Sentinel

MCPサーバーのためのセルフホスト型ガバナンスレイヤー。 Sentinelは、AIエージェントとその呼び出すツールの間に立ち、すべてのリクエストをポリシーに照らして評価し、何が起きたかの監査証跡を書き残します。

完全に自分のマシン上で動作します。必須の依存はPostgresのみ — APIキーも、クラウドアカウントも、外部への通信も一切不要です。

agent ──▶ Sentinel proxy ──▶ policy engine ──▶ MCP server
                                   │
                                   └──▶ audit log

存在理由

エージェントに一連のMCPツールを与えるということは、そのエージェントに行動する能力を委ねることです。しかし、ほとんどのセットアップは次の3つの問いに答えられていません。

• このエージェントはどのツールを、どのような条件下で呼び出し許可されるのか？

• 実際にそれは何を実行したのか？

• 本番環境に触れた操作を承認したのは誰か？

Sentinelは、呼び出しごとに条件を評価するポリシーエンジン、変更前後のスナップショット付きの追記型監査ログ、機微として指定した操作を対象とする承認ワークフローという3つの仕組みによって、そのすべてに答えます。

同梱内容

クイックスタート

Node 20+、pnpm、Postgresが必要です。

git clone https://github.com/gong8/sentinel-oss.git
cd sentinel-oss
cp .env.example .env        # generate secrets, point DATABASE_URL at your Postgres
pnpm setup                  # install, generate client, push schema, seed
pnpm dev

Postgresが要なら、docker compose up -d postgres で起動できます。

これで以下が利用できます:

シード処理は、3人のユーザーを持つ Acme Corporation 組織を作成し、そのアクセストークンを表示します。再表示したいときはいつでも pnpm db:creds を実行してください。

エージェントに接続させる

MCPクライアント設定にプロキシを追加してください:

{
  "mcpServers": {
    "sentinel": {
      "url": "http://localhost:3001/mcp",
      "headers": { "Authorization": "Bearer YOUR_ACCESS_TOKEN" }
    }
  }
}

Webコンソールで上流サーバーを登録し、それらのツールに対してポリシーを書けば、以降すべての呼び出しはポリシーエンジンを通過します。

オプション: エージェント機能

Sentinelには組み込みの管理エージェントがあり、チャットで会話しながら設定できます。これにはLLMが必要ですが、完全にローカルなものも含めて複数のプロバイダをサポートしており、APIキーを購入する必要は一切ありません。

• Ollama や任意のOpenAI互換エンドポイント（LM Studio、llama.cpp、vLLM） — ローカルで無料

• Anthropic、OpenAI、Gemini — キーを持ち込みたい場合向け

Sentinelの他のすべての機能はインターLLMを一切設定しなくても動作します。

アーキテクチャ

pnpm + Turborepoで構成されるモノレポです。

あわせてソースは約 179k行、テストは 163k行 が218のテストファイルにあります。

最も再利用可能な部品は packages/api/src/services/policyCondition.ts — 約1,300行の条件ツリー評価器で、Zodとロガー以外に依存がなく、MCP・Prisma・Sentinelの知識が不要です。このため、ポリシー式が必要なあらゆるプロジェクトに簡単に移植できます。

より深いドキュメントは docs/ にあります — docs/README.md から始めましょう。

テスト

pnpm test:unit          # no database needed
pnpm test:integration   # requires TEST_DATABASE_URL
pnpm test:security      # tenant isolation, DENY precedence
pnpm test:e2e           # Playwright
pnpm check              # format, lint, types, tests

プロジェクト規約

このコードベースには、絶対に曲げないルールがいくつかあり、.claude/hooks/ のリント設定とgitフックで強制しています:

• as 型アサーションは禁止（ただし as const を除く）。any も @ts-ignore も eslint-disable も禁止

• すべてのデータベースクエリは organizationId にスコープされる

• すべての入力をZodで検証する

• 認証情報は保存前に必ず暗号化する

• 機微的な操作は監査ログに記録され、管理操作は変更前後のスナップショット付きで記録される

• DENYポリシーはバイパスできず、それが明示的にテストされている

完全な開発ガイドは CLAUDE.md を参照してください。

コントリビューション

CONTRIBUTING.md をご覧ください。セキュリティ上の問題は SECURITY.md へ報告してください。

ライセンス

GNU AGPL-3.0。変更を加えたSentinelをネットワークサービスとして提供する場合、その変更内容を利用者が入手できるようにしなければなりません。