Адаптивное принуждение** | Оценка угрозы на сессию с эскалацией от предупреждения до блокировки, таймеры деэскалации и обнаружение всплесков доменов. |
| **Адаптивный CLI оператора** (v2.5) | `pipelock adaptive status / flush / whoami` предоставляет состояние адаптивного выполнения во время выполнения через аутентифицированный API администратора. См. [`docs/cli/adaptive.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/adaptive.md). |
| **Подавление находок** | Заглушение известных ложных срабатываний через правила конфигурации или встроенные комментарии `pipelock:ignore`. |
| **Поддержка нескольких агентов** | Идентификация агента через заголовок `X-Pipelock-Agent` для фильтрации по агенту. |
| **Мониторинг флота** | Прометеевские метрики на экземпляр плюс готовая к импорту [панель Grafana](https://github.com/luckypipewrench/pipelock/blob/HEAD/configs/grafana-dashboard.json). Бесплатный мониторинг одного экземпляра, отличный от Conductor. |
| **Панель оператора** (v3.1, Pro/Enterprise) | `pipelock dashboard serve` предоставляет доступные только для чтения обзоры: Обзор, Свидетельства, Исключения, Агенты, Бюджеты, Доверие и ключи, Флот, Рабочее место и Инциденты с аутентификацией по токену, OIDC или mTLS, ограниченным RBAC, повышенным уровнем сырого просмотра, резервным копированием/восстановлением, записями жизненного цикла исключений и сертификатами покрытия. См. [`docs/cli/dashboard.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/dashboard.md). |
| **Бесплатное средство просмотра свидетельств** (v3.1) | `pipelock evidence serve` обслуживает один выбранный сеанс самописца как HTML-отчёт только для чтения без лицензии и без перечисления агентов. `pipelock evidence verify-cert` проверяет выданные Pro сертификаты покрытия офлайн. |
| **Conductor: плоскость управления флотом** (v2.7, Enterprise) | Подписанное распространение пакетов политик, подписанный приёмник свидетельств аудита (`pipelock fleet-sink`), регистрация, удалённое отключение, откат политик, сухой прогон, повторное воспроизведение решений и предварительная проверка дрейфа состояния выполнения/применения через mTLS/SPIFFE. Ограничен функцией лицензии `fleet`; поведение при устаревшей политике явное и по умолчанию строгий запрет. См. [руководство по Conductor](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/conductor.md). |
| **A2A сканирование** | Обнаружение отравления карт агентов, мониторинг дрейфа карт и предотвращение контрабанды сессий для протокола Google Agent-to-Agent на прямых/MCP путях. |
| **Поведенческий базовый уровень** | Профилирование-затем-блокировка поведения MCP-инструментов с помощью `pipelock baseline list/show/ratify/forget` для одобрения оператором и переобучения. См. [`docs/cli/baseline.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/baseline.md). |
| **Защита от истощения средств** | Бюджеты MCP на агента для общего количества вызовов инструментов, повторных попыток одного инструмента, обнаружения циклов/петель и времени выполнения по стене. |
| **Эскалация заражения** | Повышение политики на основе экспозиции через границы MCP и задач до восстановления доверия. |
| **Обёртка посредничества** | Метаданные боковой полосы RFC 8941 в пересылаемых HTTP-запросах и MCP `_meta` с входящей верификацией, защитой от повторного воспроизведения, форматом субъекта SPIFFE и каталогом ключей подписи RFC 9421. См. [руководство по федерации](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md). |
| **Соответствие квитанций** | Кроссимплементационный набор верификации квитанций (`sdk/conformance/`) через независимые реализации Go, TypeScript, Rust и Python, плюс браузерная поверхность wasm на основе Go. `EvidenceReceipt v2` использует канонизацию RFC 8785/JCS. Оценка AARP/SVID остаётся на стороне офлайн-верификатора. |
