关于 Skill、curl 和 git-clone 替代方案，以及 PEP 668 系统和密钥隐匿设置，请参阅[完整安装指南](https://github.com/prismorsec/prismor/blob/main/docs/installation.md)。

---

## 功能<a name="capabilities" />

![Prismor 架构](https://assets.kitploit.com/production/public/readmes/13903/0e84c7211b3275de581182b7f69c44d8224142323b43220dd1234eee17616757.png)

- 🛡️ [Prismor](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md) 涵盖策略引擎、会话日志、安全审计和 CLI 参考
- 📦 [供应链](https://github.com/prismorsec/prismor/blob/main/docs/supply-chain.md) 涵盖安装时强制执行、IOC 匹配和风险评分
- 🛜 [网络隔离](https://github.com/prismorsec/prismor/blob/main/docs/network-isolation.md) 涵盖策略驱动的出口控制、原始 IP 检测和隧道阻断
- 🔍 [Skill 扫描器](https://github.com/prismorsec/prismor/blob/main/docs/skill-scanner.md) 涵盖对受支持代理的 MCP 服务器和 Skill 风险扫描
- 🚦 [MCP 护栏](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md#custom-guardrails-for-mcp-tools) 让你用自己编写的策略规则来阻止特定的 MCP 服务器或工具，或要求代理调用前必须获得人工批准
- 🛰️ [MCP 网关](https://github.com/prismorsec/prismor/blob/main/docs/mcp-gateway.md) 是一个单一的 MCP 连接器，位于你使用的所有其他 MCP 服务器之前——每次 `tools/call` 在转发前都会经过策略评估，每个响应在模型看到之前都会进行注入扫描，因此被投毒的工具结果永远不会成为上下文。`prismor mcp-gateway install` 可将现有的 `.mcp.json` 迁移到其后方
- 🛤️ [LLM 代理](https://github.com/prismorsec/prismor/blob/main/docs/llm-proxy.md) 通过每个代理都具备的一样东西——其模型流量——来管控 Prismor 无法挂钩的代理。使用 `ANTHROPIC_BASE_URL`、`OPENAI_BASE_URL` 或 Google Gen AI SDK 的 `HttpOptions(base_url=...)` 将其指向 `prismor proxy`，代理的其他方面无需任何更改。模型*提议*的每次工具调用——Anthropic `tool_use`、OpenAI `tool_calls`、Gemini `functionCall`——都会被重塑为与 `Bash` 钩子产生的事件相同的事件，并由同一规则进行判定，流式调用会被暂缓直到可以判定
- [Claude 推理钩子](https://github.com/prismorsec/prismor/blob/main/docs/inference-hook.md) 使 Prismor 成为 Claude Enterprise 背后的 AI 安全服务器：Anthropic 将来自 claude.ai、Claude Code 和 Cowork 的每个受管控提示发送到 `prismor inference-hook serve`，该服务对转录内容运行你的策略，并在模型运行前回答允许/拒绝——签名请求（Standard Webhooks）、故障关闭、影子模式，用户设备上无需安装任何东西。`prismor inference-hook test` 发送签名样本帧以检查连接
- 🏷️ [工具标签](https://github.com/prismorsec/prismor/blob/main/docs/tool-tags.md) 按能力（读取、写入、网络、执行）对工具进行分类，因此规则可以说“任何读取私有数据的工具都不得同时访问网络”，而无需逐一列出每个工具——MCP 工具通过 `_meta` 自行声明，`prismor tags` 可列出、测试和检查规则表达式
- 🔐 [Sweep 与 Cloak](https://github.com/prismorsec/prismor/blob/main/docs/sweep-and-cloak.md) 涵盖工具边界处的密钥防护、实用设置、最佳实践、威胁模型以及泄露密钥的清理
- 🦞 [OpenClaw 集成](https://github.com/prismorsec/prismor/blob/main/docs/openclaw.md) 涵盖 OpenClaw 的运行时钩子、提示注入扫描以及项目或用户范围的设置
- 🤖 [Hermes 代理隐匿](https://github.com/prismorsec/prismor/blob/main/docs/hermes.md) 涵盖 Hermes 特有的密钥隐匿，包括 pip 入口点自动发现、文件系统安装和 pre_gateway_dispatch 粘贴防护
- ☁️ [托管代理虚拟机](https://github.com/prismorsec/prismor/blob/main/docs/cloud-agents.md) 管控在你从不登录的机器上运行的代理（Claude Code on the web、Cursor cloud agents、Copilot coding agent、OpenHands Cloud、Codex cloud、Replicas）：平台的安装脚本安装二进制文件，`install-hooks --portable` 写入可安全提交的钩子配置
- 🧠 [语义防护](https://github.com/prismorsec/prismor/blob/main/docs/semantic-guard.md)：可选的混合层，为改写型提示注入尝试添加 LLM 辅助的意图检查，这些尝试是正则规则无法捕获的
- 🪤 [Canary](https://github.com/prismorsec/prismor/blob/main/docs/canary.md) 植入蜜令牌凭据文件，代理一读取它们就会触发 CRITICAL 发现，从而捕获侦察行为
