Justin0504/Aegis

AEGISとは？

AEGISは、AIエージェントのためのセキュリティファイアウォールです。これは、AIエージェント（Claude搭載のアシスタントなど）と、それが呼び出し可能なツール（データベース、ファイルシステム、シェルコマンド、ネットワークリクエスト）の間に位置するソフトウェア層です。

解決する課題： AIエージェントは、モデルの判断に基づいてSQLクエリの実行、ファイルの削除、ネットワークリクエストの送信といった実際の操作を行う権限を与えられています。もしモデルが（プロンプトインジェクションによって）騙されたり、ツール名をハルシネーションしたり、リクエストを誤解したりした場合、人間が介在しないままデータベーステーブルの削除やデータ流出、ファイル削除といった実害を引き起こす可能性があります。AEGISは、すべてのツール呼び出しをその実行前にインターセプトし、アクションの種類を分類し、セキュリティポリシーに基づいてチェックを行い、許可・ブロック・または人間による承認待ちの判断を行います。

主要コンポーネント

• Gateway API — 5段階のパイプライン（分類 → 異常検知 → ポリシー評価 → DSLルールマッチング → 意思決定）を通じてすべてのツール呼び出しを分類・チェックするポリシーエンジン。
• Compliance Cockpit — リアルタイムのエージェント活動、ブロックされた違反、脅威カバレッジ、人間による承認待ちキューを表示するWebダッシュボード。
• SDK instrumentation — 1行のコード（import agentguard; agentguard.auto(...)）で既存のエージェントコードをラップし、エージェントのロジックを変更することなく、すべてのツール呼び出しをゲートウェイ経由でルーティングします。
• Policy engine — 7つの組み込みポリシー（SQLインジェクション防止、ファイルアクセス制御、プロンプトインジェクション検知、データ流出防止など）に加え、テナントごとのカスタムルール用ポリシーDSLを提供。
• Agent registry — エージェントのID、宣言されたツールスコープ、予算、ステータス（アクティブ/停止/非推奨）を追跡。
• Transparency log — RFC 6962 Merkle-treeに基づく監査証跡。セキュリティチームがオフラインで監査記録を暗号学的に検証可能。
• Threat ontology — 40種類のエージェント特有の攻撃手法（MITRE-ATLASスタイル）の分類体系を公開し、ライブカバレッジ追跡（現在28/40 = 70%）を提供。

仕組み

エージェントがツールを呼び出すと、その呼び出しはまずAEGISゲートウェイに送信されます。ゲートウェイは呼び出しタイプ（データベース、ファイル、シェル、ネットワークなど）を分類し、エージェントの履歴に基づいて異常をチェックし、ポリシーを評価して、許可（ツールを実行し、呼び出しをログに記録）、保留（ダッシュボードで人間がレビュー）、またはブロック（ツールを実行せず、エージェントに理由付きのエラーを返す）のいずれかを決定します。

デプロイメント

curlスクリプト、Docker Compose、またはRender/Railway/DigitalOceanへのワンクリックデプロイによるコマンド1つでのインストールが可能です。Python、TypeScript、GoのエージェントSDKに対応しており、LLMエグレスプロキシも含まれているため、クローズドソースのエージェントプラットフォームであっても、LLM呼び出しを検出チェーン経由でルーティングできます。

代替案との主な違い

クローズドなエンタープライズプラットフォーム（Cisco AI Defense, Palo Alto Prisma AIRS）や限定的なガードレールライブラリ（LlamaFirewall, Guardrails AI）とは異なり、AEGISはゲートウェイ、ポリシーDSL、ダッシュボード、監査証跡、人間による承認フロー、エージェントID管理という完全な垂直スタックをすべてオープンソースかつセルフホスト可能な形で提供します。また、競合他社にはない可逆的なアクション（コンペンセーター + sagaパターン）や、エージェント間での侵害相関分析もサポートしています。