XGuard — Secretless Agent Gateway

规范生产 API

https://api.xguardgate.com

规范身份 — v5.0.2： XGuard Secretless Agent Gateway。Secretless Egress 是主要产品。 Action Rail 和 x402 facilitator 路由是兼容性通道。涉及 XGuard ACE、Solana/BAM 加速带、Child Safety、Web Extractor、Universal Facilitator Gateway、High-Velocity x402 Facilitator 或通用只支出控制平面的历史描述 不是当前的 XGuard 产品身份。参见 CANONICAL_IDENTITY.md。

XGuard 让可重复使用的上游凭据 远离 AI 代理。操作员只需存储一次 Stripe、GitHub、OpenAI、Anthropic、Slack、Notion、Cloudflare、Gemini 或自定义 API 凭据，然后只向代理授予一个短期的、受作用域限制的 XGuard 能力。

Operator secret
     ↓
Encrypted XGuard credential vault
     ↓
Scoped capability
     ↓
AI agent
     ↓
XGuard Secretless Egress
     ↓
credential injected server-side
     ↓
upstream API

代理永远不会收到可重复使用的上游凭据。

XGuard 只有在操作员将可重复使用的凭据仅保存在 XGuard 中并委托能力、而不是重新分发该凭据时，才成为真正的瓶颈。XGuard 不声称对无关的互联网流量进行控制。

为什么选择 Secretless Egress

自动代理中的可重复使用的 bearer token 可能被复制、记录、放入上下文中、在预期请求之外重用或泄露给不受信任的工具。XGuard 将原语从 持有秘密 转变为 持有受作用域限制的能力。

当前的 egress 边界提供：

• 加密的可重复使用凭据存储；

• 针对 OpenAI、Anthropic、GitHub、Stripe、Slack、Notion、Cloudflare 和 Gemini 的提供方预设；

• 自定义基于 header 的凭据，仅限于明确的公共 HTTPS 主机；

• 短期能力；

• 精确的 HTTPS 来源绑定；

• 路径前缀允许列表；

• HTTP 方法允许列表；

• 最大调用次数；

• 在秘密释放之前和出站网络 egress 之前进行 Usage Credit 计费；

• 不跨重定向自动转发凭据；

• 阻止私有/本地目标；

• 对不安全方法自动注入 Idempotency-Key；

• 网络不明确后不进行盲目的自动重放；

• MCP 发现与 egress 执行，而不向模型上下文暴露凭据配置。

Related MCP server: Broker

Egress API

机器可读契约：

GET https://api.xguardgate.com/v1/egress
GET https://api.xguardgate.com/.well-known/xguard-egress.json
GET https://api.xguardgate.com/.well-known/xguard-egress-key.json
GET https://api.xguardgate.com/v1/egress/providers

1. 操作员存储可重复使用的凭据

凭据配置有意设计为 操作员 API，而非 MCP 工具。

POST /v1/egress/credentials
X-XGuard-Key: <usage-credit-key>
Content-Type: application/json

{
  "provider": "github",
  "value": "<github-token>",
  "label": "production-github",
  "allowed_paths": ["/repos/"],
  "allowed_methods": ["GET", "POST"]
}

XGuard 只返回凭据元数据，例如 xcred_...；不会返回可重复使用的秘密。

2. 操作员签发短期能力

POST /v1/egress/capabilities
X-XGuard-Key: <usage-credit-key>
Content-Type: application/json

{
  "credential_id": "xcred_...",
  "target_origin": "https://api.github.com",
  "path_prefix": "/repos/",
  "allowed_methods": ["GET", "POST"],
  "ttl_seconds": 300,
  "max_calls": 10
}

返回的 xgc_... 能力就是代理收到的内容。

3. 代理在没有上游秘密的情况下执行

POST /v1/egress/fetch
Content-Type: application/json

{
  "capability": "xgc_...",
  "target": "https://api.github.com/repos/org/repo/issues",
  "method": "POST",
  "body_json": {
    "title": "Example"
  }
}

XGuard 验证能力作用域和计费，在服务端注入 GitHub 凭据，发送一个 HTTPS 请求，并且绝不会向代理暴露可重复使用的 GitHub token。

定价契约：

GET /v1/egress/pricing

当前配置在每次经授权的、凭据支持的 egress 尝试中消耗 1 个 XGuard Usage Credit。计费在凭据解密之前和出站网络 egress 之前提交。如果计费无法提交，则不发送上游请求。

MCP

规范 MCP 端点：

https://api.xguardgate.com/mcp

面向代理的工具包括：

xguard_secretless_egress
xguard_egress_fetch
xguard_action_rail

可重复使用凭据的创建有意 不 作为 MCP 工具暴露。

底层的 Action Rail

Secretless Egress 是主要产品边界。XGuard Action Rail 仍然在底层可用，为支付、购买、预订、消息、部署、删除、API 写入和工具调用提供更强的执行控制。

POST /v1/mandates
POST /v1/actions/permits
POST /v1/actions/execute
GET  /v1/actions/permits/{permit_id}

Action Rail 增加了受作用域限制的授权、绑定请求的加密许可、重放拒绝、持久执行状态和收据。

通用与 Edge 部署

对于操作员控制的基础设施，XGuard 也可以放置在源站之前：

Internet / Ingress
      ↓
XGuard Universal Gate
      ↓
private origin

仓库包含 Cloudflare Edge Gate、可移植 Node 部署、Docker、Docker Compose、Kubernetes 和 OpenAPI AutoGate 组件。

原生 x402 兼容性

x402 仍然是一个兼容性通道，而不是 XGuard 的定义。

GET  /supported
POST /verify
POST /settle
GET  /facilitator
GET  /.well-known/x402
GET  /v1/facilitator/route

XGuard 仍然是一个非托管的 x402 v2 facilitator 网关，具有能力感知路由、重放保护、Base USDC 对账以及对模糊结算采取故障关闭行为。

安全模型

• 可重复使用的上游凭据在静态时使用每条记录独立的 AES-GCM 密钥加密，这些密钥由 XGuard RSA-OAEP 权威包装；

• 秘密值不包含在代理能力中；

• 操作员的 XGuard Usage Credit 密钥被加密到能力状态中，不会交给代理；

• 能力绑定来源、路径前缀、方法、过期时间和最大调用次数；

• 用户提供的 header 不能覆盖注入的凭据 header 或 XGuard 控制 header；

• 阻止私有/本地目标和 XGuard 自身目标；

• 不会随注入的凭据自动跟随重定向；

• 计费在秘密解密和网络 egress 之前提交；

• 当调用方未提供 Idempotency-Key 时，不安全方法会收到 XGuard 生成的 Idempotency-Key；

• 网络不明确后，XGuard 不会自动重放凭据支持的请求。

机器发现

GET /.well-known/xguard-egress.json
GET /.well-known/xguard-actions.json
GET /.well-known/xguard.json
GET /.well-known/ai-plugin.json
GET /.well-known/agent-card.json
GET /architecture
GET /v1/protocols
GET /openapi.json
GET /llms.txt
GET /skill.md
GET /sitemap.xml

生产域名

https://xguardgate.com
https://api.xguardgate.com

Cloudflare Worker 配置禁用了公共的 workers.dev 路由，因此 XGuard 的生产身份仅限于自定义 XGuard 域名。

仓库：

https://github.com/moelayyan90/XGuard