| **Изучай-и-блокируй** (v2.4) | Поведенческие контракты на агента: наблюдайте за трафиком, компилируйте подписанный проект контракта, воспроизводите захваченные наблюдения в тени, ратифицируйте по правилу, продвигайте подписанный активный манифест и принудительно применяйте к транспортам с URL-адресами плюс вызовы MCP инструментов. См. [руководство по learn-and-lock](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/learn-and-lock.md). |
| **Заголовок причины блокировки** (v2.4) | `X-Pipelock-Block-Reason` на путях блокировки, поддерживающих HTTP, с тем же словарём причин в метаданных ошибок MCP JSON-RPC. См. [Заголовок причины блокировки](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/block-reason-header.md). |
| **Сторожевой таймер обнаружения сбоя** (v2.4) | `health_watchdog` возвращает `/health` 503, когда пульс подсистемы становится устаревшим. См. [руководство по конечной точке health](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/health.md). |
| **Форма плагина провайдера редактирования** (v2.4) | Сторонние парсеры редактирования для API чата Anthropic, OpenAI и Gemini с формой плагина провайдера для парсеров от третьих лиц. |
| **Схема пакета аудита v0 + верификаторы** (v2.5) | Первая сторона канонической схемы пакета аудита с реализациями верификаторов Go, TypeScript и Rust, плюс отдельный CLI [`pipelock-verifier`](https://github.com/luckypipewrench/pipelock/blob/HEAD/cmd/pipelock-verifier/). Схема находится в [`sdk/audit-packet/`](https://github.com/luckypipewrench/pipelock/blob/HEAD/sdk/audit-packet/); пакеты верификаторов — в [`sdk/verifiers/`](https://github.com/luckypipewrench/pipelock/blob/HEAD/sdk/verifiers/). |
| **Жизненный цикл изоляции хоста** (v2.5) | `pipelock contain install / run / verify / rollback / add-tool / grant-workspace / revoke-workspace / ca-refresh` управляет моделью изоляции с 3 UID. См. [`docs/contain-cli.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/contain-cli.md). |
| **Манифесты целостности MCP** (v2.5) | `pipelock mcp integrity manifest generate / verify / sign / verify-signature` закрепляет двоичные файлы/скрипты сервера MCP по хэшу и может требовать доверенную подпись манифеста перед запуском подпроцесса. См. [`docs/cli/mcp-integrity.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/mcp-integrity.md). |
| **Контракт лаунчера MCP в Kubernetes** (v2.5) | `pipelock init sidecar --mcp-upstream` выдает конфигурацию сопутствующего слушателя, порт сервиса, аннотации рабочей нагрузки, правило NetworkPolicy, `PIPELOCK_MCP_PROXY_URL` и смонтированный `PIPELOCK_MCP_CONFIG`. См. [`docs/cli/init-sidecar.md`](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/cli/init-sidecar.md). |
| **Строгий режим федерации** (v2.5) | Входящая верификация обёртки посредничества требует по умолчанию субъектов формата SPIFFE, контрактные надгробия применяются, и `pipelock envelope trust add/list/remove/verify` управляет локальным доверием. См. [руководство по федерации](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/federation.md). |
| **Политика медиа** | Удаляет стеганографические метаданные из JPEG/PNG, отклоняет аудио/видео по умолчанию, укрепляет активное содержимое SVG и устанавливает ограничения размера изображений. См. [Медиа-политика](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/media-policy.md). |
| **Карты соответствия** | OWASP MCP Top 10, OWASP Agentic Top 15, OWASP LLM Top 10, NIST 800-53, EU AI Act и карты закупок/аудита. |

