AlMoutmag 1.1

AlMoutmag 1.1 — Sichere MCP-Brücke (Model Context Protocol) zwischen Cloud-KI-Agenten (z.ai / Claude / Cursor) und dem lokalen Windows-Rechner.

AlMoutmag 1.1 — Sichere Brücke zwischen Cloud-KI-Agenten (z.ai / Claude / Cursor) und dem lokalen Windows-Rechner über das MCP-Protokoll.

Rückwärtskompatibel mit 1.0-Clients — der /v12/health-Alias und der OAuth/DPoP-Ablauf von 1.0 sind unverändert. Siehe CHANGELOG-Abschnitte unten für die Neuerungen in 1.1.

Englisch

Was es ist

AlMoutmag 1.1 ist ein Python-3.12+-Server, der unter Windows 11 läuft und einen lokalen MCP (Model Context Protocol)-Endpunkt bereitstellt. Cloud-KI-Agenten (z.ai / Claude / Cursor, ausgeführt unter Linux) verbinden sich über einen Cloudflare-Tunnel und führen Tools auf dem Benutzer-Rechner aus — Systeminformationen, Dateioperationen, Browser-Automatisierung, Computer-Use, über 40 Coding-Tools usw. — mit Rückmeldung der Ergebnisse an die KI.

Es ist Sicherheit an erster Stelle per Design: 10 Schutzschichten, deny-by-default-Tool-Allowlists, tamper-evidentes Audit-Log, Dateiintegritätsmonitor mit Kill-Switch, OAuth 2.1 + DPoP-Token-Bindung und strukturiertes JSON-Logging.

Neu in 1.1 — siehe den Abschnitt Neuerungen in v1.1 unten für die vollständige Liste. Die Highlights: 40+ Coding-Tools, @cached_tool- Leistungsschicht, SSE-Streaming für langlebige Tools, ein WebSocket für Live-Coding, Tool-Komposition im Unix-Pipe-Stil und Hintergrund-Jobs.

Architektur

┌──────────────┐    Cloudflare Tunnel    ┌─────────────────┐
│  z.ai / GLM  │ ◄──────────────────────►│  AlMoutmag 1.1  │
│  Claude      │   MCP Streamable HTTP   │  (Windows 11)   │
│  Cursor      │   OAuth 2.1 + DPoP      │                 │
└──────────────┘                          └────────┬────────┘
                                                   │
                                          ┌────────┴────────┐
                                          │  Tool registry  │
                                          │  (31 categories)│
                                          │  350+ tools     │
                                          └────────┬────────┘
                                                   │
                                          ┌────────┴────────┐
                                          │ Windows machine │
                                          │ (files, apps,   │
                                          │  browser, code) │
                                          └─────────────────┘

Schnellstart

# 1. Clone and create venv
git clone https://github.com/USERNAME/almoutmag-1.0.git
cd almoutmag-1.0
python -m venv venv
.\venv\Scripts\Activate.ps1

# 2. Install dependencies
pip install -e ".[dev]"
playwright install chromium

# 3. Generate OAuth keys (Ed25519)
python scripts/gen_keys.py

# 4. Copy config and edit
Copy-Item config.yaml.example config.yaml
Copy-Item .env.example .env
# Edit config.yaml — set dev_mode: true for first run

# 5. Run dev server
python scripts/dev_start.py
# Server now listening on http://127.0.0.1:8452
# dev_token is printed to stderr — export it:
#   $env:ALMOUTMAG_DEV_TOKEN="<paste token>"

In dev\_mode kannst du jetzt statt DPoP Bearer verwenden (1.1-Abkürzung — nützlich für lokale curl-/PowerShell-Skripte). Produktionsverkehr erfordert weiterhin DPoP <token> + den Header DPoP als Nachweis:

# In dev_mode, you can now use Bearer instead of DPoP:
curl -H "Authorization: Bearer $ALMOUTMAG_DEV_TOKEN" http://127.0.0.1:8452/info

# Production path is unchanged (OAuth 2.1 + DPoP):
curl -H "Authorization: DPoP $ACCESS_TOKEN" -H "DPoP: $DPoP_PROOF" \
  http://127.0.0.1:8452/info

MCP-Endpunkte

Related MCP server: WinCommander

Neuerungen in v1.1 (Coding Tools + Performance)

Die Version 1.1 macht AlMoutmag zu einem leistungsstarken Programmier-Assistenten auf dem Benutzer-Rechner, während das gesamte Verhalten von 1.0 erhalten bleibt.

Weitere Details im docs/CODING_TOOLS.md mit Beispiel-MCP-Requests/Antworten für jedes Tool.

Abhängigkeiten (12 — streng)

Entwicklung: pytest, pytest-asyncio, ruff, mypy, pyinstaller.

Tests

python -m pytest tests/ -v
python -m ruff check .
python -m mypy core/ server/

Alle Tests sind LIVE-Integrationstests — sie senden echte HTTP-Requests an eine Instanz von aiohttp.test_utils.TestClient. Keine statischen Grep-Tests.

213 bestanden (von 164 in 1.0 erhöht — die 49 neuen Tests decken Coding-Tools, Caching, SSE-Stream, WebSocket-Code-Session, pipe_run und Background-Jobs in tests/test_coding.py ab).

Dokumentation

• docs/ARCHITECTURE.md — Systemarchitektur

• docs/SECURITY.md — Sicherheitsmodell in 10 Ebenen

• docs/MCP_COMPATIBILITY.md — Wie z.ai/Claude/Cursor sich verbinden

• docs/API.md — REST-API-Referenz

• docs/Coding_Tools.md — Referenz für v1.1-Coding-Tools (40+ Tools)

Mit .exe bauen

python scripts/build_exe.py
# Output: dist/AlMoutmag.exe

Arabisch

Was ist AlMoutmag 1.1?

