Securekit

# Securekit

**Securekit защищает то, что выполняют ваши модели — в любой ИИ-системе.**

Securekit — это **протокол-агностическое ядро безопасности для выполнения инструментов ИИ**.  
Оно располагается между любой LLM или агентной системой и используемыми ими инструментами, обеспечивая **выполнение с нулевым доверием, песочную изоляцию и управление на основе политик**.

Оно спроектировано как **готовое к внедрению, модульное и расширяемое**, работающее с MCP, вызовом инструментов OpenAI и пользовательскими агентными фреймворками.

---

# 🧠 Зачем существует Securekit

Современные ИИ-системы больше не просто генерируют текст — они выполняют действия:

- чтение и запись файлов  
- вызов внешних API  
- запуск кода  
- запуск рабочих процессов  
- взаимодействие с системами и сетями  

Это создаёт критический риск:

> Каждый вызов инструмента — это потенциальная поверхность атаки.

Securekit внедряет **универсальный уровень безопасности выполнения**, который обеспечивает контроль до выполнения любого действия.

---

# 🧱 Обзор архитектуры

```text
LLM / Агентная система
        ↓
Уровень протокольных адаптеров
(MCP / OpenAI / Пользовательский / Будущие протоколы)
        ↓
Ядро Securekit
- Механизм политик
- Система возможностей
- Межсетевой экран для промптов
- Механизм оценки рисков
- Классификатор намерений
- Межсетевой экран потоков данных
- Аудит и квитанции
        ↓
Оркестратор песочниц
(gVisor / Firecracker / Docker / WASM)
        ↓
Уровень контролируемого выполнения
(Файловая система / Сеть / Границы системы)
```
# ⚙️ Полный список функций

## 🔌 Протокол-агностический дизайн
- Работает с любой ИИ-системой или агентным фреймворком
- Адаптерный уровень, совместимый с MCP
- Поддержка вызова инструментов/функций OpenAI
- Интерфейс пользовательских протокольных адаптеров
- Перспективный уровень абстракции протоколов

---

## 🛡️ Механизм политик с нулевым доверием
- Каждый вызов инструмента проверяется до выполнения
- Декларативные правила политик
- Многоуровневое наследование политик (глобальная, организационная, проектная, сессионная)
- Модель безопасности «запрещено по умолчанию»

---

## 🧩 Система возможностей
- Ограниченные по времени разрешения (доступ на основе TTL)
- Ограниченные возможности инструментов
- Отзываемые права выполнения
- Детальный контроль доступа к инструментам

---

## 🧠 Межсетевой экран для инъекций в промпты
- Обнаруживает попытки переопределения инструкций
- Нейтрализует скрытые или вредоносные команды в выводах инструментов
- Защищает от цепочек косвенных инъекций в промпты
- Очищает недоверенный контент, сгенерированный моделями

---

## 🌐 Межсетевой экран потоков данных
- Контролирует перемещение данных между инструментами
- Предотвращает небезопасные цепочки выводов
- Блокирует паттерны эксфильтрации между инструментами
- Применяет правила маршрутизации данных на основе рисков

---

## 🧪 Механизм симуляции выполнения
- Симулирует выполнение инструмента перед его запуском
- Прогнозирует нарушения политик
- Предотвращает небезопасные действия до выполнения
- Режим пробного запуска для операций с высоким риском

---

## 📊 Система доверия и репутации
- Динамическая оценка доверия для каждого инструмента
- Поведенческий анализ с течением времени
- Автоматическое снижение уровня риска для подозрительных инструментов
- Адаптивные ограничения выполнения на основе доверия

---

## 🧯 Аварийный выключатель и режим изоляции
- Мгновенная остановка выполнения при обнаружении аномалий
- Режим изоляции сессии
- Автоматический отзыв привилегий
- Выполнение с откатом в безопасное состояние

---

## 🧾 Квитанции выполнения (система аудита)
- Криптографически отслеживаемые журналы выполнения
- Хеширование входных/выходных данных
- Отслеживание решений политик
- Метаданные выполнения в песочнице
- Полная судебная прослеживаемость

---

## 🔐 Уровень выполнения в песочнице
- Поддержка песочницы gVisor (по умолчанию)
- Изоляция виртуальных машин Firecracker (режим повышенной безопасности)
- Выполнение в контейнерах Docker (режим совместимости)
- Поддержка среды выполнения WASM (лёгкое выполнение)
- Полностью изолированные файловые системы и сетевые среды

