pipelab-org/pipelock

Open-source AI agent firewall for MCP security and agent egress. Scans mediated HTTP, MCP, A2A, and WebSocket traffic for exfiltration, SSRF, and prompt injection, and emits mediator-signed action receipts: verifiable audit evidence from outside the agent.

Pipelock – オープンソース AI エージェントファイアウォール

それは何か – Pipelock は、LLM を搭載した AI エージェントとインターネットの間に位置する Go ベースの単一バイナリプロキシです。すべての HTTP、WebSocket、MCP（メッセージ制御プロトコル）、およびエージェント間のリクエストを検査し、オプションで TLS トンネルを復号化して、トラフィックを許可、ブロック、またはフラグするかを決定します。すべての決定に対して、メディエーター署名付きレシートを書き込み、オフラインで検証可能で、ファイアウォールが何をしたかの暗号証明をオペレーターに提供します。

なぜ重要か – AI エージェントは、強力な資格情報（API キー、クラウドトークン、SSH キー）とシェルアクセスを備えて実行されることがよくあります。単一の curl または巧妙に作成されたプロンプトで、これらのシークレットを外部に持ち出すことができます。Pipelock は、すべての送信トラフィックが通過する必要がある検証可能な「境界」を作成し、信頼ベースのダッシュボードを改ざん防止の監査証跡に変えます。

コア機能（README に記載）

機能	説明
トラフィック検査	HTTP、WebSocket、MCP、A2A トラフィックを仲介します。TLS インターセプションが有効な場合、CONNECT トンネルを復号化できます。
脅威検出	シークレットの外部持ち出し、プロンプトインジェクション、SSRF、ツールポイズニング、リスクのあるツール呼び出しチェーン、DNS トンネリング、チャンク化された外部持ち出し、高エントロピーブロブなどをブロックします。
3 つの動作モード	strict（許可リストのみ）、balanced（デフォルト – 単純な攻撃をブロックし、高度な攻撃を検出）、audit（すべてをログに記録し、コアフロアのみブロック）。
署名付きアクションレシート	すべての許可/拒否の決定は、オペレーターが保持するキーで署名されます。レシートはローカルまたは透明性ログ（Rekor）に対して検証できます。
証拠ビューアとダッシュボード	無料のオフライン HTML ビューア（`pipelock evidence view`）と、RBAC、OIDC/mTLS 認証、編集、フリート全体のメトリクスを備えたエンタープライズ専用の読み取り専用ダッシュボード。
統合エコシステム	Claude Code、OpenAI Codex、Cline、OpenCode、Pi、Zed、Cursor、VS Code、JetBrains、OpenAI Agents SDK、Google ADK、AutoGen、CrewAI、LangGraph などと連携します。
レポートとモニタリング	`pipelock report` は HTML/JSON/署名付きバンドルを生成します。ライブメトリクス用に Prometheus と Grafana エクスポーターが提供されています。
ポリシープリセット	攻撃的なエントロピーしきい値、ツールブロッキング、セッション結合、信頼できないモデルツールチェーン用のキルスイッチを追加する `hostile-model` プリセットが含まれています。
オープンソースコンプライアンス	Apache 2.0（コア）と有料機能用の Enterprise ELv2 ライセンスを使用。CI、SLSA 出所、SBOM、証明書検証が組み込まれています。

仕組み（高レベルアーキテクチャ）

プロキシエントリポイント – エージェントは、HTTP/HTTPS プロキシ（または MCP ラッパー経由）として Pipelock を使用するように構成されます。すべての送信リクエストがそれを通過します。
スキャンパイプライン – リクエストは、URL 解析 → スキーム検証 → CRLF/パストラバーサル → 許可/ブロックリスト → リテラル IP SSRF → DLP パターン → エントロピー分析 → ネストされた URL 検出 → DNS-SSRF 保護 → レート制限/予算 → 最終ポリシー判定という一連の決定的なチェックを通過します。
決定とレシート – プロキシは、リクエストを許可するか、ブロックするか、警告を記録します。次に、オペレーターの秘密鍵で署名された JSON レシートを発行します。これには、リクエストハッシュ、判定、ポリシーバージョン、オプションの監査メタデータが含まれます。
証拠ストレージ – レシートはレコーダーディレクトリ（フライトレコーダー）に書き込まれます。オペレーターは後で pipelock evidence view を実行して、静的 HTML レポートを生成するか、読み取り専用で提供できます。
アンカリング（オプション） – レシートは、不変の第三者検証のために、ローカルバックエンドまたは公開透明性ログ（Rekor）にアンカーできます。

はじめに（README のクイックスタート手順）

# 1. タグ付きリリースをクローンしてコミュニティバイナリをビルド
git clone --branch v3.7.0 --depth 1 https://github.com/luckyPipewrench/pipelock.git
make -C pipelock install   # `pipelock` を生成

# 2. ローカルエージェント統合を検出するスターター設定を生成
pipelock init --output ./pipelock.yaml

# 3. 既知のシークレット URL でスキャナーをテスト（ブロックされるはず）
 p ipelock check --config ./pipelock.yaml \
   --url "https://api.vendor.example/?k=$(printf '%s%s' 'AKIA' 'IOSFODNN7EXAMPLE')"

# 4. 実際のエージェント用にプロキシを実行
pipelock run --config ./pipelock.yaml   # 次に、エージェントの HTTP プロキシを localhost:PORT にポイントします

他のインストールオプション（バイナリダウンロード、Docker イメージ、Homebrew）は README にリストされており、gh attestation verify でリリース証明を検証するコマンドも同様です。

Pipelock を使用する場合

エンタープライズまたは規制対象セクターは、AI エージェントからのシークレット漏洩がないことを証明する必要があります（金融、医療、防衛）。strict モードと署名付きレシートチェーンを使用します。
開発チームは、カスタムエージェント（AutoGen、CrewAI、LangGraph など）を構築し、コードを書き直さずにデフォルトの balanced 保護を希望します。
セキュリティ監査人は、エージェントが送信しようとしたものの再現可能で暗号的に検証可能な証拠を必要とします。
マルチテナント AI サービスのオペレーターは、Prometheus/Grafana を介してエージェントごとの RBAC、予算制限、フリート全体の監視を希望します。

制限と正直なメモ（プロジェクトが指摘）

プロキシは、それを介してルーティングされるトラフィックのみを制御できます。プロキシ設定を無視するツールは、追加の OS/コンテナサンドボックスが適用されない限り、インターネットに到達できます。
署名付きレシートは、プロキシが決定したこととオペレーターが署名したことを証明しますが、オペレーターが正直であることや、帯域外リークが発生しなかったことを証明するものではありません。
エンタープライズ専用機能（ダッシュボード、RBAC、マルチエージェントフリートビュー、キルスイッチ）には有料ライセンスが必要です。コミュニティバイナリは、コアスキャンとレシート生成を提供します。

リンクとリソース

ライブプレイグラウンド： https://pipelab.org/playground
ベンチマークコーパス： https://github.com/luckyPipewrench/agent-egress-bench
ドキュメント： https://pipelab.org/learn/open-source-ai-firewall/
Discord コミュニティ： https://discord.gg/badNfhGKTc
リリースページ： https://github.com/luckyPipewrench/pipelock/releases

上記のすべての情報は、リポジトリの README から直接取得されています。追加の機能は推測されていません。