pipelab-org/pipelock

Open-source AI agent firewall for MCP security and agent egress. Scans mediated HTTP, MCP, A2A, and WebSocket traffic for exfiltration, SSRF, and prompt injection, and emits mediator-signed action receipts: verifiable audit evidence from outside the agent.

Pipelock – 오픈소스 AI 에이전트 방화벽

그것이 무엇인가 – Pipelock은 LLM 기반 AI 에이전트와 인터넷 사이에 위치하는 Go 기반 단일 바이너리 프록시입니다. 모든 HTTP, WebSocket, MCP(메시지 제어 프로토콜) 및 에이전트 간 요청을 검사하고, 선택적으로 TLS 터널을 해독하여 트래픽을 허용, 차단 또는 플래그할지 결정합니다. 모든 결정에 대해 중재자 서명 영수증을 작성하여 오프라인에서 검증할 수 있으며, 운영자에게 방화벽이 수행한 작업에 대한 암호 증거를 제공합니다.

왜 중요한가 – AI 에이전트는 강력한 자격 증명(API 키, 클라우드 토큰, SSH 키)과 셸 액세스 권한으로 실행되는 경우가 많습니다. 단일 curl 또는 정교하게 만들어진 프롬프트로 이러한 비밀을 유출할 수 있습니다. Pipelock은 모든 아웃바운드 트래픽이 통과해야 하는 검증 가능한 "경계"를 만들어 신뢰 기반 대시보드를 변조 방지 감사 추적으로 전환합니다.

핵심 기능(README에 설명된 대로)

기능	설명
트래픽 검사	HTTP, WebSocket, MCP 및 A2A 트래픽을 중재합니다. TLS 인터셉션이 활성화된 경우 CONNECT 터널을 해독할 수 있습니다.
위협 탐지	비밀 유출, 프롬프트 인젝션, SSRF, 도구 중독, 위험한 도구 호출 체인, DNS 터널링, 청크 유출, 높은 엔트로피 블롭 등을 차단합니다.
세 가지 작동 모드	strict(허용 목록만), balanced(기본값 – 단순 공격 차단, 정교한 공격 탐지), audit(모든 것을 기록, 핵심 플로어만 차단).
서명된 작업 영수증	모든 허용/거부 결정은 운영자가 보유한 키로 서명됩니다. 영수증은 로컬 또는 투명성 로그(Rekor)에 대해 검증할 수 있습니다.
증거 뷰어 및 대시보드	무료 오프라인 HTML 뷰어(`pipelock evidence view`) 및 RBAC, OIDC/mTLS 인증, 편집, 플릿 전체 메트릭을 갖춘 엔터프라이즈 전용 읽기 전용 대시보드.
통합 생태계	Claude Code, OpenAI Codex, Cline, OpenCode, Pi, Zed, Cursor, VS Code, JetBrains, OpenAI Agents SDK, Google ADK, AutoGen, CrewAI, LangGraph 등과 함께 작동합니다.
보고 및 모니터링	`pipelock report`는 HTML/JSON/서명된 번들을 생성합니다. 실시간 메트릭을 위한 Prometheus 및 Grafana 내보내기가 제공됩니다.
정책 사전 설정	공격적인 엔트로피 임계값, 도구 차단, 세션 바인딩 및 신뢰할 수 없는 모델 도구 체인에 대한 킬 스위치를 추가하는 `hostile-model` 사전 설정이 포함되어 있습니다.
오픈소스 준수	Apache 2.0(코어) 및 유료 기능에 대한 Enterprise ELv2 라이선스를 사용합니다. CI, SLSA 출처, SBOM 및 증명 검증이 내장되어 있습니다.