---

## 🧭 Система классификации намерений
- Классифицирует намерение использования инструмента:
  - извлечение данных
  - изменение системы
  - внешняя коммуникация
  - неизвестное поведение
- Применение политик на основе типа намерения

## Модуль системы классификации намерений

Включите интеллектуальную безопасность с учётом намерений через координированный многогагентный анализ, который оценивает *почему* инструмент вызывается до его выполнения. Вместо того чтобы полагаться только на имена инструментов или запрошенные действия, специализированные агенты сотрудничают для классификации намерения выполнения, оценки риска и применения политик безопасности на основе предполагаемого результата.

### Возможности

- Многогагентная классификация намерений
- Обнаружение извлечения данных
- Обнаружение изменения системы
- Обнаружение внешней коммуникации
- Обнаружение неизвестного или неоднозначного поведения
- Оценка уверенности в намерении
- Контекстно-зависимый анализ намерений
- Проверка консенсуса между агентами
- Применение политик на основе классифицированного намерения
- Проверка возможностей с учётом намерения
- Автоматическая эскалация при неопределённом намерении
- Обнаружение аномалий намерений
- Сравнение намерений с историческими данными
- Журналирование аудита намерений
- Настраиваемые таксономии намерений
- Пользовательские плагины классификации намерений
- Поддержка многоярлыковых намерений
- Разрешение конфликтов намерений
- Адаптивные точки обучения для будущих классификаторов
- Мониторинг намерений в реальном времени
- Объяснимые решения классификации
- Интеграция с механизмом политик и средствами контроля песочницы

### Многогагентный рабочий процесс

1. **Агент анализа запроса**
   - Разбирает входящий запрос инструмента.
   - Извлекает контекстные метаданные и цели выполнения.

2. **Агент классификации намерений**
   - Определяет наиболее вероятное намерение выполнения.
   - Присваивает оценки уверенности одной или нескольким категориям намерений.

3. **Агент проверки контекста**
   - Анализирует историю разговора, состояние рабочего процесса и предыдущие действия.
   - Обнаруживает несоответствия или подозрительный контекст.

4. **Агент оценки рисков**
   - Оценивает последствия классифицированного намерения для безопасности.
   - Выявляет поведение с высоким риском или неожиданное поведение.

5. **Агент применения политик**
   - Применяет политики безопасности с учётом намерения.
   - Проверяет разрешения, возможности и ограничения выполнения.

6. **Агент консенсуса**
   - Разрешает разногласия между агентами классификации и проверки.
   - Формирует окончательное проверенное решение о намерении.

7. **Агент аудита**
   - Записывает результаты классификации, уровни уверенности, решения политик и результаты выполнения для судебного анализа.

### Поддерживаемые категории намерений

- Извлечение данных
- Изменение системы
- Внешняя коммуникация
- Неизвестное поведение
- Пользовательские намерения, определённые администратором

### Преимущества

- Предотвращает выполнение, основанное исключительно на предположениях, сгенерированных моделью
- Обнаруживает вредоносные или неожиданные поведенческие паттерны
- Улучшает принятие решений с нулевым доверием
- Снижает влияние атак с инъекцией в промпты
- Обеспечивает детальное применение политик
- Предоставляет объяснимые решения безопасности
- Повышает аудируемость и соответствие требованиям
- Поддерживает протокол-агностическую безопасность ИИ в любой LLM или агентной системе

---

## 🌍 Сетевые средства контроля безопасности
- Запрет исходящего сетевого доступа по умолчанию
- Списки разрешённых доменов/IP
- Сетевые политики для конкретных инструментов
- Необязательная проверка на уровне запросов
- Эвристики обнаружения эксфильтрации

---

## 🔁 Уровень кросс-протокольной трансляции
- Взаимодействие инструментов MCP ↔ OpenAI
- Унифицированная модель выполнения между фреймворками
- Конвертация протоколов на основе адаптеров
- Встроенная совместимость с будущими протоколами

---

## 🧩 Архитектура плагинов
- Расширяемый конвейер безопасности
- Пользовательские модули межсетевых экранов
- Плагины оценки рисков
- Модули соответствия и управления
- Расширения безопасности для предметных областей

---

## 🔁 Симуляция выполнения и режим предпросмотра
- Предварительный анализ всех вызовов инструментов
- Предпросмотр влияния политик
- Безопасная оценка операций с высоким риском

---

## 🔐 Криптографическое подписание политик
- Применение подписанных политик
- Проверка конфигурации, защищённая от взлома
- Безопасное распространение политик для команд и предприятий

---

## 📈 Панель наблюдаемости (планируется)
- Графы выполнения инструментов
- Трассировка решений политик
- Мониторинг активности песочниц
- Тепловые карты рисков
- Хронология событий безопасности

---
# 🧩 Философия дизайна

> Ни одна ИИ-система не должна напрямую выполнять, получать доступ или взаимодействовать, не проходя через проверяемое ядро безопасности.