- 🪪 [IAM](https://github.com/prismorsec/prismor/blob/main/docs/iam.md) 在多个代理共享工作区时为每个代理提供命名身份和最小权限配置文件
- 🧩 [框架代理](https://github.com/prismorsec/prismor/blob/main/docs/frameworks-overview.md) 通过一次调用保护生产代理（OpenAI Agents SDK、Python 和 JS 中的 LangChain/LangGraph、CrewAI、browser-use、Pydantic AI、AutoGen Core、Agno、Semantic Kernel、Google ADK、BeeAI、Claude Agent SDK、Vercel AI SDK、Mastra）——将每个请求包装在 `use_subject("user:alice")` 中，多租户代理即可获得按用户归属、按用户 IAM 配置文件和按用户暂停
- 🎯 [作用域代理](https://github.com/prismorsec/prismor/blob/main/docs/scoped-agent.md) 为每个会话合成最小的、任务特定的规则，使注入的偏离任务的转向被阻止
- 🧬 [学习](https://github.com/prismorsec/prismor/blob/main/docs/learning.md) 挖掘会话历史以提出新规则、标记误报并检测规避
- ⚖️ [分层策略与豁免](https://github.com/prismorsec/prismor/blob/main/docs/policy-layers-and-exemptions.md) 涵盖按规则的观察/强制执行、不可覆盖的底线，以及跨组织/项目/仓库层的管理员授予的、限时的豁免
- 🔐 [显式强制执行选择与解锁窗口](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md#choosing-what-blocks) —— 强制执行设置从没有任何阻止开始，由你选择阻止集；`prismor allow` 做出狭窄的例外，`prismor unlock` 打开一个密码门控的、限时的窗口，代理可在其中编辑策略（绝不是保护 Prismor 自身的自我保护规则）
- 📡 [实时遥测](https://github.com/prismorsec/prismor/blob/main/docs/live-telemetry.md) 涵盖可选的企业控制平面链接——设备注册、签名远程策略，以及流式传输到自托管组织仪表板的脱敏遥测数据
- 🔌 [遥测接收器](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-sinks.md) 将每个发现转发到你已运行的系统——OpenTelemetry 收集器（OTLP/HTTP 日志）、Splunk HEC、Datadog、syslog、webhook 或 JSON/CEF/OCSF 格式的本地文件——在阻止决策之前分派，且永远不会拖延工具调用
- 📊 [仪表板](https://github.com/prismorsec/prismor/blob/main/docs/dashboard.md) 涵盖终端和本地 Web 仪表板以及会话取证，`prismor tokens` 可分解会话的上下文和令牌消耗实际去向
- 🩺 [健康与恢复](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md) —— `prismor doctor` 对每个子系统（钩子、策略签名、注册、遥测接收器、链状态）进行健康检查，`prismor pause` / `pause-hard` 在事件期间仅为人工暂停*强制执行*，同时观察模式日志记录继续运行
- 🧾 [签名审计追踪](https://github.com/prismorsec/prismor/blob/main/docs/audit-trail.md) 在本地对每个代理操作进行哈希链和 Ed25519 签名，因此 `prismor trail verify` 可证明历史未被编辑、删除或重写
- 🔖 [签名遥测回执](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-receipts.md) 是设备所报告记录的线上模式——规范字节、两个完整性层，以及一个无依赖的参考验证器，因此 SIEM 或审计员无需 Prismor 即可检查回执
- 📑 [证明包](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md) 将态势、代理清单、主机发现、框架控制覆盖（OWASP LLM/Agentic、NIST AI RMF、EU AI Act）和追踪锚点打包成一个 Ed25519 签名的文件，审计员可用 `prismor attest verify` 重新验证
- 🔦 [主机发现](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md#host-discovery) 使用 `prismor discover` 扫描机器，并标记任何在没有 Prismor 钩子的情况下运行的 AI 代理（影子 AI）
- ⏪ [转录摄取](https://github.com/prismorsec/prismor/blob/main/docs/transcript-ingest.md) 重建你的代理在安装 Prismor *之前*所做的事情——`prismor ingest --discover` 通过实时策略引擎重放磁盘上的会话转录，因此仪表板从第一天起就有数据，你可以确切看到将某条规则切换为强制执行会阻止什么，另外 `--coverage` 用于查看未受监控运行的会话
- 🗺️ [代理式 AI 架构审查](https://github.com/prismorsec/prismor/blob/main/docs/agentic-architecture-review.md) 是多代理/使用工具系统的设计时检查清单——权限范围、内存完整性、代理间信任、人工监督位置——每个项目都映射到真实控制 ID，并在存在时映射到为其提供后备支持的 Prismor 规则
- 🐳 [Docker 与容器](https://github.com/prismorsec/prismor/blob/main/docs/docker.md) 涵盖容器加固、先决条件和已知限制

