FORTRESS-MCP 是一个供应商中立的零信任安全网关，旨在控制 AI 代理如何请求和执行 MCP 工具。
该项目演示了介于代理意图与特权工具执行之间的生产级安全边界。
AI 代理可以请求某个操作，但代理不会独立授权或执行特权操作。
Related MCP server: mcp-guardian
现代 AI 代理可以调用工具、API、文件系统、数据库和外部服务。安全问题不再仅仅是：
“模型能否生成正确的答案？”
还包括：
“能否信任模型来决定它被允许执行哪些操作？”
FORTRESS-MCP 通过将以下两者分离来解决这个问题：
Agent Intent
↓
Identity
↓
Authentication
↓
Authorization
↓
Policy Decision
↓
Risk Classification
↓
Human Confirmation
↓
Argument Validation
↓
MCP Tool Execution
↓
Audit因此，LLM 不是安全权威。
FORTRESS-MCP 旨在演示：
AI 代理工具的零信任执行。
最小权限授权。
默认拒绝安全策略。
确定性策略决策。
风险分级。
敏感操作的人工确认。
基于 MCP 的工具执行。
提示注入遏制。
工具与参数校验。
安全审计日志。
API 安全测试。
代理安全评估。
静态安全分析。
生产级工程实践。
该项目特意设计为：
面向行业；
适合面试展示；
对作品集有影响力；
供应商中立；
技术深入；
足够简单，易于理解和维护。
核心设计规则是：
Agent Intent
≠
Security Decision
≠
Tool Execution代理可以请求某个操作。
FORTRESS 决定该操作是否被允许。
只有安全门禁成功通过后，MCP 工具才能执行。
┌──────────────────────┐
│ STREAMLIT │
│ SECURITY CENTER │
└──────────┬───────────┘
│
▼
┌──────────────────────┐
│ FORTRESS API │
└──────────┬───────────┘
│
▼
┌──────────────────────────────────┐
│ FORTRESS SECURITY │
│ GATEWAY │
│ │
│ Identity │
│ Authentication │
│ Authorization │
│ Policy │
│ Risk │
│ Confirmation │
│ Validation │
│ Audit │
└───────────────┬──────────────────┘
│
▼
┌──────────────────┐
│ MCP GATEWAY │
└────────┬─────────┘
│
┌────────────────────┼────────────────────┐
│ │ │
▼ ▼ ▼
calculator_read weather_lookup update_record
│ │ │
│ ▼ │
│ Open-Meteo │
│ Live API │
│ │
└────────────────────┬────────────────────┘
▼
RESULT
│
▼
AUDITFORTRESS 定义了明确的信任边界。
代理请求是不可信输入。
代理不会仅仅因为生成了请求就自动获得权限。
只有经过授权和校验的请求才能跨越执行边界。
外部执行受到控制和审计。
外部数据是不可信数据。
外部数据绝不授予授权。
敏感授权必须来自真实用户界面。
LLM 无法确认自身的请求。
每个受保护的操作都遵循以下概念性流水线：
1. Receive request
2. Identify requesting agent
3. Authenticate identity
4. Resolve permissions
5. Validate requested tool
6. Validate arguments
7. Evaluate security policy
8. Determine risk
9. Determine confirmation requirement
10. Request external human confirmation if required
11. Re-evaluate authorization
12. Execute MCP tool
13. Record audit event
14. Return result具体实现是有意保持确定性的。
身份表示请求执行操作的参与者。
概念上：
AgentIdentity
├── agent_id
├── role
├── permissions
├── trust_level
└── session_id身份验证回答：
