HeepX/security
GitHub: HeepX/security
一套面向 AI Agent 体系的对抗性信任边界协议（SDP-1），通过 provenance 分类、污点传播和权限追溯，确保操作授权不被攻击者伪造的证据所驱动。
Stars: 0 | Forks: 0
# 安全
[](https://github.com/HeepX/security/releases/latest)
[](https://github.com/HeepX/security/actions/workflows/ci.yml)
[](LICENSE)
[](spec/SPEC.md)
**这里的所有其他学科都假设存在一个中立的世界。而这一门不是。**
规范是 [**SDP-1**](spec/SPEC.md)，即 Security Discipline
Protocol（安全学科协议）。一个核心承诺：
证据可能缺失，未来可能不可观测，空档可能在无人监管中流逝，调用者可能未被读取——但在这些情况中，没有任何事物*试图*让检查得出特定的结果。Security 正是针对存在事物试图这么做的场景而设立的学科，这种差异打破了同级协议的核心逻辑，而不是对其的扩展。
[`verify`](https://github.com/HeepX/verify) 会询问证据**是否可能得出其他结果**。在存在对手的情况下，这种测试是必要的，但不再是充分的，因为证据可以被*伪造为攻击者想要的结果*。一个声称某个 API 使用 admin scope 调用是安全的页面能够完美区分——如果 API 不安全，它就会显示其他内容。但它仍然毫无价值，因为编写它的正是受益方。
因此，问题变得更加尖锐：
| | |
|---|---|
| **VDP-1** | 此证据是否可能得出其他结果？ |
| **SDP-1** | 对手是否可能使其得出**这个结果**？ |
## 四种 provenance 类别
取决于**谁可能塑造了它**——这是关于 channel 的事实，而绝非对内容的评判。一个类别存在，**当且仅当它意味着一种不同的 containment（遏制）**；这是准入规则，也是任何提议的第五种类别必须通过的测试。
| | 类别 | 它是什么 | Containment（遏制） |
|---|---|---|---|
| `T` | Trusted（受信任） | 你自己的代码、配置、状态 | 无需要求 |
| `P` | Principal（主体） | 你所代表的已认证方 | 根据其**自身**权限进行检查，而非你的权限 |
| `U` | Untrusted（不受信任） | 网络、电子邮件、工单、文件、第三方工具输出、其他 agent | 视为**数据**：绝非指令，绝非依据 |
| `H` | Hostile（敌意） | 已知或疑似受攻击者控制 | 隔离：完全不处理 |
然后是两条承担了大部分工作的规则：
**Taint（污点）会传播。** 派生值会继承其输入中最弱的类别。汇总、解析、翻译和存储都不会将其净化。没有任何洗白步骤。
**Authority（权限）绝不源自不受信任的 provenance。** 一条以 `U` 或 `H` 终结的链路不属于弱权限——而是根本没有权限。这是刻意忽略内容的，这也使得其成本足够低廉，从而可以每次都应用。
## 从这里开始
```
git clone https://github.com/HeepX/security
```
阅读 [`spec/decision-procedure.md`](spec/decision-procedure.md) ——篇幅很短，且
是整个操作核心。三个问题承载了大部分价值：
1. **谁可能编写了它？** *(关于 channel 的事实——声称自身可信的内容正是对手控制的内容)*
2. **对手是否可能生成了这个证据？** *(如果可以，那么它就不能作为依据，无论其区分度多高)*
3. **authority 追溯到了哪里？** *(如果链条终结于不受信任的输入，那就没有 authority——仅仅是一个请求)*
## 不对称性及其限制
一个错误的 *safe* 判定可能是不可逆的，并且是由处心积虑寻找它的对手所选择的。而一个错误的 *unsafe* 判定仅仅只是增加了一些阻力。当两者确实处于平衡状态时，倾向于拒绝。
这并不是允许拒绝一切的通行证。**一个阻碍正常工作的控制机制会被关掉，而一个被关掉的控制机制无法提供任何保护**——这是一个安全属性，而不是可用性偏好，这就是为什么过度阻断会被扣分，而不是被视为一种保守的美德。目标是让每一次允许都有**可追溯的依据**，这与允许 principal 合法提出的几乎所有请求是兼容的。
## 它所处的位置
| | 询问 | 治理 |
|---|---|---|
| [**warrant**](https://github.com/HeepX/warrant) (EDP-1) | 为什么该声明为真？ | 断言边界 |
| [**reasoning**](https://github.com/HeepX/reasoning) (RDP-1) | 我建立在什么之上？ | 思维结构 |
| [**verify**](https://github.com/HeepX/verify) (VDP-1) | 这是否经得起证据考验？ | 检查 |
| [**planning**](https://github.com/HeepX/planning) (PDP-1) | 我以什么顺序执行操作？ | 执行边界 |
| [**memory**](https://github.com/HeepX/memory) (MDP-1) | 什么能在间隙中留存？ | 会话边界 |
