🌍 Английский | 日本語 | 简体中文 | 한국어

Agent Governance Toolkit

Отправляйте агентов в продакшн не теряя сна

🚀 Быстрый старт · 📋 Спецификации · 📦 PyPI · 📝 Журнал изменений

[

[!IMPORTANT] Публичная предварительная версия — релизы публичной предварительной версии производственного качества. Возможны критические изменения до GA.

Применение политик, идентификация, изоляция (sandboxing) и SRE для автономных AI-агентов. Один pip install, любой фреймворк.

Проблема

Ваши AI-агенты вызывают инструменты, просматривают веб-страницы, выполняют запросы к базам данных и делегируют задачи другим агентам. После развертывания они принимают решения автономно. Вам нужны ответы на три вопроса:

1. Разрешено ли это действие? Агент с доступом к send_email и query_database не должен иметь возможность выполнить drop_table. Области OAuth и роли IAM контролируют, к каким сервисам агент может подключиться, но не то, что он делает после подключения.

2. Какой агент это сделал? В многолетной системе пять агентов могут использовать один общий API-ключ. Когда что-то идет не так, ответ «это сделал какой-то агент» не является инцидент-реагированием.

3. Можете ли вы доказать, что произошло? Аудиторы и регуляторы требуют защищенных от подделки записей каждого решения: какая политика была активна, что запросил агент и почему действие было разрешено или отклонено.

Безопасность на уровне подсказок («пожалуйста, следуй правилам») не является поверхностью контроля. Это вежливая просьба к стохастической системе. OWASP LLM01:2025 утверждает это явно: «неясно, существуют ли надежные методы предотвращения инъекций подсказок». Опубликованные цифры это подтверждают. Andriushchenko et al. (ICLR 2025) сообщают о 100% уровне успеха атак на GPT-4o, GPT-3.5, Claude 3 и Llama-3 при использовании адаптивных атак с доступом к logprob и оптимизацией суффиксов, оцененных по бенчмарку JailbreakBench (Chao et al., NeurIPS 2024). Собственный AI Red Teaming Agent от Microsoft формализует Attack Success Rate (ASR) — долю нарушений политик при adversarial-вводе — как каноническую метрику для этого класса сбоев. Lessons from Red Teaming 100 Generative AI Products подчеркивает: «меры защиты не устраняют риск полностью», и red teaming должен быть непрерывным процессом, поскольку защиты на уровне модели по своей природе вероятностны.

AGT не пытается выиграть эту битву внутри подсказки. Каждый вызов инструмента, отправка сообщения и делегирование перехватываются в детерминированном коде приложения до того, как намерение модели достигнет провода. Действия, которые отклоняет ядро AGT, не являются «маловероятными». Они структурно невозможны. В этом разница между просьбой к агенту вести себя правильно и невозможностью для него нарушить правила.

Быстрый старт

Предварительные требования: Python 3.10+```bash pip install agent-governance-toolkit[full]

Для Claude Code, добавьте AGT как маркетплейс плагинов и установите плагин управления:```text
/plugin marketplace add microsoft/agent-governance-toolkit
/plugin install agt-governance@agent-governance-toolkit

Управляйте любой функцией инструмента в две строки:```python from agentmesh.governance import govern

safe_tool = govern(my_tool, policy="policy.yaml") # every call checked, logged, enforced

Вот и всё. `safe_tool` оценивает вашу политику YAML при каждом вызове, записывает решение в журнал и вызывает исключение `GovernanceDenied`, если действие заблокировано.```yaml
# policy.yaml
apiVersion: governance.toolkit/v1
name: production-policy
default_action: allow
rules:
  - name: block-destructive
    condition: "action.type in ['drop', 'delete', 'truncate']"
    action: deny
    description: "Destructive operations require human approval"

  - name: require-approval-for-send
    condition: "action.type == 'send_email'"
    action: require_approval
    approvers: ["security-team"]

ВХОД:```python

safe_tool(action="read", table="users") {'table': 'users', 'rows': 42}

safe_tool(action="drop", table="users") GovernanceDenied: Action denied by policy rule 'block-destructive': Destructive operations require human approval

Или используйте полный API `PolicyEvaluator` для программного управления:

<details>
<summary><b>PolicyEvaluator пример</b></summary>```python
from agent_os.policies import (
    PolicyEvaluator, PolicyDocument, PolicyRule,
    PolicyCondition, PolicyAction, PolicyOperator, PolicyDefaults
)

evaluator = PolicyEvaluator(policies=[PolicyDocument(
    name="my-policy", version="1.0",
    defaults=PolicyDefaults(action=PolicyAction.ALLOW),
    rules=[PolicyRule(
        name="block-dangerous-tools",
        condition=PolicyCondition(
            field="tool_name",
            operator=PolicyOperator.IN,
            value=["execute_code", "delete_file"]
        ),
        action=PolicyAction.DENY, priority=100,
    )],
)])

result = evaluator.evaluate({"tool_name": "web_search"})    # Allowed
result = evaluator.evaluate({"tool_name": "delete_file"})   # Blocked

**.NET**```csharp
using AgentGovernance;
using AgentGovernance.Extensions.ModelContextProtocol;
using AgentGovernance.Policy;

var kernel = new GovernanceKernel(new GovernanceOptions
{
    PolicyPaths = new() { "policies/default.yaml" },
});
var result = kernel.EvaluateToolCall("did:mesh:agent-1", "web_search",
    new() { ["query"] = "latest AI news" });

