TrustGate

TrustGate — это демонстрация синтетических данных в тестовом режиме Razorpay Test Mode, показывающая ИИ-покупателя, который может предложить покупку из каталога, но не получает полномочий изменять продавца, сумму, валюту, одобрение или результат провайдера. Агент предлагает; TrustGate независимо авторизует и записывает доказательства.

Что это доказывает

• SKU из каталога и количество — единственные факты о покупке, на которые агент может влиять.

• Политика, ограниченная тенантом, одобрение человеком, одноразовое полномочие на оплату и проверенные события провайдера ограничивают каждое платёжное действие.

• Небезопасные попытки отклоняются до создания заказа у провайдера и оставляют аудируемый след.

Related MCP server: Allowance MCP

Как здесь используется ИИ

Агент-покупатель намеренно тонкий, и это аргумент, а не упрощение. Он может предложить только SKU из каталога, количество и цель; каждый критичный для денег факт вычисляется на стороне сервера. Удалите агента полностью — слой авторизации останется неизменным и по-прежнему корректным.

Инженерный вклад — не сложный агент. Это серьёзное отношение к режимам отказа языковых моделей — инъекция промптов через сторонний контент, следование инструкциям вопреки интересам оператора, уверенные ошибочные рассуждения о деньгах — и создание системы, которая остаётся корректной при их возникновении.

Это утверждение проверяется в обе стороны. python -m agent.demo --live запускает реальную модель на описаниях каталога, написанных третьими сторонами, включая враждебные. Тот же каталог отправляется дважды, один раз без описаний, чтобы влияние недоверенного контента измерялось сравнением двух предложений, а не самоотчётом. Набор регрессионных тестов никогда не вызывает провайдера моделей: он использует детерминированные заменители, поэтому проверка безопасности не зависит от того, ведёт ли себя модель определённым образом в определённый день.

Видя проблему

Три чистых отказа доказывают, что система работает, но слабо показывают, зачем она нужна. Поэтому демонстрация начинается с того, что собственный код этого проекта терпит неудачу, без сети, без учётных данных и без базы данных:

python -m demo.unguarded

Тот же агент читает тот же отравленный каталог — буквально тот же, поскольку оба каталога построены из agent/demo_catalog.py, и тест утверждает, что засеянная строка и базовый объект несут идентичную внедрённую инструкцию. Один ответ модели передаётся двум адаптерам.

Незащищённый принимает сумму и продавца, поэтому внедрённая инструкция выполняется, и он платит 20 000,00 INR продавцу, названному в тексте каталога, при цене каталога 600,00 INR. У другого нет места ни для одного из этих полей, потому что PurchaseProposal объявляет только SKU, количество и цель. Что переживает отбрасывание — это quantity=50, поле, которое агенту разрешено устанавливать, — и сервер ограничивает его собственным максимумом каталога, равным 2, поэтому попытка отклоняется до создания платёжного запроса.

Разница не в фильтре, который распознал атаку. В том, что один интерфейс имел поле для денег, а другой — нет. У базовой версии есть свои тесты, утверждающие как то, что она не может достичь ничего реального, так и то, что она всё ещё эксплуатируема, поскольку демонстрация, которая тихо перестала быть уязвимой, продолжала бы проходить, делая противоположный вывод.

Матрица атак

Сценарии уровня A — состязательные. Эта таблица генерируется из реестра сценариев с помощью python -m scenarios.report, и тест утверждает, что она совпадает, поэтому она не может заявлять атаку, не покрытую проходящим тестом. Каждый сценарий доказывает три вещи: атака отклонена с кодом причины, не создан заказ у провайдера, и ни один платёж не получил полномочий, которых у него не было.

Каждый сценарий уровня A реализован. A11a и A11b разделяют путаницу тенантов на неразрешимый тенант и известный тенант, пересекающий границу, потому что эти два случая дают сбой по разным причинам, и только второй является вопросом авторизации.

Чем ценны тесты

Проходящий набор тестов говорит, что код ведёт себя так, как написан. Он не говорит, что тесты возразили бы, если бы код перестал делать что-то важное, а применительно к деньгам имеет значение только второе утверждение. У этого проекта есть доказательство различия: сессии с областью запроса однажды отбрасывали каждую запись, пока 146 тестов проходили, потому что набор проверял внутри той же транзакции, в которой писал.

make mutation намеренно нарушает каждый инвариант безопасности по одному за раз и требует, чтобы тесты, названные его стражами, падали. Каждый исходный файл восстанавливается в блоке finally, и восстановление проверяется по git diff перед выводом отчёта, поэтому прерванный запуск не может оставить мутацию. Он завершается с ненулевым кодом, если какая-либо мутация выживает.