你是谁？
授权回答：
你是否有权执行此操作？
这两个概念有意保持分离。
FORTRESS 使用一个刻意精简的权限模型：
READ
WRITE
SENSITIVE这足以演示最小权限原则，而无需引入不必要的企业 IAM 复杂性。
策略层产生以下三种决策之一：
ALLOW
DENY
REQUIRE_CONFIRMATION默认行为：
Unknown
↓
DENY策略引擎是应用程序逻辑。
它不会委托给 LLM。
FORTRESS 使用三个风险等级：
LOW
MEDIUM
HIGH初始概念映射：
工具 / 操作 | 权限 | 风险 |
| READ | LOW |
| READ | MEDIUM |
| WRITE | HIGH |
| SENSITIVE | HIGH |
风险分级是确定性的且可解释的。
高风险操作可能需要明确的人工确认。
安全流程为：
Agent Request
↓
FORTRESS
↓
HIGH RISK
↓
REQUIRE_CONFIRMATION
↓
Actual User
↓
Confirm / Reject
↓
FORTRESS Re-evaluation
↓
ALLOW / DENY
↓
MCP Execution一条关键安全规则是：
LLM 无法生成或模拟用户的确认。
MCP 提供了标准化的工具交互层。
FORTRESS 将安全边界包裹在 MCP 周围。
概念上：
Agent
↓
FORTRESS Security Gateway
↓
MCP
↓
ToolFORTRESS 并不试图取代 MCP。
相反，它演示了如何将 MCP 工具执行置于确定性安全网关之后。
该项目有意限制初始工具面。
calculator_read用途：
确定性本地计算；
低风险读类操作；
适用于基线授权测试。
weather_lookup用途：
获取实时天气数据；
演示受控的外部 API 访问；
演示将外部数据视为不可信输入。
update_record用途：
演示写操作；
演示较高风险的授权；
演示策略执行。
sensitive_action用途：
演示敏感操作；
要求明确确认；
演示拒绝和确认路径。
刻意保持较小的工具集。
该项目优先考虑安全深度而非工具数量。
FORTRESS 使用 Open-Meteo 作为天气查询的初始免费实时数据提供方。
概念上：
Agent
↓
FORTRESS
↓
Authorization
↓
Argument Validation
↓
MCP Weather Tool
↓
Open-Meteo
↓
Weather Result
↓
Audit外部提供方是可替换的。
安全边界不依赖于提供方。
一个关键设计原则是：
External Data
≠
Authorization天气响应、API 响应、文档和其他外部内容可能包含恶意或类似指令的文本。
此类内容不能授予权限。
授权由 FORTRESS 策略决定。
工具参数在执行前会被校验。
例如，天气坐标必须满足：
latitude:
-90 ≤ latitude ≤ +90
longitude:
-180 ≤ longitude ≤ +180无效参数必须在外部请求执行之前被拒绝。
这既保护了工具，也保护了外部服务边界。
FORTRESS 并不声称可以完美消除提示注入。
相反，该项目演示了一个更强的安全属性：
提示注入无法独立授予授权。
概念上：
Malicious Prompt / External Content
↓
Agent Request
↓
FORTRESS Policy
↓
DENY / CONFIRM不可信内容始终保持不可信。
每个重要的安全决策都应产生审计事件。
概念性审计字段包括：
timestamp
session_id
agent_id
tool
action
risk_level
policy_decision
reason
confirmation_required
execution_status
safe_argument_summary审计系统必须避免暴露机密。
审计跟踪应回答：
WHO
WHAT
WHEN
WHY
RISK
DECISION
EXECUTIONStreamlit 提供交互式 UI。
该 UI 旨在让安全行为可见且易于演示。
仪表盘将展示诸如以下概念：
当前代理身份；
请求的操作；
请求的工具；
权限；
风险等级；
策略决策；
确认要求；
执行状态；
工具结果；
审计事件。
Streamlit 应用程序不是安全权威。
安全决策属于 FORTRESS 核心。
这种分离使得系统可以通过 UI 和 API 进行测试。
FORTRESS 暴露一个轻量级 HTTP API。
该 API 为以下内容提供共享接口：
Streamlit
│
├──────────────┐
│ │
▼ ▼
FORTRESS API ←── Bruno
│
▼
Security Gateway这使得后端可以独立于 UI 进行测试。