Securekit обеспечивает:

- Нулевое неявное доверие  
- Контролируемые границы выполнения  
- Полную аудируемость всех действий инструментов  
- Независимость от протоколов (MCP, OpenAI, пользовательские агенты, будущие системы)  
- Расширяемую архитектуру безопасности на основе плагинов  

Система спроектирована как **субстрат безопасности для агентного ИИ**, а не как обёртка приложения.

---

# 🚀 Установка (скоро)

Securekit в настоящее время находится на ранней стадии проектирования.  
Эталонные реализации будут предоставлены для:

- Python SDK  
- Node SDK  
- Основная среда выполнения на Rust  
- Инструменты командной строки  
- Развёртывание в Docker  
- Режим сайдкара Kubernetes  

---

# 🤝 Вклад в проект

Вклад приветствуется.

Пожалуйста, убедитесь, что все вклады:
- соответствуют AGPL-3.0+  
- поддерживают принципы выполнения с нулевым доверием Securekit  
- следуют стандартам интерфейсов адаптеров и плагинов  
- не обходят уровни песочницы или применения политик  

---

## Лицензия на брендирование спецификаций (SBL)

### Стандартная
- Полностью совместимая с AGPL-3.0+ система
- Копилефт обязателен для сетевых развёртываний
- Требуемая атрибуция:
  - Roxanne Ardary
  - https://www.roxanneardary.com/

### Опциональная

- **Лицензия на брендирование спецификаций (SBL)**
  - Коммерческое развёртывание без атрибуции
  - Ценообразование на основе масштаба, использования и объёма развёртывания
  - [https://roxanneardary.com/securekit/](https://roxanneardary.com/securekit/)

---

# 📜 Лицензия и требования к уведомлениям

Securekit выпущен под **GNU Affero General Public License v3.0 или более поздней версией (AGPL-3.0+)**.   
Внося вклад в этот проект, вы соглашаетесь с тем, что ваши вклады также будут выпущены под этой лицензией.

Обратите внимание на следующее:

- Все вклады должны соответствовать условиям **AGPL-3.0+**.  
- В соответствии с **Разделом 7** лицензии, все повторные распространения, форки и производные работы должны сохранять атрибуцию:  
  **Roxanne Ardary** и **[roxanneardary.com](https://www.roxanneardary.com/)**.  
- Спецификации Securekit можно свободно использовать с указанием атрибуции. Лицензия на брендирование спецификаций может быть согласована по запросу.
- Файл проекта **notice.md** отслеживает требования к атрибуции и подтверждения участников.  
  Любое обновление, добавляющее новых участников или изменяющее атрибуцию, должно также обновлять `notice.md`.  
- При отправке pull request убедитесь, что любые новые файлы сохраняют заголовки атрибуции, где это применимо.
- Сетевые версии этого программного обеспечения также должны оставаться полностью совместимыми с AGPL-3.0+, включая раскрытие изменений исходного кода, когда это применимо по лицензии.

Для полных юридических деталей обратитесь к лицензии AGPL-3.0+ и файлу проекта `notice.md`.

---

# 🛡️ Резюме

Securekit — это **протокол-агностическое ядро безопасности для выполнения инструментов ИИ**, которое обеспечивает:

- Применение нулевого доверия  
- Изолированные среды выполнения в песочницах  
- Обнаружение угроз с учётом ИИ  
- Кросс-протокольную совместимость  
- Полную аудируемость выполнения  

Оно функционирует как **универсальный уровень безопасности для агентных ИИ-систем**, гарантируя, что ни одна модель не сможет выполнять инструменты, не проходя через проверяемую плоскость управления.  

**Open Arsenal Hub**  
[https://gitlab.com/Roxanne_Ardary/open-arsenal-specs](https://gitlab.com/Roxanne_Ardary/open-arsenal-specs)