AlMoutmag 1.1 ist ein Python-3.12+-Server, der auf Windows 11 läuft und einen lokalen MCP-Endpunkt bereitstellt. Cloud-KI-Agenten (z.ai / Claude / Cursor, die auf Linux laufen) verbinden sich über einen Cloudflare-Tunnel und führen Tools auf dem Benutzer-Rechner aus — Systeminformationen, Dateioperationen, Browser-Automatisierung, Computer-Use, über 40 Programme usw. — und liefern die Ergebnisse an die KI.

Vollständig abwärtskompatibel mit 1.0 (Der /v12/health-Alias und der OAuth/DPoP-Ablauf haben sich nicht geändert).

Neu in 1.1 — 40+ Coding-Tools, Caching-Schicht @cached_tool, SSE-Streaming für langlebige Tools, WebSocket für Live-Coding, Pipe-artige Tool-Verketting und Hintergrund-Jobs. Details in docs/CODING_TOOLS.md.

Es ist darauf ausgelegt, Sicherheit an erster Stelle zu setzen: 10 Schutzebenen, deny-by-default-Allowlists, watertight even eingan- Protokoll, Dateiintegritätsmonitor mit Kill-Switch, OAuth 2.1 + DPoP-Tokenbindung, Rohr. Logging.

Dcción

Architektur

┌──────────────┐    Cloudflare Tunnel    ┌─────────────────┐
│  z.ai / GLM  │ ◄──────────────────────►│  AlMoutmag 1.0  │
│  Claude      │   MCP Streamable HTTP   │  (Windows 11)   │
│  Cursor      │   OAuth 2.1 + DPoP      │                 │
└──────────────┘                          └────────┬────────┘
                                                   │
                                          ┌────────┴────────┐
                                          │  سجل الأدوات    │
                                          │  (30 فئة)       │
                                          └────────┬────────┘
                                                   │
                                          ┌────────┴────────┐
                                          │  جهاز Windows   │
                                          │  (ملفات، تطبيقات│
                                          │   متصفح، ...)   │
                                          └─────────────────┘

Schnellstart

# 1. استنساخ وإنشاء venv
git clone https://github.com/USERNAME/almoutmag-1.0.git
cd almoutmag-1.0
python -m venv venv
.\venv\Scripts\Activate.ps1

# 2. تثبيت التبعيات
pip install -e ".[dev]"
playwright install chromium

# 3. توليد مفاتيح OAuth (Ed25519)
python scripts/gen_keys.py

# 4. نسخ الإعدادات وتعديلها
Copy-Item config.yaml.example config.yaml
Copy-Item .env.example .env
# عدّل config.yaml — اضبط dev_mode: true لأول تشغيل

# 5. تشغيل خادم التطوير
python scripts/dev_start.py
# الخادم يستمع على http://127.0.0.1:8452

Die zehn Sicherheitsschichten

1. OAuth 2.1 + DPoP — bindelnt das Token an einen Ed25519-Schlüssel des Clients

2. 5 Stufen von danger\_level — Stufe 0 public, Stufe 4 needs-Job immer abgelehnt

3. Sicherheitsschicht — deny by default, nur 60+ sichere Befehle

4. Audit-Log — SQLite WAL + AES-256-GCM + HMAC-SHA256-Kette

5. FIM — Dateiintegritätsmonitor + Kill Switch (Aufruf os.\_exit(99))

6. Rate Limiting — 100/Min. pro IP, 1000/Min pro Token

7. Anomalie-Erkennung — Warnt bei 3x, blockiert bei 5x

8. HoneyTokens — gefälschte Schlüssel zur Erkennung von Einbrüchen

9. Netzwerksicherheit — standardmäßig nur localhost, Cloudflare-Tunnel optional

10. Request ID + strukturiertes Logging — UUID pro Anfrage + Maskierung von Geheimnissen

Abhängigkeiten (12 — streng)

Entwicklung: pytest, pytest-asyncio, ruff, mypy, pyinstaller.

Tests

python -m pytest tests/ -v
python -m ruff check .
python -m mypy core/ server/

Alle Tests sind LIVE-Integrationstests — sie senden echte HTTP-Anfragen an eine aiohttp.test_utils.TestClient-Instanz. 213 bestanden (gegenüber 164 in 1.0 — 49 neue Tests in tests/test_coding.py).

Hinweise

• docs/ARCHITECTURE.md — Systemarchitektur

• docs/SECURITY.md — Sicherheitsmodell in 10 Ebenen

• docs/MCP_COMPATIBILITY.md — Wie z.ai/Alice/Cursor sich verbinden

• docs/API.md — REST-API-Referenz

• docs/CODING_TOOLS.md — Referenz für v1.1-Code-Tools (über 40 Tools)

Mit .exe bauen

python scripts/build_exe.py
# الناتج: dist/AlMoutmag.exe

Verbotenes (18)

Siehe docs/SECURITY.md für die vollständige Liste. Die wichtigsten:

• Kein lokales AI/LLM

• Kein subprocess mit shell=True

• Kein eval()/exec() auf Benutzereingaben ohne Sandboxing

• Kein überschreibbares danger_level=4

• Keine Middlewares ohne @web.middleware-Dekorator

• Keine reinen Static-grep-Tests (alle LIVE HTTP)

• Keine zusätzlichen Abhängigkeiten außerhalb der 12 festgelegten

Lizenz

MIT — © 2026 AlMoutmag Team