작동 방식(고급 아키텍처)

프록시 진입점 – 에이전트는 HTTP/HTTPS 프록시(또는 MCP 래퍼를 통해)로 Pipelock을 사용하도록 구성됩니다. 모든 아웃바운드 요청이 이를 통과합니다.
스캐닝 파이프라인 – 요청은 URL 구문 분석 → 체계 검증 → CRLF/경로 순회 → 허용/차단 목록 → 리터럴 IP SSRF → DLP 패턴 → 엔트로피 분석 → 중첩 URL 감지 → DNS-SSRF 보호 → 속도 제한/예산 → 최종 정책 판결의 결정적 검사 시리즈를 통과합니다.
결정 및 영수증 – 프록시는 요청을 허용하거나 차단하거나 경고를 기록합니다. 그런 다음 운영자의 개인 키로 서명된 JSON 영수증을 발행하며, 여기에는 요청 해시, 판결, 정책 버전 및 선택적 감사 메타데이터가 포함됩니다.
증거 저장 – 영수증은 레코더 디렉토리(플라이트 레코더)에 기록됩니다. 운영자는 나중에 pipelock evidence view를 실행하여 정적 HTML 보고서를 생성하거나 읽기 전용으로 제공할 수 있습니다.
앵커링(선택 사항) – 영수증은 불변의 타사 검증을 위해 로컬 백엔드 또는 공개 투명성 로그(Rekor)에 앵커링할 수 있습니다.

시작하기(README의 빠른 시작 단계)

# 1. 태그된 릴리스를 클론하고 커뮤니티 바이너리 빌드
git clone --branch v3.7.0 --depth 1 https://github.com/luckyPipewrench/pipelock.git
make -C pipelock install   # `pipelock` 생성

# 2. 로컬 에이전트 통합을 발견하는 시작 구성 생성
pipelock init --output ./pipelock.yaml

# 3. 알려진 비밀 URL에서 스캐너 테스트(차단되어야 함)
 p ipelock check --config ./pipelock.yaml \
   --url "https://api.vendor.example/?k=$(printf '%s%s' 'AKIA' 'IOSFODNN7EXAMPLE')"

# 4. 실제 에이전트를 위한 프록시 실행
pipelock run --config ./pipelock.yaml   # 그런 다음 에이전트의 HTTP 프록시를 localhost:PORT로 지정

다른 설치 옵션(바이너리 다운로드, Docker 이미지, Homebrew)은 README에 나열되어 있으며, gh attestation verify로 릴리스 증명을 검증하는 명령도 있습니다.

Pipelock을 사용하는 경우

엔터프라이즈 또는 규제 대상 부문은 AI 에이전트에서 비밀 유출이 없음을 증명해야 합니다(금융, 의료, 국방). strict 모드와 서명된 영수증 체인을 사용하세요.
개발 팀은 사용자 지정 에이전트(AutoGen, CrewAI, LangGraph 등)를 구축하고 코드를 다시 작성하지 않고 기본 balanced 보호를 원합니다.
보안 감사자는 에이전트가 보내려고 한 것에 대한 재현 가능하고 암호로 검증 가능한 증거가 필요합니다.
멀티 테넌트 AI 서비스 운영자는 Prometheus/Grafana를 통해 에이전트별 RBAC, 예산 제한 및 플릿 전체 모니터링을 원합니다.

제한 사항 및 정직한 메모(프로젝트가 지적한 대로)

프록시는 이를 통해 라우팅되는 트래픽만 제어할 수 있습니다. 프록시 설정을 무시하는 도구는 추가 OS/컨테이너 샌드박싱이 적용되지 않는 한 인터넷에 도달할 수 있습니다.
서명된 영수증은 프록시가 결정한 것과 운영자가 서명했음을 증명하지만, 운영자가 정직하거나 대역 외 유출이 발생하지 않았음을 증명하지는 않습니다.
엔터프라이즈 전용 기능(대시보드, RBAC, 다중 에이전트 플릿 보기, 킬 스위치)은 유료 라이선스가 필요합니다. 커뮤니티 바이너리는 핵심 스캔 및 영수증 생성을 제공합니다.

링크 및 리소스

라이브 플레이그라운드: https://pipelab.org/playground
벤치마크 코퍼스: https://github.com/luckyPipewrench/agent-egress-bench
문서: https://pipelab.org/learn/open-source-ai-firewall/
Discord 커뮤니티: https://discord.gg/badNfhGKTc
릴리스 페이지: https://github.com/luckyPipewrench/pipelock/releases

위의 모든 정보는 저장소의 README에서 직접 가져온 것입니다. 추가 기능은 추론되지 않았습니다.