Bruno 用于 API 级别的安全测试。
计划的场景包括：
健康检查端点。
身份验证失败。
身份验证成功。
已授权请求。
未授权请求。
无效工具参数。
需要确认。
敏感操作拒绝。
安全策略边界情况。
错误响应行为。
Bruno 通过从 API 客户端视角测试 HTTP 边界，对 Pytest 形成补充。
DeepEval 用于评估与安全相关的代理行为。
它可用于评估诸如以下场景：
提示注入尝试；
未授权的工具请求；
策略边界行为；
敏感操作处理；
拒绝行为；
工具使用约束。
DeepEval 是一个评估框架。
它不会取代确定性授权引擎。
架构仍然是：
Deterministic Security
+
Behavioral Evaluation使用 SonarQube Free/Community 兼容分析进行静态代码质量和安全审查。
该项目将使用它来识别：
缺陷；
漏洞；
安全热点；
代码坏味道；
可维护性问题；
已配置情况下的测试/覆盖率可见性。
SonarQube 是质量/安全分析层。
它不会取代运行时安全测试。
FORTRESS 使用多层测试。
针对以下内容的快速确定性测试：
身份；
权限；
授权；
策略；
风险；
校验；
审计；
工具行为。
针对以下内容的测试：
API + 安全网关；
MCP 边界；
外部 API 适配器；
确认工作流。
Bruno 验证 HTTP 行为。
DeepEval 评估与安全相关的代理行为。
SonarQube 分析代码质量和安全问题。
Ruff。
Mypy。
GitHub Actions 运行自动化质量门禁。
该项目使用：
Python 3.12
↓
UV
↓
Pydantic
↓
FastAPI
↓
MCP
↓
Streamlit
↓
Pytest
↓
Ruff
↓
Mypy
↓
Bruno
↓
DeepEval
↓
SonarQube
↓
GitHub Actions
↓
Docker该技术栈刻意保持现代但可控。
当前和计划中的结构：
FORTRESS-MCP/
│
├── .github/
│ └── workflows/
│ └── ci.yml
│
├── bruno/
│ ├── collections/
│ └── README.md
│
├── docs/
│ ├── threat-model.md
│ ├── security-architecture.md
│ ├── phase-1-decision-log.md
│ └── phase-2-reuse-decision.md
│
├── src/
│ └── fortress_mcp/
│ ├── __init__.py
│ │
│ ├── api/
│ │ ├── __init__.py
│ │ └── app.py
│ │
│ ├── core/
│ │ ├── __init__.py
│ │ └── health.py
│ │
│ ├── identity/
│ │ └── __init__.py
│ │
│ ├── policy/
│ │ └── __init__.py
│ │
│ ├── risk/
│ │ └── __init__.py
│ │
│ ├── audit/
│ │ └── __init__.py
│ │
│ ├── mcp/
│ │ └── __init__.py
│ │
│ ├── tools/
│ │ └── __init__.py
│ │
│ └── streamlit_app.py
│
├── tests/
│ ├── unit/
│ │ └── test_health.py
│ └── integration/
│
├── .gitignore
├── .pre-commit-config.yaml
├── Dockerfile
├── pyproject.toml
├── sonar-project.properties
├── uv.lock
└── README.md只有当对应的安全能力实现时，结构才会增长。
Windows/Linux/macOS
Python 3.12
UV
Git
Docker（用于容器验证）
Bruno（用于 API 测试）
用于静态分析的 SonarQube Community/Free 兼容环境
可选的模型/API 集成必须使用安全的环境变量。
Git 中不得包含任何机密。
在仓库根目录下：
uv sync通过 UV 环境运行命令：
uv run pytestuv run ruff check .uv run mypy srcAPI 入口点为：
fortress_mcp.api.app:app运行：
uv run uvicorn fortress_mcp.api.app:app --reload健康检查端点：
GET /health预期概念性响应：
{
"service": "fortress-mcp",
"status": "ok"
