@vitronai/alethia

Agent-native E2E mit verifizierbarer Sicherheit. Ihr Agent steuert einen echten Browser mit einfachem Englisch, und destruktive Aktionen werden durch ein Sicherheits-Gate blockiert, dessen Funktion Sie nachweisen können – mit signiertem Audit-Trail und ohne Cloud.

Installation

Claude Code – schnellster Weg (Plugin):

/plugin marketplace add vitron-ai/alethia-mcp
/plugin install alethia@vitronai

Das richtet sowohl den MCP-Server als auch die Skill in einem Schritt ein – kein manuelles npm install oder MCP-Config-Editieren nötig. Neustart oder /reload-plugins zum Aktivieren.

Claude Code – nur Skill (ohne Plugin):

mkdir -p ~/.claude/skills/alethia && \
  curl -fsSL https://raw.githubusercontent.com/vitron-ai/alethia-mcp/main/skills/alethia/SKILL.md \
    -o ~/.claude/skills/alethia/SKILL.md

Neustart. Wenn Sie es das nächste Mal bitten, eine Seite zu testen, stellt es fest, dass Alethia noch nicht konfiguriert ist, und führt Sie durch die Installation der Bridge selbst.

Alle anderen (Claude Desktop, Cursor, Cline, Continue):

npm install -g @vitronai/alethia

Dann fügen Sie das zu Ihrer MCP-Config des Clients hinzu:

{
  "mcpServers": {
    "alethia": {
      "command": "alethia-mcp"
    }
  }
}

Neustart des Clients nach dem Speichern. Die Runtime lädt sich beim ersten Aufruf eines Alethia-Tools automatisch herunter (signiert, ~100 MB). Standardmäßig öffnet sich ein Cockpit-Fenster zum Beobachten – mit ALETHIA_HEADLESS=1 ausblenden; in CI-Umgebungen wird es automatisch ausgeblendet.

Bridge upgraden: npm install -g @vitronai/alethia@latest. Seit 0.6.0 brauchen Sie für neue Runtime-Versionen keine neue Bridge – sie fragt bei jedem Start GitHub Releases ab.

Immer die neueste Version ausführen, ohne manuell zu aktualisieren:

{
  "mcpServers": {
    "alethia": {
      "command": "npx",
      "args": ["-y", "@vitronai/alethia@latest"]
    }
  }
}

Das @latest-Suffix ist wichtig – ohne es kann npx -y eine veraltete Version aus dem Cache verwenden. Abwägung: kostet 10–30 s bei kaltem Cache, und jeder Spawn zieht, was npm gerade ausliefert (eine globale Installation ist der sicherere Standard für compliance-relevante Arbeit, da sie sich nur bei explizitem Upgrade ändert).

Eine bestimmte Runtime-Version festpinnen (reproduzierbares CI, Bisection):

"env": { "ALETHIA_RUNTIME_VERSION": "0.4.0" }

Die Claude-Code-Skill installieren (optional; bringt Claude bei, wann welches Tool verwendet wird):

alethia-mcp --install-skill

Related MCP server: titmas-agent-action-gate

Was Sie sich wünschen können

Sie rufen diese Tools nicht direkt auf – formulieren Sie einfach Ihre Anfrage in normalem Englisch, und der Agent wählt das richtige Werkzeug.

Weitere einsatzbereite Beispiele: das Agent-Cookbook enthält vollständige Abläufe – Test-Bootstrap auf unbekannten Seiten, eine vollständige Compliance-Prüfung, parallele Seiten-Checks, eine Live-Partner-Demo. Jedes davon ist ein wörtlicher Prompt, den Sie einfügen können.

Alethia zu Ihrem Projekt hinzufügen

Keine projektbezogene Installation nötig – sobald der MCP-Server konfiguriert ist, kann jeder Agent in jedem Projekt Alethia nutzen.

1. Legen Sie eine .alethia-Datei irgendwo ab, wo Ihr Repository Testcode erwartet – z. B. tests/e2e/, oder wo immer es passt.

   # tests/e2e/login.alethia
   name login flow
   navigate to http://127.0.0.1:5173
   assert "Sign in" is visible
   click Sign in
   type dev@company.com into the email field
   assert dashboard is visible

2. Bitten Sie Ihren Agenten, sie auszuführen: "Run tests/e2e/login.alethia against http://127.0.0.1:5173."

3. In CI läuft es auch ohne Agenten oder MCP-Host:

   alethia run tests/e2e/login.alethia

   Exit-Code 0 bei Erfolg, 1 bei Fehlschlag. Fertiges Workflow-Beispiel: examples/github-actions.yml.

Eine funktionierende Referenz (Demo-App + Specs + CI + Benchmark) finden Sie unter vitron-ai/alethia-anvil.

Warum nicht einfach Cypress oder Playwright?

Und es ist nicht nur ein Testwerkzeug – bitten Sie einen Agenten, getComputedStyle() oder offsetWidth auf einer Seite zu prüfen, die er gerade aktiv aufbaut, und Sie erhalten eine Live-Antwort direkt aus dem DOM statt eines Neu-laden-und-inspizieren-Zyklus.

