🛡️ KryptonMCP

Das Zero-Trust-Sicherheits- und Datenschutz-Gateway für KI-Agenten

Deterministische PII-Maskierung • Prompt-Injection-Schutz • JIT-ephemere Anmeldedaten • Signiertes Merkle-Audit-Ledger

🤖 Sofortige Projektintegration mit KI

Integration in ein bestehendes Projekt? Wir stellen einen einsatzbereiten KI-Prompt in KRYPTON_INTEGRATION_PROMPT.md bereit.

Kopieren Sie einfach den gesamten Prompt in Claude Code, Cursor Composer, Windsurf oder Antigravity in Ihrem Projekt, und Ihr KI-Assistent prüft automatisch Ihre Tools, generiert krypton.yaml, erstellt Ed25519-Audit-Schlüssel und verbindet alle MCP-Clients transparent!

Related MCP server: Node9-Proxy

⚡ Warum KryptonMCP?

Die direkte Verbindung von KI-Modellen (wie Claude, Cursor, Windsurf, LangChain, AutoGen) mit Datenbanken, Redis-Instanzen und Unternehmens-APIs birgt katastrophale Sicherheitsrisiken:

1. PII- und Datenlecks: Klartext-Kreditkarten, E-Mails, SSNs und private API-Schlüssel von Kunden werden in Prompt-Kontexten direkt an Cloud-LLM-Anbieter gesendet.

2. Prompt-Injection & Hijacking: Böswillige Benutzer oder indirekte Content-Injection verleiten Modelle dazu, destruktive Tools auszuführen (DROP TABLE, rm -rf, Exfiltration).

3. Statische langlebige Anmeldedaten: Die Vergabe von Datenbankpasswörtern oder Admin-Tokens an KI-Agenten schafft dauerhafte Hintertüren.

4. Fehlende überprüfbare Compliance: Herkömmliche Protokollierung kann verändert oder gelöscht werden und erfüllt die Audit-Standards SOC2, HIPAA und ISO27001 nicht.

KryptonMCP ist ein eigenständiges Zero-Trust-Gateway als einzelne Binärdatei, das transparent zwischen Ihren KI-Clients und nachgelagerten MCP-Tools sitzt, ohne externe Agenten wie HashiCorp Vault zu benötigen.

🌟 Kernsäulen

flowchart TD
    Client["🤖 AI Client (Claude / Cursor / Windsurf / LangChain)"]

    subgraph InboundPipeline["🔒 Inbound Security Pipeline"]
        G["1. Prompt-Injection Guardrails & RBAC"]
        D["2. Inbound Detokenization Engine"]
        B["3. JIT Ephemeral Credential Broker"]
        A1["4. Merkle Audit Signer (Ed25519)"]
        G --> D --> B --> A1
    end

    Downstream[("🗄️ Downstream Services (Postgres, Redis, Remote APIs)")]

    subgraph OutboundPipeline["🎭 Outbound Privacy Pipeline"]
        M["5. In-Flight PII Masker (AES-256-GCM Vault)"]
        A2["6. Merkle Leaf Digest & JSONL Sync"]
        M --> A2
    end

    Client -->|"1. JSON-RPC Tool Request (stdio / SSE)"| G
    A1 -->|"2. Sanitized Cleartext Request"| Downstream
    Downstream -->|"3. Raw Database / API Result"| M
    A2 -->|"4. Protected Result with Surrogate Tokens ([EMAIL_REF_...])"| Client

1. 🎭 Deterministische PII-Maskierung während der Übertragung

• Transparente Schwärzung: Ersetzt sensible Daten (Kreditkarten, SSNs, E-Mails, API-Schlüssel, JWTs, Telefonnummern, IPv4/IPv6) durch umkehrbare Surrogat-Tokens ([EMAIL_REF_a1b2c3d4], [CREDIT_CARD_REF_8f9e0a1b]), bevor Payloads das LLM erreichen.

• Algorithmische Validierung: Hochpräzises Scannen mit Luhn-Mod-10-Prüfsummen, SSA-Bereichsprüfungen und null Fehlalarmen bei Standardcode.

• Umkehrbare Detokenisierung: Wenn das LLM ein nachgelagertes Tool mit einem Surrogat-Token aufruft, detokenisiert Krypton den Parameter während der Übertragung zurück in Klartext.

• Kryptografischer In-Memory-Tresor: Keine Klartextspeicherung auf der Festplatte; alle Surrogat-Zuordnungen werden im Speicher mit ephemeren AES-256-GCM-Schlüsseln geschützt.

2. 🛡️ Prompt-Injection- und Tool-Ausführungs-Schutzmechanismen

• Multi-Vektor-Bedrohungserkennung: Blockiert Befehlsüberschreibungen, DAN-/Entwicklermodus-Jailbreaks, Begrenzer-Injection (<|im_start|>, <<SYS>>) und Base64-verschleierte Payloads.

• Deklarative Tool-RBAC: Wildcard-Allowlists (query_*) und Denylists (drop_*, execute_shell).

• Parameterbeschränkungen: Validierung auf Feldebene (Regex-Muster, Mindest-/Maximallänge, numerische Grenzen).

• Rate Limiting mit gleitendem Fenster: Verhindert außer Kontrolle geratene rekursive Ausführungsschleifen.

