XGuard — Secretless Agent Gateway

Канонический production API

https://api.xguardgate.com

Каноническая идентичность — v5.0.2: XGuard Secretless Agent Gateway. Secretless Egress является основным продуктом. Action Rail и маршрутизация фасилитатора x402 являются рельсами совместимости. Исторические описания, включающие XGuard ACE, Solana/BAM speed bumps, Child Safety, Web Extractor, Universal Facilitator Gateway, High-Velocity x402 Facilitator или универсальную управляющую плоскость только для расходов, не являются текущей идентичностью продукта XGuard. См. CANONICAL_IDENTITY.md.

XGuard не допускает попадания многоразовых учётных данных вышестоящих сервисов в AI-агентов. Оператор один раз сохраняет учётные данные Stripe, GitHub, OpenAI, Anthropic, Slack, Notion, Cloudflare, Gemini или произвольного API, а затем выдаёт агенту только краткосрочную ограниченную возможность XGuard.

Operator secret
     ↓
Encrypted XGuard credential vault
     ↓
Scoped capability
     ↓
AI agent
     ↓
XGuard Secretless Egress
     ↓
credential injected server-side
     ↓
upstream API

Агент никогда не получает многоразовые учётные данные вышестоящего сервиса.

XGuard становится фактической контрольной точкой, когда оператор хранит многоразовые учётные данные только в XGuard и делегирует возможности вместо перераспределения этих учётных данных. XGuard не претендует на контроль над не связанным с ним интернет-трафиком.

Почему Secretless Egress

Многоразовый bearer-токен внутри автономного агента может быть скопирован, залогирован, помещён в контекст, использован за пределами предполагаемого запроса или передан ненадёжному инструменту. XGuard меняет примитив с владения секретом на владение ограниченной возможностью.

Текущая egress-граница обеспечивает:

• шифрованное хранение многоразовых учётных данных;

• готовые пресеты провайдеров для OpenAI, Anthropic, GitHub, Stripe, Slack, Notion, Cloudflare и Gemini;

• пользовательские учётные данные на основе заголовков, ограниченные явно указанными публичными HTTPS-хостами;

• краткосрочные возможности;

• точную привязку к HTTPS-origin;

• списки разрешённых префиксов путей;

• списки разрешённых HTTP-методов;

• максимальное количество вызовов;

• биллинг Usage Credit до раскрытия секрета и до исходящего сетевого трафика;

• отсутствие автоматической передачи учётных данных при перенаправлениях;

• блокировку приватных/локальных целевых адресов;

• автоматическую вставку Idempotency-Key для небезопасных методов;

• отсутствие слепого автоматического повтора после сетевой неоднозначности;

• обнаружение MCP и выполнение исходящих запросов без раскрытия процесса предоставления учётных данных в контексте модели.

Related MCP server: Broker

Egress API

Машиночитаемый контракт:

GET https://api.xguardgate.com/v1/egress
GET https://api.xguardgate.com/.well-known/xguard-egress.json
GET https://api.xguardgate.com/.well-known/xguard-egress-key.json
GET https://api.xguardgate.com/v1/egress/providers

1. Оператор сохраняет многоразовые учётные данные

Предоставление учётных данных намеренно является операторским API, а не MCP-инструментом.

POST /v1/egress/credentials
X-XGuard-Key: <usage-credit-key>
Content-Type: application/json

{
  "provider": "github",
  "value": "<github-token>",
  "label": "production-github",
  "allowed_paths": ["/repos/"],
  "allowed_methods": ["GET", "POST"]
}

XGuard возвращает только метаданные учётных данных, например xcred_...; многоразовый секрет не возвращается.

2. Оператор выдаёт краткосрочную возможность

POST /v1/egress/capabilities
X-XGuard-Key: <usage-credit-key>
Content-Type: application/json

{
  "credential_id": "xcred_...",
  "target_origin": "https://api.github.com",
  "path_prefix": "/repos/",
  "allowed_methods": ["GET", "POST"],
  "ttl_seconds": 300,
  "max_calls": 10
}

Возвращаемая возможность xgc_... — это то, что получает агент.