Tiefer einsteigen: Architektur · Sicherheits-Gate · FAQ · UI-Muster für agentengesteuertes Testen

CLI-Flags

alethia-mcp                  Run as a stdio MCP server (default)
alethia-mcp run <path>       Run an NLP test file from the shell (CI mode)
alethia-mcp run --nlp "..."  Run inline NLP from the shell
alethia-mcp run -            Read NLP from stdin
alethia-mcp --version        Print the version and exit
alethia-mcp --health-check   Probe the Alethia runtime and exit 0/1
alethia-mcp --debug          Run with debug logging on stderr

Zusätzlich wird ein kürzerer alethia-Alias (gleiche Binärdatei) installiert, sodass der Run-Unterbefehl auch als alethia run <pfad> aufgerufen werden kann.

Umgebungsvariablen

So hält sich die Bridge selbst aktuell

• Die Runtime installiert sich bei der ersten Nutzung automatisch aus signierten GitHub-Releases (Ed25519-verifiziert). Die Bridge fragt GitHub beim ersten Start nach der aktuellen Version ab (1 h gecacht) – es gibt keinen Versions-Pin im Bridge-Quellcode, sodass eine global installierte Bridge weiterhin aktuelle Runtimes bezieht, sobald sie erscheinen.

• Die Bridge aktualisiert sich außerdem selbst (seit 0.8.0): prüft npm beim Start, verifiziert den SHA-512 des Tarballs, installiert nach ~/.alethia/bridge/<version>/. Überschreitet niemals ohne explizites Zutun eine Hauptversion; eine neue Version wird erst vertrauenswürdig, nachdem sie einen echten MCP-Handshake abgeschlossen hat, und Versionen, die davor abstürzen, werden nach 3 Versuchen unter Quarantäne gestellt.

• Die gebündelte Claude-Code-Skill aktualisiert sich auf demselben Weg – bei jedem Spawn wird sie mit ~/.claude/skills/alethia/SKILL.md verglichen und bei Abweichung überschrieben.

Fehlerbehebung

„Alethia desktop runtime is not running" – führen Sie alethia-mcp --health-check aus (löst bei Bedarf die Auto-Installation aus). Falls das fehlschlägt, prüfen Sie die Netzwerkerreichbarkeit zu GitHub.

"WRITE_HIGH" / "EA1 POLICY BLOCK" im Audit-Log — eine destruktive Aktion wurde blockiert. Das ist korrektes Fail-Closed-Verhalten — kein Fehler, der behoben werden muss. Eine Erweiterung erfordert menschliche Konfiguration; ein Agent kann das nicht aus einem Aufruf heraus vornehmen.

"SENSITIVE_INPUT_DENIED" — ein Passwort-/Token-/Kreditkartenfeld wurde erkannt. Nur mit allowSensitiveInput: true für legitime Authentifizierungs-/Zahlungstests überschreiben.

Der MCP-Client sieht die Tools nicht — führe alethia-mcp --health-check aus, prüfe die Struktur deiner Konfiguration, starte deinen Client neu und setze ALETHIA_DEBUG=1, um den Bridge-Datenverkehr zu protokollieren.

"Server transport closed unexpectedly" / Bridge beendet sich lautlos — in der Regel eine veraltete zwischengespeicherte Bridge. Wenn du npx -y @vitronai/alethia ohne @latest verwendest, füge es hinzu oder führe rm -rf ~/.npm/_npx aus. Bei einer globalen Installation führe npm install -g @vitronai/alethia@latest aus. Beende dann deinen Client vollständig und starte ihn neu (unter macOS Cmd-Q, nicht nur das Fenster schließen).

"Ich sehe ein neues Release auf GitHub, aber meine Laufzeitumgebung wurde nicht aktualisiert" — die "Was ist aktuell"-Prüfung wird eine Stunde lang zwischengespeichert. Leere den Cache mit rm ~/.alethia/.latest-release ~/.alethia/.bridge-registry-cache und starte dann deinen Client neu.

Sicherheitslage

Die Laufzeitumgebung ist architekturbedingt rein lokal: ihre signierte Binärdatei weigert sich, irgendwohin außerhalb von file://, localhost, 127.0.0.1, .local und privaten RFC1918-Adressbereichen zu navigieren. Das ist eine Compile-Zeit-Konstante — kein Flag, keine Umgebungsvariable und kein UI-Schalter kann sie ändern. Vollständiges Bedrohungsmodell und Offenlegungsprozess: SECURITY.md. Missbrauchsmeldungen: team@vitron.ai.

Datenschutz

Architekturbedingt rein lokal — außerhalb deines Rechners wird nichts erfasst, übertragen oder gespeichert. Seiteninhalte, Screenshots und Testanweisungen werden lokal verarbeitet und nie irgendwohin gesendet. Beweispakete werden nur auf ausdrückliche Anfrage in dein Dateisystem geschrieben. Keine Telemetrie, keine Analysen, keine Absturzberichte. Fragen: team@vitron.ai.

Lizenz und Patenthinweis

Diese Bridge ist MIT-lizenziert — siehe LICENSE. Die Alethia-Laufzeitumgebung selbst ist zum Patent angemeldet (U.S. Application No. 19/571,437); die MIT-Lizenz dieser Bridge erteilt keine Patentlizenz für die Laufzeitumgebung. Die kommerzielle Nutzung der Laufzeitumgebung erfordert möglicherweise eine separate Lizenz. Lizenzanfragen: team@vitron.ai.