3. 🔑 Just-in-Time (JIT) ephemere Anmeldedaten

• Dynamische Mikro-Anmeldedaten: Erzeugt bei Bedarf kurzlebige Datenbank- und Cache-Benutzer mit TTLs unter einer Stunde.

• Automatischer Widerruf: Präzise Hintergrund-Timer beenden Backend-Sitzungen automatisch und entfernen temporäre Rollen bei Ablauf der Lease.

• Integrierte Treiber: Native Treiber für PostgreSQL (CREATE ROLE ... VALID UNTIL, pg_terminate_backend, DROP ROLE) und Redis (ACL SETUSER, CLIENT KILL USER, ACL DELUSER).

• Native MCP-Tools: Stellt krypton_request_credential, krypton_revoke_credential und krypton_list_leases bereit.

4. 🔏 Kryptografisch signiertes Merkle-Audit-Ledger

• RFC-6962-Domänentrennung: Anfügen nur an einen binären Merkle-Baum, der jede Anfrage, Antwort, jeden Tool-Aufruf und jede Anmeldedaten-Lease protokolliert.

• Asymmetrische Ed25519-Signaturen: Signiert Merkle-Root-Checkpoints mathematisch.

• Manipulationserkennung: Veränderung oder Löschung früherer Protokolleinträge bricht die kryptografische Verifizierung sofort.

• CLI-Verifizierer & Beweis-Exporter: krypton audit verify und krypton audit proof für Compliance-Prüfer.

🚀 Schnellstart (30 Sekunden)

Installation

# Option 1: Install with Go (Zero dependencies)
go install github.com/krypton-mcp/krypton/cmd/krypton@v0.1.0-alpha

# Option 2: Pull the production Docker image
docker pull ghcr.io/muhammetemirerkut/krypton-mcp:latest

# Option 3: Build from source
git clone https://github.com/MuhammetEmirErkut/krypton-mcp.git
cd krypton-mcp
go build -o krypton ./cmd/krypton

Konfiguration und Audit-Schlüssel initialisieren

# 1. Generate production configuration template
krypton config init --out krypton.yaml

# 2. Generate Ed25519 cryptographic audit signing keypair
krypton audit keygen --out-dir ./security-keys

⚙️ Client-Integration

1. Claude-Desktop-Konfiguration (Stdio-Proxy-Modus)

Fügen Sie Krypton als transparenten Proxy in ~/Library/Application Support/Claude/claude_desktop_config.json (macOS) oder %APPDATA%\Claude\claude_desktop_config.json (Windows) hinzu:

{
  "mcpServers": {
    "postgres-secure": {
      "command": "/usr/local/bin/krypton",
      "args": [
        "start",
        "--config", "/path/to/krypton.yaml",
        "--",
        "npx", "-y", "@modelcontextprotocol/server-postgres", "postgresql://admin:password@localhost:5432/mydb"
      ]
    }
  }
}

2. Cursor-IDE / Remote-MCP-Integration (HTTP- und SSE-Modus)

Für containerisierte oder entfernte Umgebungen starten Sie Krypton als sicheres Netzwerk-Gateway:

# Launch SSE gateway on port 8080 proxying a remote MCP service
krypton start --transport sse --host 0.0.0.0 --port 8080 --downstream-url http://downstream-service:8001/rpc

Fügen Sie Folgendes zu .cursor/mcp.json in Ihrem Arbeitsbereich hinzu:

{
  "mcpServers": {
    "secure-gateway": {
      "command": "krypton",
      "args": ["start", "--config", "./krypton.yaml"]
    }
  }
}

📋 Konfigurationsspezifikation (krypton.yaml)

version: "v1"

server:
  transport: "stdio" # "stdio" or "sse"
  host: "127.0.0.1"
  port: 8080
  log_level: "info"

downstream:
  transport: "stdio" # "stdio" or "http"
  # url: "http://localhost:8001/rpc"
  command: ""
  args: []

security:
  masking_enabled: true
  guardrails_enabled: true
  audit_enabled: true
  ephemeral_creds_enabled: true

masking:
  mode: "tokenize" # "tokenize", "redact", or "hash"
  builtin_rules:
    - "email"
    - "credit_card"
    - "ssn"
    - "api_key"
    - "jwt"
    - "phone"
    - "ip_address"

guardrails:
  block_injection: true
  block_exfiltration: true
  max_prompt_size_bytes: 1048576 # 1 MB
  # Declarative Tool RBAC
  allowed_tools:
    - "*"
  denied_tools:
    - "drop_*"
    - "delete_database"
    - "execute_raw_shell"

audit:
  log_path: "./audit.jsonl"
  sign_enabled: true
  signing_key_path: "./krypton_audit.key"
  public_key_path: "./krypton_audit.pub"

💻 CLI-Befehlsmatrix

📊 Leistungsbenchmarks

Gemessen auf Apple M2 (arm64, Go 1.26):

🔒 Sicherheit und Offenlegung von Schwachstellen

KryptonMCP nimmt Sicherheitslücken ernst. Wenn Sie eine Schwachstelle entdecken, melden Sie sie bitte über GitHub Private Vulnerability Reporting oder per E-Mail an security@krypton-mcp.org. Öffnen Sie keine öffentlichen Issues für Zero-Day-Schwachstellen.

📄 Lizenz

Apache-Lizenz 2.0. Siehe LICENSE für Details.