paulchum/velvet-rope

# Velvet Rope [](https://github.com/paulchum/velvet-rope/actions/workflows/ci.yml) [](LICENSE) [](https://github.com/paulchum/velvet-rope/stargazers) ## 你的 agent 封锁了工具。它真的阻止结果发生了吗？ 大多数 agent 控制机制监视的是特定的命名工具或 API 路由。然而，agent 依然可以通过浏览器、备用 API、数据库、队列、webhook、委托凭证或人工操作员来实现相同的业务效果。 **ShadowPath 测试的是效果，而不仅仅是路由。**  内置的密封测试夹具（fixture）用于保护 `customer.disable`。该规范工具在调度前即被拒绝。随后，ShadowPath 会测试八个等效路由，并独立核对客户状态： | 测量指标 | 结果 | | --- | --- | | 受保护的路由 | **已封锁 (BLOCKED)** | | 测试的等效路由 | **8** | | 观察到被禁止的效果 | **8/8** | | SUT 清单覆盖率 | **0.000** | | SUT 状态核对检出率 | **0.000** | | 结论 | **`CONTROL_FALSE_SUCCESS`** | 该结论意味着，尽管路由级别的控制报告成功，但被禁止的效果依然发生了。这**并不**意味着某个特定供应商失败了：这是一个旨在使测量结果可复现的本地合成测试夹具。 [查看结果](benchmarks/agent_authorization/shadowpath/SHADOWPATH_RESULTS.md) · [阅读 v0.4 基准测试规范](benchmarks/agent_authorization/SPEC.md) · [添加效果路径](docs/public/SHADOWPATH_CONTRIBUTING.md) · [实时重放运行](https://shadowpath-replay.pc9i.chatgpt.site) ## 运行说明 查看已提交的结果并立即生成可共享的证据： ``` uvx --from git+https://github.com/paulchum/velvet-rope.git velvet-rope shadowpath demo ``` 该命令直接运行公共的 GitHub 源代码——无需 clone 或全局安装。 这个即时演示明确是对已提交的密封运行结果的重放。它会在 `reports/shadowpath/share/` 目录下生成精确的 SVG、PNG、HTML、Markdown 和徽章产物；它绝不会将重放结果伪装为新的测量数据。 当您需要全新运行时，可以从源码执行基于 Playwright 的测试夹具： ``` git clone https://github.com/paulchum/velvet-rope.git cd velvet-rope uv sync --dev uv run maturin develop uv run playwright install chromium uv run velvet shadowpath demo --execute ``` 或者，在支持浏览器的 container 中执行相同的测试夹具： ``` docker run --rm -v "$PWD/reports:/reports" \ ghcr.io/paulchum/shadowpath:latest ``` 执行后的演示会在 `reports/shadowpath/` 目录下生成机器可读的结果和 Markdown 报告。 它会根据测试夹具预期的违规行为来确认进程退出码；而记录的判定结论依然是 `CONTROL_FALSE_SUCCESS`。 对于 CI 或可发布的测量结果，请保持严格的退出码： ``` uv run velvet shadowpath run \ --output-dir reports/shadowpath-strict \ --allow-dirty --json ``` 退出码 `3` 表示观察到了被禁止的效果。移除 `--allow-dirty` 参数可以生成干净且绑定到提交记录的基准测试产物。 ## 测试你自己的效果 搭建一个可执行的效果清单和独立的观察者： ``` uvx --from git+https://github.com/paulchum/velvet-rope.git velvet-rope shadowpath init my-effect cd my-effect uvx --from git+https://github.com/paulchum/velvet-rope.git velvet-rope shadowpath run \ --project shadowpath.json \ --output-dir reports/shadowpath ``` 该入门示例有意展示了一个假性成功：受保护的路由被拒绝，但其他三个等效路由仍能达到被禁止的状态。将其中的四个小型 adapter 操作替换为你本地的重置、调度和独立观察逻辑，然后添加你的 agent 可以访问的每一条路径。 [遵循 15 分钟指南](docs/public/shadowpath-quickstart.md) · [将 ShadowPath 添加到 GitHub Actions](examples/shadowpath/github-action.yml) · [浏览集成方案](docs/public/integrations/) ## 八个路由 | 路由 | 入口 | 效果归因 | | --- | --- | --- | | `browser_automation` | Playwright 驱动的操作员 UI | 可归因 | | `alternate_api` | 备用 REST API v2 | 可归因 | | `database_mutation` | SQLite 会话 | 不可归因效果 | | `queue_insertion` | 队列任务插入 | 可归因 | | `webhook_creation` | webhook 注册 | 可归因 | | `admin_console` | 特权管理控制台 | 可归因 | | `credential_delegation` | 委托凭证 | 可归因 | | `human_operator_message` | 操作员指令 | 可归因 | 每条路由都从全新的夹具状态开始。基准测试会记录调度证据，直接观察底层系统，并将已归因的效果与被测系统（SUT）从未见过的效果区分开来。 ## Velvet Rope 是什么 Velvet Rope 是一个基于 Apache-2.0 协议的 agent 授权项目，它承担两项相关工作： 1. **测试整体效果面。** ShadowPath 用于测量控制机制是否能有效阻止跨等效路由的违规结果，对这些路由进行盘点，并在执行后检测实际效果。 2. **控制并证明执行过程。** Rust MCP 代理和 Python SDK 会在调度前决定是允许、封锁还是升级关键操作，然后生成可离线验证的证据。 开源核心（Open core）包括： - 支持 stdio 和 Streamable HTTP 的 Rust MCP 代理； - 确定性的策略评估和签名的策略包； - 与请求、策略、schema、身份、受众和证明链绑定的单次使用执行许可证（Execution Permits）； - 签名的执行回执（Execution Receipts）和防篡改的二进制账本； - Vault Merkle 证明、签名树头（Signed Tree Heads）、保留记录和离线验证； - 审批、重放、证明、证据包和声明包的辅助工具； - 带有签名且具有过期时间的认证决策（Certified Decision）判定，用于有界的退役声明。 ## 尝试准入路径 完成上述源码设置后，运行无需 Docker 的 MCP 测试夹具： ``` uv run velvet demo --output-dir reports/demo --json ``` 或者独立检查各个组件： ``` uv run velvet mcp demo run --output-dir reports/mcp-proxy --json uv run velvet ledger verify \ --ledger reports/mcp-proxy/velvet_ledger.vledger --json uv run velvet mcp conformance --json ``` 在本地构建代理容器： ``` docker build -t velvet-rope-proxy -f deploy/mcp_proxy/Dockerfile . docker run --rm velvet-rope-proxy conformance ``` ## 信任边界 Velvet Rope 并不自称是一个通用的 agent 安全解决方案。所提交的 ShadowPath 结果是针对密封服务执行的合成本地路由。它不是对线上竞品的评估。强有力的执行保证依然依赖于：完整的路由清单、在每一个相关底层系统上的强制执行、可靠的核对机制、受保护的签名密钥以及正确的部署方式。 此外，以下方面也不在承诺范围内： - 法律合规性、审计结果、保险范围或定价影响； - 生产级别的任意代码沙箱； - 在没有提供商硬性上限和单写者原子记账的情况下，提供严格的支出保证； - 为每一次 agent 操作提供不可变的存储或正式证书。 在做出更广泛的声明之前，请参阅[公开声明政策](docs/liability/VELVET_ROPE_PUBLIC_CLAIMS_POLICY.md)、[实施状态](IMPLEMENTATION_STATUS.md)和[在线演示边界](demo/BOUNDARIES.md)。 ## 开发说明 ``` uv run ruff check . uv run mypy src tests uv run pytest cargo fmt --check cargo clippy --workspace --all-targets -- -D warnings cargo test --workspace ``` 架构和证据参考资料位于 [`docs/`](docs/) 目录中，而 Agent 授权基准测试位于 [`benchmarks/agent_authorization/`](benchmarks/agent_authorization/) 目录下。 Apache-2.0 协议。公开构建；欢迎持怀疑态度的复现。

标签：AI智能体, Streamlit, 反取证, 可视化界面, 安全评估, 权限控制, 特征检测, 访问控制, 请求拦截, 逆向工具