MCPKernel — Ядро безопасности для ИИ-агентов

Open-source шлюз безопасности MCP/A2A, который предотвращает отравление инструментов, утечку данных, инъекции промптов и атаки типа «rug-pull» — с поддержкой политик, отслеживанием утечек, изолированным выполнением, детерминированными оболочками, аудитом навыков и аудитом Sigstore для каждого вызова инструмента ИИ-агентом. Работает с Claude Desktop, Cursor, VS Code, Windsurf, OpenClaw и любым MCP-клиентом. Соответствует стандарту OWASP ASI 2026.

Читать полную документацию →

Быстрый старт

Вариант А: Шлюз безопасности (режим прокси)

pip install "mcpkernel[all]"
mcpkernel serve --host 127.0.0.1 --port 8000

Направьте ваш MCP-клиент на http://localhost:8000/mcp вместо прямого обращения к серверам инструментов. Теперь каждый вызов инструмента проверяется на соответствие политикам, сканируется на наличие утечек, изолируется и логируется для аудита.

Вариант Б: MCP-сервер (режим инструментов — одна команда)

pip install mcpkernel
mcpkernel install claude    # or: cursor, vscode, windsurf, zed, openclaw, goose

Это добавляет MCPKernel как MCP-сервер в вашу IDE. Ваш агент теперь может вызывать mcpkernel_scan_tool, mcpkernel_check_taint, mcpkernel_validate_policy и другие — нативно.

Вариант В: Python API

from mcpkernel import MCPKernelProxy

async with MCPKernelProxy(
    upstream=["http://localhost:3000/mcp"],
    policy="strict",
    taint=True,
) as proxy:
    result = await proxy.call_tool("read_file", {"path": "data.csv"})

Или защитите любую функцию с помощью одного декоратора:

from mcpkernel import protect

@protect(policy="strict", taint=True)
async def read_data(path: str) -> str:
    return Path(path).read_text()

Related MCP server: mcp-guardian

Почему MCPKernel?

ИИ-агенты (LangChain, CrewAI, AutoGen, Copilot, OpenClaw) вызывают инструменты автономно — читают файлы, выполняют код, делают HTTP-запросы. В экосистеме MCP более 344 зарегистрированных уязвимостей только в проектах вроде OpenClaw, включая критические угрозы: отравление инструментов, повышение привилегий, утечку данных и эксплойты типа «rug-pull».

MCPKernel — это недостающая точка контроля. Он находится между вашим агентом и серверами инструментов MCP, обеспечивая соблюдение политик безопасности при каждом вызове:

┌─────────────┐     ┌──────────────────────────┐     ┌─────────────┐
│  AI Agent    │────▶│       MCPKernel           │────▶│  MCP Tool   │
│ (LangChain,  │◀────│  Security Gateway        │◀────│  Server     │
│ CrewAI,      │     └──────────────────────────┘     └─────────────┘
│ OpenClaw,    │      │ Policy │ Taint │ Sandbox │
│ Cursor, etc) │      │  DEE   │ Audit │ eBPF    │
└─────────────┘      │ Skills │ DLP   │ Doctor  │

Что происходит с каждым вызовом инструмента:

Проблема безопасности MCP

Экосистема MCP быстро растет, но безопасность не поспевает. Вот реальные угрозы, от которых защищает MCPKernel:

В OpenClaw более 344 уязвимостей, включая 2 критические RCE, проблемы обхода области действия и пробелы в аутентификации вебхуков. MCPKernel — это уровень безопасности, который необходим таким платформам, как OpenClaw, но не встроен в них.

Функции

Основной конвейер безопасности

• YAML-движок политик — определение правил разрешения/запрета/аудита/песочницы для каждого инструмента, шаблона аргументов или метки утечки

• Отслеживание утечек — автоматическое обнаружение секретов, PII, ключей API, JWT в аргументах вызовов инструментов

• Обнаружение цепочек DLP — предотвращает утечки данных между границами инструментов (база данных → HTTP заблокировано)

• 4 бэкенда песочницы — Docker, микро-ВМ Firecracker, WASM, Microsandbox

• Детерминированные оболочки выполнения (DEE) — каждое выполнение хешируется и подписывается через Sigstore для повторного воспроизведения

• Соответствие OWASP ASI 2026 — встроенные наборы политик, соответствующие ASI-01 — ASI-08

• Логи аудита только для добавления — на базе SQLite, с хешированием содержимого и экспортом в CEF/JSONL/CSV/SARIF

Обнаружение угроз и сканирование

• Сканер отравления инструментов — обнаруживает скрытые инструкции, Unicode-обфускацию и инъекции промптов в описаниях инструментов MCP

• Сканер навыков — проверяет файлы SKILL.md OpenClaw/ClawHub на наличие опасных команд оболочки, паттернов кражи данных и скрытых инструкций

• Обнаружение конфигураций MCP — автоматический поиск конфигураций MCP в Claude, Cursor, VS Code, Windsurf, Zed, OpenClaw, Goose