3. Агент выполняет запрос без секрета вышестоящего сервиса

POST /v1/egress/fetch
Content-Type: application/json

{
  "capability": "xgc_...",
  "target": "https://api.github.com/repos/org/repo/issues",
  "method": "POST",
  "body_json": {
    "title": "Example"
  }
}

XGuard проверяет область действия возможности и биллинг, подставляет учётные данные GitHub на стороне сервера, отправляет один HTTPS-запрос и никогда не раскрывает агенту многоразовый токен GitHub.

Тарифный контракт:

GET /v1/egress/pricing

Текущая конфигурация расходует 1 Usage Credit XGuard за каждую авторизованную попытку исходящего запроса с использованием учётных данных. Биллинг фиксируется до расшифровки учётных данных и до исходящего сетевого трафика. Если биллинг не может быть зафиксирован, запрос к вышестоящему сервису не отправляется.

MCP

Канонический MCP-эндпоинт:

https://api.xguardgate.com/mcp

Инструменты, доступные агенту, включают:

xguard_secretless_egress
xguard_egress_fetch
xguard_action_rail

Создание многоразовых учётных данных намеренно не предоставляется в виде MCP-инструмента.

Action Rail под капотом

Secretless Egress является основной границей продукта. Под ней по-прежнему доступен XGuard Action Rail для более строгого контроля выполнения в отношении платежей, покупок, бронирований, сообщений, развёртываний, удалений, записи через API и вызовов инструментов.

POST /v1/mandates
POST /v1/actions/permits
POST /v1/actions/execute
GET  /v1/actions/permits/{permit_id}

Action Rail добавляет ограниченные мандаты, привязанные к запросу криптографические разрешения, отклонение повторов, устойчивое состояние выполнения и квитанции.

Универсальное и Edge-развёртывание

Для инфраструктуры, контролируемой оператором, XGuard также может быть размещён перед origin-сервером:

Internet / Ingress
      ↓
XGuard Universal Gate
      ↓
private origin

Репозиторий включает компоненты Cloudflare Edge Gate, переносимого развёртывания на Node, Docker, Docker Compose, Kubernetes и OpenAPI AutoGate.

Нативная совместимость с x402

x402 остаётся рельсом совместимости, а не определением XGuard.

GET  /supported
POST /verify
POST /settle
GET  /facilitator
GET  /.well-known/x402
GET  /v1/facilitator/route

XGuard остаётся некастодиальным шлюзом-фасилитатором x402 v2 с маршрутизацией с учётом возможностей, защитой от повторов, сверкой Base USDC и поведением fail-closed при неоднозначных расчётах.

Модель безопасности

• многоразовые учётные данные вышестоящих сервисов шифруются при хранении с использованием уникальных для каждой записи ключей AES-GCM, оборачиваемых уполномоченным центром XGuard через RSA-OAEP;

• секретные значения не включаются в возможности агентов;

• ключи Usage Credit оператора XGuard зашифровываются в состояние возможности и не передаются агентам;

• возможности привязывают origin, префикс пути, методы, срок действия и максимальное число вызовов;

• заголовки, предоставленные пользователем, не могут переопределить внедрённый заголовок учётных данных или управляющие заголовки XGuard;

• приватные/локальные целевые адреса и адреса самого XGuard блокируются;

• перенаправления не выполняются автоматически с внедрёнными учётными данными;

• биллинг фиксируется до расшифровки секрета и исходящего сетевого трафика;

• небезопасные методы получают сгенерированный XGuard Idempotency-Key, если вызывающая сторона не предоставила свой;

• XGuard не выполняет автоматический повтор запроса с учётными данными после сетевой неоднозначности.

Машинное обнаружение

GET /.well-known/xguard-egress.json
GET /.well-known/xguard-actions.json
GET /.well-known/xguard.json
GET /.well-known/ai-plugin.json
GET /.well-known/agent-card.json
GET /architecture
GET /v1/protocols
GET /openapi.json
GET /llms.txt
GET /skill.md
GET /sitemap.xml

Production-домены

https://xguardgate.com
https://api.xguardgate.com

Конфигурация Cloudflare Worker отключает публичный маршрут workers.dev, поэтому production-идентичность XGuard ограничена кастомными доменами XGuard.

Репозиторий:

https://github.com/moelayyan90/XGuard