所有功能的完整命令映射：[CLI 参考](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md)。

这些功能映射到 [OWASP LLM 应用十大风险](https://genai.owasp.org/llm-top-10/)——涵盖提示注入（LLM01）、敏感信息泄露（LLM02）、供应链（LLM03）、不当输出处理（LLM05）和过度代理（LLM06）。

---

## 场景与用例<a name="scenarios-and-use-cases" />

真实工作流及其所需的命令和配置——以观察模式引导团队入职、多代理和框架管道的按用户 IAM 归属、影子 AI 发现、高风险操作的升级审批，以及为合规审计生成签名证明包。参见 [USE_CASES.md](https://github.com/prismorsec/prismor/blob/main/USE_CASES.md)。

---

## 配置<a name="configuration" />

### 命令参考

完整命令映射：[docs/cli-reference.md](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md)。

### 治理模式

`prismor setup` 要求你选择一种态势，而不是手动配置六个策略轴。每种模式都会编译到 `.prismor/policy.yaml` 中——强制执行、出口、工具访问、标签规则、沙箱和数据边界一并纳入。

![Prismor 治理模式](https://raw.githubusercontent.com/prismorsec/prismor/main/assets/prismor-modes.png)

| 模式 | 适用场景 | 覆盖率 | 摩擦 |
|---|---|---|---|
| `dev-safe` | 对你尚未阅读的代码进行功能开发 | 31% | 9% |
| `trusted-workspace` | 受信任的内部仓库、本地 Docker 工作 | 34% | 9% |
| `regulated-airgap` | PII/PHI、SOC 2、EU AI Act——无网络、无 shell | 100% | 90% |```bash
prismor mode list                            # compare the three
prismor mode explain dev-safe                # the trade, including what it does NOT stop
prismor mode apply dev-safe                  # compile it into this workspace
prismor mode apply regulated-airgap --observe   # what it would block, blocking nothing