// MCP server integration
builder.Services.AddMcpServer()
    .WithGovernance(options => options.PolicyPaths.Add("policies/mcp.yaml"));

**Go**```go
import agentmesh "github.com/microsoft/agent-governance-toolkit/agent-governance-golang"

client, _ := agentmesh.NewClient("my-agent",
    agentmesh.WithPolicyRules([]agentmesh.PolicyRule{
        {Action: "data.read", Effect: agentmesh.Allow},
        {Action: "*", Effect: agentmesh.Deny},
    }),
)
result := client.ExecuteWithGovernance("data.read", nil)

Инструменты CLI:```bash agt doctor # check installation agt verify # OWASP compliance check agt verify --evidence ./agt-evidence.json --strict # fail CI on weak evidence agt red-team scan ./prompts/ --min-grade B # prompt injection audit agt lint-policy policies/ # validate policy files

Полное пошаговое руководство: [quickstart.md](https://github.com/microsoft/agent-governance-toolkit/blob/HEAD/docs/quickstart.md) — от нуля до управляемых агентов за 5 минут.
🌍 Также на: [日本語](https://github.com/microsoft/agent-governance-toolkit/blob/HEAD/docs/i18n/quickstart.ja.md) | [简体中文](https://github.com/microsoft/agent-governance-toolkit/blob/HEAD/docs/i18n/quickstart.zh-CN.md) | [한국어](https://github.com/microsoft/agent-governance-toolkit/blob/HEAD/docs/i18n/quickstart.ko.md)

---

## Как Это Работает```
Agent ──► Policy Engine ──► Identity ──► Audit Log
            (YAML/OPA/Cedar)  (SPIFFE/DID/mTLS)  (Tamper-evident)
                 │                                      │
                 ├── Allowed ──► Tool executes           │
                 └── Denied  ──► GovernanceDenied        │
                                                        ▼
                                                 Decision Record

Каждый слой необязателен. Начните с govern() и добавляйте слои по мере роста вашего профиля риска. Большинство команд используют принудительное применение политик + аудит логирование и никогда не нуждаются в полном стеке.

Пакеты

Дополнительные возможности

Установка

Все пять языковых SDK реализуют базовое управление (политики, идентификация, доверие, аудит). Python имеет полный стек. Copilot CLI и Claude Code — это собственные поверхности разработчика, построенные на TypeScript SDK. См. Матрицу языковых пакетов для подробного покрытия по каждому языку.

Предварительные требования

• Python: 3.10+
• Node.js: 18+ / npm 9+ (TypeScript SDK)
• .NET: 8+
• Go: 1.25+
• Rust: 1.70+
• Необязательно: AZURE_CLIENT_ID, AZURE_TENANT_ID, AZURE_CLIENT_SECRET для функций, интегрированных с Azure

Поддержка фреймворков

Полный список: Интеграции фреймворков · Примеры быстрого старта

Примеры

Спецификации

Каждый крупный компонент имеет формальную спецификацию RFC 2119 с тестами на соответствие. Эти спецификации определяют поведенческий контракт: что реализации ДОЛЖНЫ, СЛЕДУЕТ и МОГУТ делать.

992 теста на соответствие гарантируют, что код соответствует спецификациям. 29 записей архитектурных решений документируют почему.

Соответствие стандартам

Безопасность

AGT обеспечивает управление на уровне ПО промежуточного слоя приложения, а не на уровне ядра ОС. Механизм политик и агенты находятся в одной границе процесса.

Рекомендация для продакшена: Запускайте каждого агента в отдельном контейнере для изоляции на уровне ОС. См. Архитектура: Границы безопасности.

См. Известные ограничения для честных границ проектирования и рекомендуемой многоуровневой защиты.

Документация

Участие в разработке

Руководство по участию · Сообщество · Discord · Политика безопасности · Журнал изменений

Используете AGT? Добавьте свою организацию в ADOPTERS.md.

Управление

Важные замечания

Если вы используете Agent Governance Toolkit для создания приложений, работающих со сторонними фреймворками или сервисами агентов, вы делаете это на свой страх и риск. Мы рекомендуем проверять все данные, передаваемые сторонним сервисам, и учитывать их практики хранения и размещения данных.

Официальные источники

Единственными официальными источниками Agent Governance Toolkit являются:

Команда проекта не поддерживает и не одобряет какие-либо сторонние веб-сайты, пакеты или сайты документации, которые утверждают, что являются официальными. Если вы столкнетесь с подозрительным сайтом или пакетом, использующим имя Agent Governance Toolkit, сообщите об этом через каналы, описанные в SECURITY.md.

Лицензия

Этот проект лицензирован по лицензии MIT.

Товарные знаки

Этот проект может содержать товарные знаки или логотипы проектов, продуктов или услуг. Авторизованное использование товарных знаков или логотипов Microsoft регулируется и должно следовать Руководству по товарным знакам и брендам Microsoft. Использование товарных знаков или логотипов Microsoft в модифицированных версиях этого проекта не должно вызывать путаницу или подразумевать спонсорство Microsoft. Любое использование товарных знаков или логотипов третьих сторон регулируется политиками этих третьих сторон.