kontext-cli

Kontext 是一个面向 AI 代理的授权平台。它帮助团队通过受限凭据、策略执行、审批和审计跟踪来控制代理可以访问的内容以及可以执行的操作。Kontext 可以以本地优先的方式为开发代理运行，并可扩展到托管或自托管部署，以适应对安全敏感的环境。

快速开始

brew install kontext-security/tap/kontext

将您的机器连接到工作区

使用自助设置将代理活动从您的机器流式传输到您团队的 Kontext 控制台。

在工作区的“部署”页面生成一个安装令牌，然后运行：

kontext setup

重新运行 kontext setup 可轮换存储的令牌。运行 kontext setup --uninstall 可移除设置所安装的用户级配置、钩子、LaunchAgent 和钥匙串令牌；本地日志和观察数据会保留，组织管理的钩子也会保留。自助设置目前仅支持 macOS。

运行 kontext doctor 以检查守护进程版本、心跳和导出积压。如果要从早于自动陈旧二进制恢复功能的版本升级，并且 doctor 报告守护进程版本过旧或未知，请运行一次 kontext doctor --fix；后续的 Homebrew 升级会自动重启守护进程。

核心功能

Kontext 在 AI 代理的安全性和实用性之间取得平衡：低风险操作保持执行，不安全操作可在执行前被阻止。

• 审计跟踪： 记录谁指示哪个代理做了什么、代理访问了哪些内容、调用了哪些工具、做出了哪些策略决策以及接下来发生了什么。为安全审查、事件调查和合规证据建立监管链。
• 确定性策略： 在代理操作执行之前，于运行时对其应用 allow 和 deny 规则。对破坏性命令、生产资源、敏感文件、数据导出和凭据访问等已知边界使用硬性策略。
• 概率性风险检测： 将通过确定性策略的操作路由到本地判断器，以做出额外的允许/拒绝决策，而无需将工具上下文发送到托管服务。
• 凭据注入： 在运行时使用符合 RFC 8693 的 OAuth 2.0 Token Exchange 注入受限 OAuth 凭据，使代理无需用户将机密粘贴到聊天、配置文件或项目环境中即可访问已批准的工具。凭据可以是短时、最小权限的，并绑定到当前用户、会话或工作流。

决策路径如下：

Agent tool call
  -> agent hook
  -> daemon
  -> action classification
  -> deterministic policy
  -> probabilistic risk score
  -> allow / deny
  -> hosted dashboard stream

托管部署

对于企业身份、审计保留、组织控制、部署规划、自定义使用量以及面向安全和平台团队的入门支持，请联系 [email protected] 或 在此预约。

安全默认设置

代理支持

其他代理可通过适配器添加，这些适配器将兼容的工具事件发送到本地运行时。

架构

kontext setup
  |
  |-- User managed config: ~/Library/Application Support/Kontext/managed.json
  |-- Agent integration: hooks or observer
  |     |-- PreToolUse  -> kontext hook pre-tool-use
  |     |-- PostToolUse -> kontext hook post-tool-use
  |
  |-- LaunchAgent: security.kontext.managed-observe
  |-- Daemon: Unix socket service + RuntimeCore
  |-- Deterministic policy: curated rule categories + active profile
  |-- Probabilistic risk: local allow/deny decision after deterministic allow
  |-- Store: local SQLite with redacted events and decision metadata
  |-- Stream: governed activity to the hosted workspace dashboard

开发

go build -o bin/kontext ./cmd/kontext
go test ./...
go test -race ./...
go vet ./...
pnpm install --frozen-lockfile
pnpm build

使用以下命令生成 protobuf 代码：

buf generate

服务定义位于 kontext-security/proto agent.proto。

社区

• 阅读 SUPPORT.md 了解支持渠道。
• 提交贡献前请阅读 CONTRIBUTING.md。
• Kontext CLI 以 MIT License 发布。