### 一个策略引擎，覆盖所有执行面

Stage 1 有不止一扇门，这是有意为之：没有任何单一插入点能覆盖所有 agent。Hooks 覆盖面最广，但并非所有宿主都提供；MCP 是某些 agent 唯一能被拦截的地方；生产框架 agent 运行在没有宿主可供挂钩的环境中。

因此每个执行面都会将它所看到的内容规范化为一个规范事件，并向同一个评估器请求裁决。一条规则只需编写一次，无论动作以何种方式到达，都能覆盖同一动作。

| 执行面 | 管辖范围 | 拒绝 | 重写输入 | 脱敏输出 |
|---|---|:--:|:--:|:--:|
| 编码 agent hooks | agent 的整个工具面 | 是 | Claude/Qwen | 否 |
| MCP 网关 | 一个连接器背后的所有 MCP 服务器 | 是 | 是 | 是 |
| 镜像内置工具 | agent 自身的 Bash/Read/Write，经由 MCP | 是 | 是 | 是 |
| 框架 SDK 适配器 | 进程内 agent（13 个框架） | 是 | 否 | 否 |
| `prismor eval-server` | 非 Python 调用方、外部代理 | 是 | 是 | 是 |
| 推理钩子通道 | 托管式 transcript-turn webhook | 是 | 否 | 否 |

“脱敏输出”正是镜像存在的原因：动作前钩子只能*拒绝*文件读取，而携带响应的执行面可以返回凭据被掩码后的文件。

这一点是经过验证而非仅凭断言的——`tests/test_surface_conformance.py` 会将同一个动作通过每个执行面各自的规范化器重放一遍，如果它们在裁决或规则上出现分歧，测试就会失败。

有关事件形态和裁决词汇，请参见[决策契约](https://github.com/prismorsec/prismor/blob/main/docs/decision-contract.md)；有关每个 agent 应使用哪个执行面，请参见[治理执行面](https://github.com/prismorsec/prismor/blob/main/docs/governance-surfaces.md)。

---

## 精选能力详解<a name="selected-capabilities-walked-through" />

从[能力](#capabilities)中选取三个模块，包含设置、输出和结果。

### 混合语义提示注入防御<a name="hybrid-semantic-prompt-injection-defense" />

正则规则能捕获已知的注入形态。语义防护增加了一层意图感知：启发式预筛选在 <1 ms 内处理明确案例，不确定的输入则升级到 LLM 裁判，由裁判最终裁定——它既能确认正则只捕捉到一半的改写攻击，也能排除触发了权威声明信号的良性文本。已在 800+ 案例中测试——**召回率 +30%**，且未增加误报，包括绕过正则的改写注入和文件内注入。

![语义防护结果](https://assets.kitploit.com/production/public/readmes/13903/a32297d3549c5ff60690c8dca14490f1d53a17a253d912bcb2187414dea3d018.png)

裁判运行在你已有的登录凭据上——无需 API key。`prismor setup` 会在其 **LLM judge** 步骤中询问；脚本化方式：```bash
prismor setup --non-interactive --judge claude   # Claude Code CLI, your Claude login
prismor setup --non-interactive --judge codex    # Codex CLI, your ChatGPT login
prismor setup --non-interactive --judge api --judge-model gpt-4o-mini   # any litellm model + key

# 克隆仓库
git clone https://github.com/yourusername/proxyscan.git
cd proxyscan

# 安装依赖
pip install -r requirements.txt

# 安装工具
pip install -e .

pip install proxyscan

# 构建镜像
docker build -t proxyscan .

# 运行容器
docker run -it --rm proxyscan --help

# 扫描单个代理
proxyscan scan 192.168.1.1:8080

# 从文件扫描多个代理
proxyscan scan -f proxies.txt

# 扫描并保存结果
proxyscan scan -f proxies.txt -o results.json

# 使用特定协议扫描
proxyscan scan 192.168.1.1:1080 --protocol socks5

# 并发扫描，自定义线程数
proxyscan scan -f proxies.txt -t 50

# 带超时和重试的扫描
proxyscan scan -f proxies.txt --timeout 10 --retries 3

# 扫描并导出为多种格式
proxyscan scan -f proxies.txt -o results.json --format json
proxyscan scan -f proxies.txt -o results.csv --format csv