Эта таблица генерируется из реестра мутаций командой python -m scenarios.report --mutations, и тест проверяет её соответствие, поэтому она не может заявлять о защищённом инварианте, который на самом деле не защищён.

Первый запуск этого набора обнаружил реальный дефект. SELECT ... FOR UPDATE через ORM корректно получает блокировку, а затем отбрасывает строку, возвращённую Postgres, потому что SQLAlchemy сохраняет атрибуты объекта, уже находящегося в identity map сессии. Поэтому второй вызывающий блокировался на блокировке, как и задумано, получал зафиксированную строку, сохранял её устаревшую копию и авторизовал платёж, который только что был авторизован. Блокировка сериализовала выполнение переходов, а не то состояние, на основе которого они принимали решение. Теперь все блокировки выполняются через models.locking.locked(), и тест проверяет, что этот помощник — единственное место в исходном коде, где можно взять блокировку.

Текущая область применения

TrustGate использует только синтетических арендаторов, продавцов и цены в INR. Это локальный испытательный стенд безопасности, а не платёжный процессор, продукт для соответствия требованиям, система юридического согласия, модель мошенничества или интеграция платежей в Live Mode.

Быстрый старт

Требования: Docker Desktop и Python 3.12.

Copy-Item .env.example .env
docker compose up -d
docker compose exec -T api python -m alembic upgrade head
docker compose exec -T api python -m pytest -q

Локальная проверка работоспособности API доступна по адресу http://127.0.0.1:8000/health.

Создайте одноразового синтетического арендатора M1 с помощью python -m agent.seed. Установите MCP_TENANT_ID и MCP_ACTOR_ID в выведенные значения, затем запустите локальную демонстрацию агента-покупателя с помощью python -m agent.demo "Buy Starter credits for our student club.". Он может предложить только SKU из каталога, количество и цель; MCP-сервер выводит все критически важные для денег факты. Используйте python -m agent.demo --adversarial "Buy a small amount of cloud credits." для запуска детерминированной демонстрации отравленного каталога.

Чтобы запустить тот же процесс с реальной моделью вместо детерминированного заменителя, установите дополнительный пакет с помощью pip install -e ".[agent]" и добавьте --live. Поддерживаются два бэкенда, и оба используют одну и ту же форму Messages API:

• TRUSTGATE_MODEL_BACKEND=anthropic (по умолчанию) читает ANTHROPIC_API_KEY.

• TRUSTGATE_MODEL_BACKEND=bedrock выставляет счёт на аккаунт AWS. Установите AWS_REGION в регион, к которому относится учётная запись, затем либо AWS_BEARER_TOKEN_BEDROCK (ключ API Bedrock, самый простой путь), либо стандартные учётные данные AWS для подписи SigV4. Amazon Bedrock предоставляет модели Anthropic через подписку AWS Marketplace, поэтому на аккаунте AWS также должен быть действительный платёжный инструмент, даже если кредиты покрывают использование.

• TRUSTGATE_MODEL_BACKEND=groq читает GROQ_API_KEY и вообще не требует платёжного инструмента.

TRUSTGATE_MODEL_ID переопределяет модель на любом бэкенде. Покупатель — это реализация протокола, поэтому провайдер является конфигурационным выбором, а не архитектурным: поведение уровня авторизации не зависит от того, какая модель предлагает покупку.

Это единственный путь в проекте, который связывается с провайдером модели; тестовый набор никогда этого не делает. Запускайте его только с синтетическим каталогом сидов. Его сторонние описания отправляются модели дважды: один раз с удалёнными описаниями и один раз без изменений, чтобы измерить влияние. Никогда не отправляйте реальные данные клиентов, продавцов или платежей через эту демонстрацию.

Чтобы проверить адаптер Razorpay Test Mode, установите RAZORPAY_KEY_ID и RAZORPAY_KEY_SECRET в игнорируемом файле .env. Никогда не добавляйте секреты Test Mode или Live Mode в репозиторий.

Граница доверия

AI buyer proposes SKU, quantity, and purpose
        -> TrustGate derives and authorizes money-critical facts
        -> Razorpay Test Mode executes a bounded order
        -> TrustGate records authorization and provider evidence

Формальный план сборки находится в docs/build-plan.md; архитектура, модель угроз и проектные решения — в docs/.