• Мост сканирования Snyk Agent — запуск CLI agent-scan от Snyk и автоматическая генерация правил политики на основе результатов

Интеграция с несколькими клиентами

• Установка одной командой — mcpkernel install claude добавляет инструменты безопасности в любую поддерживаемую IDE

• MCPKernel как MCP-сервер — предоставление функций сканирования, проверки и диагностики как нативных инструментов агента

• 7 поддерживаемых клиентов — Claude Desktop, Cursor, VS Code, Windsurf, Zed, OpenClaw, Goose

• Навык безопасности OpenClaw — устанавливаемый пакет навыков для экосистемы OpenClaw/ClawHub

Опыт разработчика

• Python API — класс MCPKernelProxy и декоратор @protect для программного использования

• Пресеты политик — встроенные пресеты permissive, standard и strict — безопасность без настройки

• Диагностика Doctor — mcpkernel doctor проверяет Python, зависимости, конфигурацию, открытые секреты, разрешения

• Расширение VS Code — дерево обнаруженных серверов, панель находок безопасности, встроенные команды

Платформа и наблюдаемость

• Конвейер плагинов в стиле Kong — pre_execution → execution → post_execution → log с приоритетами

• Ограничение частоты запросов — токен-бакет для каждой сущности с вытеснением LRU

• Метрики Prometheus + OpenTelemetry — полная наблюдаемость «из коробки»

• Опциональные зонды eBPF — мониторинг системных вызовов на уровне ядра на границах MCP

• Интеграция манифеста агента — загрузка agent.yaml, преобразование требований соответствия (FINRA/SEC) в правила политики, блокировка незаявленных инструментов

• Экспорт наблюдаемости Langfuse — асинхронный пакетный экспорт в Langfuse для аналитики уровня LLM

• Валидация Guardrails AI — улучшенное обнаружение PII, секретов и токсичности через валидаторы Guardrails hub

• Реестр MCP-серверов — поиск и проверка вышестоящих MCP-серверов из официального реестра

Граф причинно-следственного доверия (CTG) — Новое исследование

• Адаптивное затухание доверия — доверие к инструменту/серверу экспоненциально снижается: T(t) = T₀ · e^{-λ(t-t₀)} · Π w(vᵢ)

• Ретроактивное аннулирование утечек — при компрометации источника все последующие данные ретроактивно помечаются как скомпрометированные

• Поведенческое снятие отпечатков — обнаружение аномальных паттернов вызова инструментов через z-оценки топологии графа

• Вычисление минимальных привилегий — получение доказуемо минимальных разрешений из наблюдаемых причинно-следственных цепочек

• Анализ причинно-следственных цепочек — отслеживание любого вывода инструмента до его корневых источников данных

Защита безопасности (Спецификация MCP 2025-11-25)

• Защита от «запутанного заместителя» — предотвращает атаки делегирования между серверами с помощью списков разрешенных инструментов/серверов

• Защита передачи токенов — блокирует утечку учетных данных (ключи OpenAI, GitHub PAT, ключи AWS, JWT) в аргументах и результатах

• Защита от SSRF — блокирует частные сети, метаданные облака (169.254.169.254) с помощью списков разрешенных доменов

• Защита от угона сессии — сессии с привязкой HMAC и проверкой отпечатков клиента

• Защита от отравления памяти — обнаруживает самоподкрепляющиеся инъекции (агенты-зомби) с помощью оценки повторений

• Единый конвейер безопасности — выполнение всех проверок в одном вызове pipeline.check_tool_call()

Пресеты соответствия

• Активация одной строкой — apply_preset("hipaa", settings) настраивает все элементы управления безопасностью

• 5 встроенных пресетов — HIPAA, SOC 2, PCI DSS v4.0, GDPR Статья 25, FedRAMP High

• Настройка через YAML — установите compliance.preset: hipaa в вашем файле конфигурации

Начало работы

# Install with all backends
pip install "mcpkernel[all]"

# Start the security gateway
mcpkernel serve --host 127.0.0.1 --port 8000

Направьте ваш MCP-клиент на http://localhost:8000/mcp вместо прямого обращения к серверам инструментов.

Добавьте MCPKernel как MCP-сервер (инструменты безопасности, вызываемые агентом)

# Install into your IDE — one command
mcpkernel install claude    # Claude Desktop
mcpkernel install cursor    # Cursor IDE
mcpkernel install vscode    # VS Code + Copilot
mcpkernel install windsurf  # Windsurf
mcpkernel install zed       # Zed
mcpkernel install openclaw  # OpenClaw
mcpkernel install goose     # Goose

После установки ваш агент может вызывать эти инструменты безопасности нативно:

Запуск диагностики работоспособности

mcpkernel doctor

Проверяет: версию Python, зависимости, корректность файла конфигурации, открытые секреты в среде, доступность инструментов и права доступа к файлам.

Ска