# 详细输出
proxyscan scan -f proxies.txt -v

# 静默模式（仅输出结果）
proxyscan scan -f proxies.txt -q

proxyscan scan [OPTIONS] [PROXY]

proxyscan validate [OPTIONS] [PROXY]

proxyscan info [OPTIONS] PROXY

# 显示当前配置
proxyscan config show

# 设置配置值
proxyscan config set threads 20

# 获取配置值
proxyscan config get threads

# 重置为默认值
proxyscan config reset

# 扫描设置
scan:
  threads: 10
  timeout: 5
  retries: 1
  protocol: auto

# 输出设置
output:
  format: table
  color: true
  verbose: false

# 检查设置
checks:
  anonymity: true
  geolocation: false
  speed: false

# 代理源
sources:
  - https://example.com/proxies.txt
  - https://another-source.com/list.txt

┌─────────────────┬─────────┬──────────┬──────────┬────────────┐
│ 代理            │ 协议    │ 状态     │ 响应时间 │ 匿名性     │
├─────────────────┼─────────┼──────────┼──────────┼────────────┤
│ 192.168.1.1:80  │ HTTP    │ 在线     │ 245ms    │ 精英       │
│ 192.168.1.2:80  │ SOCKS5  │ 在线     │ 512ms    │ 匿名       │
│ 192.168.1.3:80  │ HTTP    │ 离线     │ -        │ -          │
└─────────────────┴─────────┴──────────┴──────────┴────────────┘

{
  "scan_time": "2024-01-15T10:30:00Z",
  "total": 3,
  "alive": 2,
  "dead": 1,
  "proxies": [
    {
      "proxy": "192.168.1.1:80",
      "protocol": "http",
      "status": "alive",
      "response_time": 245,
      "anonymity": "elite",
      "country": "US",
      "asn": "AS12345"
    }
  ]
}

proxy,protocol,status,response_time,anonymity,country,asn
192.168.1.1:80,http,alive,245,elite,US,AS12345
192.168.1.2:80,socks5,alive,512,anonymous,DE,AS67890
192.168.1.3:80,http,dead,,,,

192.168.1.1:80
192.168.1.2:80

# 基本格式
192.168.1.1:8080

# 带协议
http://192.168.1.1:8080
socks5://192.168.1.1:1080

# 带认证
user:[email protected]:8080
http://user:[email protected]:8080

# 带协议和认证
socks5://user:[email protected]:1080

proxyscan scan 192.168.1.1:8080

proxyscan scan -f proxies.txt -o results.json --format json

proxyscan scan -f proxies.txt -t 50 --timeout 10

proxyscan scan -f proxies.txt \
  --check-anonymity \
  --check-geolocation \
  --check-speed \
  -o full_results.json \
  --format json

proxyscan validate -f proxies.txt --strict

proxyscan info 192.168.1.1:8080 --json

# 克隆仓库
git clone https://github.com/yourusername/proxyscan.git
cd proxyscan

# 创建虚拟环境
python -m venv venv
source venv/bin/activate  # Linux/Mac
# 或
venv\Scripts\activate  # Windows

# 安装开发依赖
pip install -r requirements-dev.txt

# 以开发模式安装
pip install -e .

# 运行所有测试
pytest

# 运行特定测试文件
pytest tests/test_scanner.py

# 带覆盖率运行
pytest --cov=proxyscan --cov-report=html

# 格式化代码
black proxyscan/

# 检查代码风格
flake8 proxyscan/

# 类型检查
mypy proxyscan/

proxyscan/
├── __init__.py
├── cli.py              # 命令行界面
├── scanner.py          # 核心扫描逻辑
├── validator.py        # 代理验证
├── checker.py          # 匿名性和地理位置检查
├── config.py           # 配置管理
├── output.py           # 输出格式化
├── utils.py            # 工具函数
└── models.py           # 数据模型