}运行：
uv run streamlit run src/fortress_mcp/streamlit_app.pyStreamlit UI 即安全控制中心。
随着后续阶段的实现，它将展示：
Identity
Permissions
Request
Risk
Policy
Confirmation
Execution
Audit构建：
docker build -t fortress-mcp .运行：
docker run --rm -p 8000:8000 fortress-mcp容器暴露端口：
8000开发工作流为：
Understand
↓
Design
↓
Implement
↓
Test
↓
Lint
↓
Type Check
↓
Security Analysis
↓
API Evaluation
↓
Commit每个有意义的里程碑都会获得一个 Git 检查点。
FORTRESS-MCP 遵循复用优先的工程策略。
该项目不会盲目克隆之前的应用程序。
相反：
Existing Proven Infrastructure
↓
Verify
↓
Select
↓
Adapt
↓
Remove Unused
↓
Implement FORTRESS Security Logic用作以下方面的主要参考：
MCP 结构；
工具契约；
MCP 注册表概念；
工具执行边界；
实时 API 适配器模式；
Pydantic 契约。
用作以下方面的参考：
UV；
Python 3.12；
依赖管理；
Ruff；
Mypy；
Pytest；
GitHub Actions；
Docker；
SonarQube 模式。
用作以下方面的辅助参考：
HTTP/API 模式；
Pydantic；
测试方法。
项目特定的业务逻辑和提供方特定逻辑不会被盲目复制。
FORTRESS 应维护以下不变量：
1. Default deny.
2. Agent intent never equals authorization.
3. Untrusted content never grants permission.
4. Unknown tools never execute.
5. Invalid arguments never reach execution.
6. Sensitive actions require explicit confirmation.
7. The LLM cannot self-confirm.
8. Every security decision is auditable.
9. Audit records do not expose secrets.
10. Tool execution occurs only after the security gate.这些不变量比任何单个框架都更重要。
FORTRESS 应安全失败。
示例：
Unknown Agent
→ DENY
Unknown Tool
→ DENY
Missing Permission
→ DENY
Invalid Arguments
→ DENY / VALIDATION ERROR
High-Risk Action
→ REQUIRE_CONFIRMATION
Confirmation Rejected
→ DENY
External API Failure
→ Safe Error
Unexpected Security Error
→ Fail Closed系统绝不能将内部故障解释为授权。
安全事件应是可观测的。
有用字段包括：
timestamp
agent_id
session_id
tool
action
permission
risk
decision
reason
confirmation
execution_status日志应是：
结构化的；
可搜索的；
安全的；
最小化的；
有助于事件分析的。
敏感值应被脱敏。
FORTRESS 使用分层安全模型：
┌───────────────────────┐
│ Agent / LLM │
└───────────┬───────────┘
│
▼
┌───────────────────────┐
│ Identity │
└───────────┬───────────┘
▼
┌───────────────────────┐
│ Authentication │
└───────────┬───────────┘
▼
┌───────────────────────┐
│ Authorization │
└───────────┬───────────┘
▼
┌───────────────────────┐
│ Policy │
└───────────┬───────────┘
▼
┌───────────────────────┐
│ Risk │
└───────────┬───────────┘
▼
┌───────────────────────┐
│ Confirmation │
└───────────┬───────────┘
▼
┌───────────────────────┐
│ Validation │
└───────────┬───────────┘
▼
┌───────────────────────┐
│ MCP │
└───────────┬───────────┘
▼
┌───────────────────────┐
│ Tool │
└───────────┬───────────┘
▼
┌───────────────────────┐
│ Audit │
└───────────────────────┘许多生成式 AI 项目专注于：
Prompt
↓
LLM
↓
AnswerFORTRESS 专注于：
Intent
↓
Security Boundary
↓
Decision
↓
Controlled Execution这使该项目从典型的生成式 AI 演示转变为一个 AI 安全工程项目。
作品集的价值来自于证明候选人理解：
AI代理；
MCP；
工具调用；
API设计；
身份验证；
授权；
策略引擎；
最小权限；
安全边界；
提示注入；
人在回路的安防；
可观测性；
测试；
DevSecOps。
FORTRESS旨在支持强有力的面试讨论。
答案：
LLM输出是不可信的应用程序输入。授权是一项安全决策，因此必须在模型之外以确定性方式强制执行。
答案：
提示注入被视为不可信输入。它可能影响代理请求，但不能独立授予授权。FORTRESS通过自身的策略边界评估生成的请求。
答案：
MCP提供了标准化的工具交互层。FORTRESS专注于工具执行周围的安全边界，而不是重新构建工具协议。
答案：
高风险操作不应由模型自行授权。明确确认创建了由实际用户控制的独立授权边界。
答案：
安全关键系统不应仅仅因为工具或请求未被明确阻止就授予权限。未知或授权不足的操作应默认失败。
答案：
确定性策略是可解释、可测试、可重现和可审计的。LLM可以协助意图解释，但不应成为最终的安全权威。
答案：
Pytest验证确定性应用程序行为。DeepEval评估模型/代理行为和安全相关场景。它们解决不同的测试问题。
答案：
Bruno像外部API客户端一样验证HTTP边界，补充内部单元测试和集成测试。