</details>

---

## Бесплатно, Pro и Enterprise

Все детектирование, принуждение, изоляция и одноагентные свидетельства бесплатны навсегда под лицензией Apache 2.0. Платные уровни добавляют координацию нескольких агентов (Pro) и управление флотом плюс соответствие (Enterprise).

| Возможность | Free | Pro | Enterprise |
|---|:--:|:--:|:--:|
| Сканирование и обнаружение (упорядоченный конвейер URL, DLP, внедрение, SSRF, потоковое SSE, редактирование, защита адресов) | Yes | Yes | Yes |
| Сканирование MCP и A2A (ввод, ответ, политика инструментов, цепочка инструментов, отравление, целостность, аутентифицированные слушатели) | Yes | Yes | Yes |
| Изоляция, песочница, `contain` на хосте, 6-источниковый аварийный выключатель | Yes | Yes | Yes |
| Квитанции действий, бортовой самописец, якоря, бесплатное средство просмотра свидетельств, `verify-cert`, отдельный верификатор | Yes | Yes | Yes |
| Канареечные токены, skill-scan, `explain`, одноэкземплярный Prometheus и Grafana | Yes | Yes | Yes |
| Профили на агента: идентичность, бюджеты, изоляция конфигурации и сканера, песочница на агента | No | Yes | Yes |
| Маршрутизация на агента по CIDR источника и сетевому селектору | No | Yes | Yes |
| Панель оператора: Обзор, Свидетельства, Исключения, Агенты, Бюджеты, Доверие и ключи | No | Yes | Yes |
| Сертификаты покрытия на агента | No | Yes | Yes |
| Юридическое удержание и метаданные соответствия | No | Yes | Yes |
| Плоскость управления флотом Conductor, приёмник аудита `fleet-sink`, удалённое отключение, откат, повторное воспроизведение решений, предварительная проверка дрейфа | No | No | Yes |
| Регистрация последователей mTLS и подписанное распространение политик, верифицированное списком участников | No | No | Yes |
| Представления флота панели: Флот, Рабочее место, Инциденты | No | No | Yes |

Подписанный отчёт `pipelock assess` является отдельным правом `assess`, независимым от Pro и Enterprise. Бесплатная оценка assess не изменилась.

---

## Как это работает

Pipelock использует **разделение возможностей**: в принудительном развёртывании процесс агента имеет секреты, но не имеет прямого доступа к сети. Pipelock имеет сетевой доступ, но не секреты агента. Даже если агент подвергнется инъекции подсказок, он не сможет добраться до элементов управления брандмауэра.

Три режима HTTP-прокси (один и тот же порт), плюс выделенный MCP-прокси и инспекция A2A на прямом и MCP путях:

- **Fetch-прокси** (`/fetch?url=...`): Получает URL, извлекает текст, сканирует на внедрение, возвращает чистое содержимое.
- **Прямой прокси** (`HTTPS_PROXY`): Стандартное туннелирование HTTP CONNECT без изменения кода приложения. Настройка прокси всё ещё требуется. Опциональный перехват TLS позволяет сканировать полезную нагрузку.
- **WebSocket-прокси** (`/ws?url=ws://...`): Двунаправленное сканирование кадров с DLP + обнаружением внедрения.
- **MCP-прокси** (`pipelock mcp proxy`): Обёртка stdio- или HTTP-серверов MCP с двунаправленным сканированием.
- **A2A инспекция**: Инспектирует трафик протокола Google Agent-to-Agent по мере его прохождения через прямой и MCP пути.

![Разделение возможностей Pipelock: трафик агента сканируется брандмауэром перед достижением интернет-сервисов](https://raw.githubusercontent.com/luckypipewrench/pipelock/HEAD/docs/assets/how-it-works.svg)

<details>
<summary>Текстовая диаграмма (для терминалов)</summary>```
┌──────────────────────────────────────────────────────────┐
│ PRIVILEGED ZONE                                          │
│                                                          │
│ AI Agent                                                 │
│ - API keys, credentials, private code and context        │
│ - Network-isolated by deployment                         │
└────────────────────────────┬─────────────────────────────┘
                             │ mediated request
                             │ fetch / CONNECT / WS / MCP / A2A
                             ▼
┌──────────────────────────────────────────────────────────┐
│ FIREWALL ZONE                                            │
│                                                          │
│ Pipelock Agent Firewall                                  │
│ - Destination: URL, SSRF, and DNS checks                 │
│ - Data: DLP, secret detection, and budgets               │
│ - Content: prompt injection and tool poisoning           │
│ - Policy: allow, block, or redact                        │
│ - No agent secrets                                       │
└────────────────────────────┬─────────────────────────────┘
                             │ approved request
                             ▼
┌──────────────────────────────────────────────────────────┐
│ INTERNET                                                 │
│                                                          │
│ Web APIs, websites, MCP servers, tools, and A2A services │
└──────────────────────────────────────────────────────────┘

Internet -- response --> Pipelock -- scanned content --> AI Agent

| Предустановка CLI | Режим | Действие | Наилучшее применение |
|------------|------|--------|----------|
| `balanced` | balanced | warn | Общего назначения (по умолчанию) |
| `strict` | strict | block | Высокая безопасность, регулируемые отрасли |
| `audit` | audit | warn | Только оценка, логирование |
| `claude-code` | balanced | block | Claude Code без наблюдения |
| `cursor` | balanced | block | Cursor IDE |
| `generic-agent` | balanced | warn | Новые агенты во время настройки |
| `hostile-model` | strict | block | Модели без цензуры/аблятированные модели |