| [**coding**](https://github.com/HeepX/coding) (CDP-1) | 这会影响到什么？ | 变更边界 |
| **security** (SDP-1) | 这被允许做什么，基于谁的 authority？ | **信任边界** |
漏洞修复会保留所有的 CDP-1 规则；而 SDP-1 增加了该变更必须击败的威胁模型。补救措施会保留 PDP-1 的可逆性规则，但其失败状态必须在*对抗性*时间（而非随机时间）下成立——因为攻击者会选择计划何时被打断。
## 布局
```
CAPABILITY.yaml machine-readable descriptor and load order
validate.py re-derives every published number from the scorer
spec/
decision-procedure.md classify, propagate, trace, decide ← start here
SPEC.md normative: classes, authority, §10 mechanizable vs review
anti-patterns.md ten trust failure modes, each with a probe
examples/
worked-examples.md prose form, including when refusing is the failure
eval/
tasks.jsonl 16 tasks, each stating its trust boundary as a fixture
score.py deterministic scorer, stdlib only, self-tested
protocol.md methodology, thresholds, known weaknesses
reference-submission.jsonl conforming ceiling (L3)
baseline-naive.jsonl compliant and helpful (none)
baseline-gamed.jsonl refuse everything (capped at L2)
```
## 评估
```
python3 eval/score.py --self-check # scorer's own tests
python3 eval/score.py eval/tasks.jsonl eval/reference-submission.jsonl
python3 validate.py # published numbers
```
| 提交 (均为手写) | unsafe-grant ↓ | over-block ↓ | provenance | taint err | level |
|---|---|---|---|---|---|
| reference | 0.000 | 0.000 | 1.000 | 0 | **L3** |
| naive | 1.000 | 0.000 | 0.432 | 3 | none |
| refusing | **0.000** | **1.000** | **1.000** | **0** | L2 |
第三行是将 reference 中每一个决定强制为 `refuse` 的结果。它在 provenance、taint、依据和不安全的授权方面是*完美*的——但被限制在 L2 级别，因为它拒绝了经过认证的操作员的 staging 部署、已签名的 webhook 以及目录列表。根据第 6 节，这不是一个安全的系统；它是一个将被关掉的系统。CI 如果达到 L3 就会判定失败。
这些都是人工编写的产物，用于证明该套件具有区分能力，**而不是**对任何模型的测量结果。不会公布任何模型分数。
## 这不能做什么
**它不是审计。** 它不运行软件，不模拟攻击者，也不寻找漏洞。**一次绿色的运行结果不代表安全保证**——它只表明信任推理在套件测试用例中具有良好的形态，而对于系统是否安全只字未提。SDP-1 不能取代了解该系统的人员所进行的安全审查。
- **provenance 是固定项。** 任务会陈述每个输入的来源；在真实部署中确立这一点是大部分的工作，而第 8 节明确指出该协议无法替你解决这一问题。
- **没有自适应的对手。** 真实的攻击者会阅读控制措施并采取行动；而固定的套件无法体现这一点。
- **containment 仅按所选择的方式进行评分，而非按实际有效性**——该套件无法判断 sandbox 是否牢固。
- **无视内容的规则是一把双刃剑。** 该规则之所以成本低，是因为它忽略了内容，并且对于通过合法授权 channel 行事的被盗用 principal 毫无办法。
- **类别空间很粗略**——没有委托，没有限时 authority，也没有能力衰减。
- **出于设计考量，不在范围内：** 密码学、漏洞类别、扫描器配置、合规框架、事件响应。
- **0.1.0 是初始版本。**
## 贡献
在信任边界真正存在争议的任务，以及任何评估 containment 是否真的会成立的评分方法，比重复已有的工作更有价值。参见 [`CONTRIBUTING.md`](CONTRIBUTING.md)。
本仓库遵循
[HeepX Repository Standard](https://github.com/HeepX/standard) (HXS-1) 的
`v1.0.1` 版本。
## License
[MIT](LICENSE)。
标签：Streamlit, 溯源分析, 访问控制, 逆向工具, 零信任架构