答案：
SonarQube增加了静态代码质量和安全分析，补充了运行时测试和特定于安全的评估。
FORTRESS-MCP有意不成为企业级IAM平台。
以下内容不在初始范围内：
企业OAuth/OIDC身份提供程序；
Kubernetes；
多云IAM；
复杂的分布式授权；
企业密钥管理；
高级RAG；
大型多代理编排；
数十个MCP工具；
复杂的数据库基础设施；
大型前端框架；
不必要的微服务。
这些可能是未来的扩展，但不是核心项目所必需的。
FORTRESS-MCP是一个作品集级别的安全工程项目。
它展示了安全架构和控制措施，但不声称能针对所有AI代理威胁提供完整的企业级保护。
特别是：
不能假设提示注入已完美解决；
外部API可能失败；
模型行为仍然是概率性的；
安全控制需要适当的部署配置；
实际的生产系统需要更广泛的身份、基础设施、监控和合规控制。
该项目的安全声明仅限于明确实施和测试的控制措施。
状态：
COMPLETE已交付：
威胁模型；
安全架构；
安全不变量；
范围锁定；
项目决策。
Git检查点：
92e3d81
docs: establish phase 1 security foundation状态：
IN PROGRESS迄今为止已交付：
UV项目；
Python 3.12；
包结构；
FastAPI基础；
MCP依赖；
Streamlit外壳；
Pytest基础；
Ruff；
Mypy；
GitHub Actions基础；
Docker基础；
SonarQube配置；
Bruno结构；
DeepEval依赖；
复用决策文档。
计划：
代理身份模型；
身份验证边界；
会话身份；
身份验证失败处理；
确定性身份测试。
计划：
权限模型；
策略引擎；
允许/拒绝决策；
默认拒绝；
工具授权；
授权测试。
计划：
风险分类；
确认要求；
外部用户确认；
确认拒绝；
授权重新评估。
计划：
MCP网关；
工具注册表；
计算器；
天气；
更新记录；
敏感操作；
参数验证；
Open-Meteo实时集成。
计划：
提示注入场景；
不可信内容边界；
安全审计事件；
安全事件报告。
计划：
确定性安全测试；
集成测试；
对抗性场景；
DeepEval评估；
失败分析。
计划：
完整的安全仪表板；
Bruno API集合；
SonarQube分析；
CI质量门禁；
安全测试报告。
计划：
最终README；
架构文档；
安全报告；
限制；
测试证据；
面试问答；
最终验证；
Git发布检查点。
当满足以下条件时，FORTRESS-MCP即视为完成：
[ ] Identity implemented
[ ] Authentication implemented
[ ] Authorization implemented
[ ] Default deny enforced
[ ] Policy engine implemented
[ ] Risk classification implemented
[ ] Human confirmation implemented
[ ] MCP gateway implemented
[ ] Four core tools implemented
[ ] Tool arguments validated
[ ] Open-Meteo live API integrated
[ ] Prompt-injection boundary demonstrated
[ ] Audit trail implemented
[ ] Streamlit dashboard complete
[ ] Bruno collection complete
[ ] DeepEval evaluation complete
[ ] Pytest suite complete
[ ] Ruff passes
[ ] Mypy passes
[ ] SonarQube analysis reviewed
[ ] CI passes
[ ] Docker validation passes
[ ] No secrets committed
[ ] Documentation complete
[ ] Interview Q&A complete
[ ] Final release validation completeFORTRESS-MCP中最重要的概念是：
The model proposes.
The security gateway decides.
The MCP layer executes.
The audit layer records.这种分离是项目的核心。
当前项目里程碑：
FORTRESS-MCP
│
├── Phase 1 ████████████████████ COMPLETE
├── Phase 2 ████████████░░░░░░░░ IN PROGRESS
├── Phase 3 ░░░░░░░░░░░░░░░░░░░░ PENDING
├── Phase 4 ░░░░░░░░░░░░░░░░░░░░ PENDING
├── Phase 5 ░░░░░░░░░░░░░░░░░░░░ PENDING
├── Phase 6 ░░░░░░░░░░░░░░░░░░░░ PENDING
├── Phase 7 ░░░░░░░░░░░░░░░░░░░░ PENDING
├── Phase 8 ░░░░░░░░░░░░░░░░░░░░ PENDING
├── Phase 9 ░░░░░░░░░░░░░░░░░░░░ PENDING
└── Phase 10 ░░░░░░░░░░░░░░░░░░░░ PENDING项目保持有意的范围，专注于高价值的实现，而不是不必要的大型企业平台。
在最终发布前，请添加所选仓库许可证。
This server cannot be installed
Unclaimed servers have limited discoverability.
If you are the server author, to access and configure the admin panel.
Security firewall for AI agents — scans MCP calls for injection, secrets, and risks.
Runtime permission, approval, and audit layer for AI agent tool execution.
Six-gate governance for AI agents: PROCEED/PAUSE/HALT decisions with hash-chained audit trails.
We provide all the information about MCP servers via our MCP API.
curl -X GET 'https://glama.ai/api/mcp/v1/servers/Mayank1532/FORTRESS-MCP'
If you have feedback or need assistance with the MCP directory API, please join our Discord server