Изменения конфигурации подхватываются через file watcher или SIGHUP. Полная справка: **[docs/configuration.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/configuration.md)**

Для настройки ложных срабатываний: **[docs/false-positive-tuning.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/false-positive-tuning.md)**

---

## Руководства по интеграции

- **[Claude Code](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/claude-code.md):** Настройка прокси MCP, конфигурация `.claude.json`
- **[OpenAI Codex](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/codex.md):** Обёртывание прокси MCP, прямой прокси, интеграция с песочницей
- **[Cline](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/cline.md):** Обёртывание прокси MCP для `mcp.json` Cline
- **[OpenCode](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/opencode.md):** Обёртывание прокси MCP для локальных и удалённых MCP-серверов OpenCode
- **[Zed](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/zed.md):** Обёртывание прокси MCP для блока `context_servers` в `settings.json` Zed
- **[OpenAI Agents SDK](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/openai-agents.md):** `MCPServerStdio`, многоагентная передача
- **[Google ADK](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/google-adk.md):** `McpToolset`, `StdioConnectionParams`
- **[AutoGen](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/autogen.md):** `StdioServerParams`, `mcp_server_tools()`
- **[CrewAI](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/crewai.md):** `MCPServerStdio` обёртывание, `MCPServerAdapter`
- **[LangGraph](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/langgraph.md):** `MultiServerMCPClient`, `StateGraph`
- **[Hermes](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/hermes.md):** полное покрытие плагинами или более лёгкое обёртывание только MCP для агента Nous Research, с сохранением auth-header sidecar
- **[JetBrains/Junie](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/jetbrains.md):** Обёртывание прокси MCP для IntelliJ, PyCharm, GoLand ([walkthrough](https://pipelab.org/learn/jetbrains-integration/))
- **Cursor:** `pipelock cursor install` регистрирует Pipelock как хук Cursor для выполнения команд оболочки, вызовов инструментов MCP и чтения файлов; используйте `--config`, чтобы встроить проверенный путь политики, и `pipelock cursor remove`, чтобы удалить управляемые Pipelock хуки. Вы также можете использовать `configs/cursor.yaml` с тем же шаблоном прокси MCP, что и [Claude Code](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/claude-code.md) ([walkthrough](https://pipelab.org/learn/cursor-integration/))
- **VS Code:** `pipelock vscode install` перезаписывает `.vscode/mcp.json`, направляя каждый MCP-сервер через прокси MCP; `--global` нацелен на пользовательский `mcp.json`
- **[OpenClaw](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/guides/openclaw.md):** шлюзовой sidecar, init-контейнер, обёртывание конфигурации
- **Любой другой MCP-клиент:** `pipelock generate mcporter` читает любой JSON-файл с объектом верхнего уровня `mcpServers` и обёртывает каждый сервер через прокси Pipelock, так что клиент, не входящий в приведённый выше список, всё равно проходит сканирование одной командой.

## Развёртывание```bash
# Docker
docker pull ghcr.io/luckypipewrench/pipelock:latest
docker run -p 8888:8888 -v ./pipelock.yaml:/config/pipelock.yaml:ro \
  ghcr.io/luckypipewrench/pipelock:latest \
  run --config /config/pipelock.yaml --listen 0.0.0.0:8888

# Network-isolated agent with Docker Compose
pipelock generate docker-compose --agent claude-code -o docker-compose.yaml
docker compose up

# Kubernetes with Helm
helm install pipelock charts/pipelock/

Действие загружает предварительно собранный бинарный файл, запускает `pipelock audit`, сканирует diff пул-реквеста на наличие утекших секретов и загружает отчет аудита как артефакт рабочего процесса. Смотрите [`examples/ci-workflow.yaml`](https://github.com/luckypipewrench/pipelock/blob/HEAD/examples/ci-workflow.yaml) для полного рабочего процесса.

### Запускаемая демонстрация: Инъекция ответа инструмента

Оснастка [`examples/tool-response-injection/`](https://github.com/luckypipewrench/pipelock/blob/HEAD/examples/tool-response-injection/) запускает сквозную демонстрацию, в которой MCP-инструмент с безобидным именем и описанием скрывает полезную нагрузку инъекции подсказки в своем ответе. Pipelock блокирует ответ до того, как он достигнет агента, и генерирует подписанные квитанции о действиях, которые могут быть проверены третьей стороной. Та же демонстрация запускается для трех транспортов с одним общим ключом подписи:

- MCP stdio
- MCP HTTP upstream
- HTTP fetch```bash
cd examples/tool-response-injection
python3 demo.py    # needs python3 + cryptography + pipelock on PATH

Пакеты правил подписаны и зафиксированы по версии. Полный жизненный цикл — это поставляемая команда, а не редактирование конфигурации:```bash
pipelock rules list                    # what is installed
pipelock rules diff pipelock-community # what a new version would change
pipelock rules update pipelock-community
pipelock rules verify                  # confirm signatures against the trusted keyring
pipelock rules remove pipelock-community

---

## Тестирование

Pipelock тестируется как продукт безопасности. Ядро с открытым исходным кодом включает модульные, интеграционные и сквозные тесты. Отдельный частный набор враждебных тестов проверяет классы атак на производственный бинарный файл. Каждый успешный обход становится регрессионным тестом перед выпуском.

| Метрика | Значение |
|--------|-------|
| Go тесты (с `-race`) | Модульные, интеграционные и сквозные пути |
| Порог покрытия (codecov) | 91% проекта ядра Apache-2.0, 95% для патчей на новом коде |
| Покрытие обходов | Публичная матрица устойчивости к обходам + частный враждебный корпус |
| Накладные расходы горячего пути сканера | ~40us на сканирование URL (бенчмарк горячего пути; см. [docs/performance.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/performance.md)) |
| Матрица CI | Go 1.25 + 1.26, CodeQL, golangci-lint |
| Цепочка поставок | SLSA provenance, CycloneDX SBOM, подписи cosign |

Запустите `make test` для локальной проверки. Независимый бенчмарк: публичный корпус [agent-egress-bench](https://github.com/luckyPipewrench/agent-egress-bench). Смотрите [результаты в реальном времени](https://pipelab.org/gauntlet/).

---

## Благодарности

- Архитектура под влиянием [песочницы Claude Code от Anthropic](https://www.anthropic.com/engineering/claude-code-sandboxing) и [sandbox-runtime](https://github.com/anthropic-experimental/sandbox-runtime)
- Модель угроз, основанная на [OWASP Agentic AI Top 10](https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/)
- Смотрите [docs/comparison.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/docs/comparison.md) для сравнения Pipelock с другими инструментами в этой области
- Вклад в аудит безопасности от Dylan Corrales

Приветствуются вклады. Смотрите [CONTRIBUTING.md](https://github.com/luckypipewrench/pipelock/blob/HEAD/CONTRIBUTING.md) для руководства.

Если Pipelock полезен, пожалуйста, [поставьте звезду этому репозиторию](https://github.com/luckyPipewrench/pipelock). Это поможет другим найти проект.

---

## Лицензия

Ядро Pipelock лицензировано под **Apache License 2.0**. Авторские права 2026 Joshua Waldrep.

Многоагентные функции (идентификация на агента, бюджеты и изоляция конфигурации) находятся в каталоге `enterprise/`, ограничены тегом сборки `enterprise` и лицензированы под **Elastic License 2.0 (ELv2)**. Эти функции активируются с действующим лицензионным ключом.

Ядро с открытым исходным кодом работает независимо без платных функций. Всё сканирование, обнаружение и защита одного агента бесплатны.

Предварительно собранные артефакты релизов (Homebrew, релизы GitHub, образы Docker) включают код платного уровня, который активируется с действующим лицензионным ключом. Сборка из исходников с помощью `go install` или `Dockerfile` репозитория создаёт бинарник только для сообщества.

Смотрите [LICENSE](https://github.com/luckypipewrench/pipelock/blob/HEAD/LICENSE) для текста Apache 2.0 и [enterprise/LICENSE](https://github.com/luckypipewrench/pipelock/blob/HEAD/enterprise/LICENSE) для текста ELv2.