# AIShield Security Scanner [Health: Active]

**Category:** 🔒 Security  
**Repository:** https://github.com/lm203688/aishield  
**GitHub Stars:** 2  
**npm Downloads (last month):** 1246  
**Views:** 6  
**Installs:** 0  
**Upvotes:** 0  
**Directory Page:** https://allmcps.com/mcp/aishield-security-scanner

## Description
Scans MCP servers for tool poisoning, prompt injection and supply chain risks.

## Tools
Capabilities this server exposes over MCP:

- **aishield_scan** — AIShield安全扫描 — 扫描MCP Server/AI工具的安全风险。

对齐OWASP MCP Top 10 (2025 v0.1) 与 Agentic AI Top 10，264条规则覆盖两套风险分类。
5维评分: 安全(40%)/权限(20%)/数据处理(20%)/供应链(10%)/可靠性(10%)
返回: 评分 + 风险等级 + OWASP合规矩阵 + 修复建议
每条 finding 带 file:line:col 精确锚点 + 证据片段 + 稳定 rule_id + 具体修复动作
- **aishield_guardrail** — AIShield安装前安全检查 — 在安装任何MCP/AI工具前调用此工具。

返回pass/block判定 + 评分 + OWASP合规矩阵。
建议在安装任何第三方MCP Server前自动调用此工具。
- **aishield_prompt_check** — Prompt安全检测 — 检测用户输入的Prompt是否存在注入/越狱/数据外传风险。

支持中文和英文，覆盖: 越狱指令/身份切换/系统提示窃取/数据外传/角色扮演注入/零宽字符/Unicode编码
- **aishield_banned_words** — 中文违禁词检测 — 检测文本中的违禁词/敏感词。

覆盖6大平台: 微信/抖音/小红书/B站/知乎/微博
返回: 违禁词列表 + 法律条文 + 罚款金额 + 替换建议
- **aishield_rug_pull** — Rug Pull检测 — 检查MCP工具是否在版本更新中移除安全代码或新增可疑网络请求。

对比最近commit diff，检测: 安全代码删除、新增网络请求、权限扩大、大量代码删除。
返回风险等级(critical/high/medium/low/safe)和具体发现。
- **aishield_handshake** — MCP握手验证 — 分析MCP配置、检测npx自动安装风险、敏感环境变量、工具描述异常长度。

提取README/package.json中的MCP配置，分析: npx -y风险、敏感env变量、远程URL安全性、
工具描述长度（>500字符可能隐藏指令）。如果是HTTP类型MCP，尝试实际握手。
- **aishield_digest** — AIShield紧凑信任摘要 — 几百字节拿到结论，适合每轮都要判断"能不能信"的 agent。

输入三选一:
  configs     — {path: 文件内容} 的 MCP 客户端配置映射（静态分析，绝不执行其中命令）
  source_url  — 只要一个远程仓库 URL，取现成的信任裁决
  scan_result — 已有扫描结果，只做压缩

返回: 分数 + 风险等级 + 严重度分布 + 首 N 条 + content fingerprint。
指纹对同一份配置恒定不变 —— 存下来，下一轮先比指纹，没变就不必重复拉取。
风险等级绝不比实际找到的最严重 finding 更轻（有 high 就不会报 safe），摘要里也不会出现明文凭证。
- **aishield_laya_precheck** — 本地 Laya 421M 决策模型快速初筛 — 对 prompt 做越狱/注入/敏感数据/话题分类判定。

与远程 aishield 扫描互补: 本地、零成本、~500ms/条、数据不出本地。
适合做 agent 调用链路上的快速护栏初筛 (提交前确认、离线批筛)。

注意:
  - 非生成式模型，只输出校准概率，不生成文本
  - 英文 checkpoint (en) 对中文 prompt 误报率高，中文请用 checkpoint=ml
  - harm_severity 置信度低 (0.03-0.38)，仅作参考
  - 零样本不可直接投产，落地前需在自有集上微调/温度校准
  - 需要本地 Laya HTTP 服务运行 (默认 http://127.0.0.1:8188，可用 AISHIELD_LAYA_URL 覆盖)

返回: 每个问题的校准概率 + 置信度 + 是否超阈值
- **aishield_laya_shadow_stats** — 查看 Laya 影子判定台账统计 — 影子模式在 aishield_prompt_check / laya_precheck 运行时
后台静默记录「Laya 判定 vs 规则引擎判定」的配对数据 (只记录、不拦截)。

用途: 积累自有标注数据集, 供 Laya 温度校准/微调前评估质量红线修复进度。
返回: 总条数 / 影子命中率 / Laya 可用率 / 平均延迟 / 与规则引擎一致率 / 最近条目预览。
- **aishield_laya_gate** — 命令/脚本三档语义门禁 (Allow/Ask/Deny) — Jev Harness 白皮书式双层设计。

第一层 (确定性规则): 13 条经典破坏形态正则 (递归删盘/fork 炸弹/远端脚本管道执行/SSH 私钥读取/
凭证外发等) — 只有这层能给出 DENY。
第二层 (Laya 语义判定): 规则未命中时, 用本地 Laya 对命令全文做越狱/注入语义判定 —
校准完成前只贡献 ASK (升级人工确认) 信号, 永不自动 DENY (置信度×后果分级原则)。

返回: verdict (ALLOW/ASK/DENY) + 命中规则/Laya 概率 + 延迟。
需要本地 Laya 服务在线 (AISHIELD_LAYA_URL, 默认 http://127.0.0.1:8188);
服务离线时按 fail_mode 处理: warn=放行但标注语义层不可用, closed=一律 ASK。
- **aishield_sign_agent_card** — 对 Agent Card 做 Ed25519 或 HMAC-SHA256 签名，产出可跨系统验证的 agent 身份凭证。

签名算法选择：
  - Ed25519（首选）：非对称，可离线验证，适合公开分发的 Agent Card
  - HMAC-SHA256（零依赖回退）：对称，需要共享 secret，适合私有部署

输入 card 字段：name / version / capabilities / endpoint / maintainer / trust_score / issued_at / expires_at。
返回 signature (base64url) + algorithm + signed_at + public_key。
- **aishield_verify_agent_card** — 验证 Agent Card 的签名完整性，检测内容被篡改。

签名算法自动识别 (Ed25519 / HMAC)。篡改任一字段后重算的 signature 会与原值不匹配，
返回 signature_valid: false + 篡改检测摘要。

关键场景：安装第三方 agent 前，用它核对 agent card 是否被中间人修改过。
- **aishield_export_identity** — 从 Agent Card 导出三态身份凭证：Ed25519 签名卡片 + KYA SD-JWT + Web Bot Auth header。

对齐标准：
  - KYA SD-JWT (Keyed Agent) — 可分割声明集合，支持委托链
  - Web Bot Auth (RFC draft, GoDaddy+Cloudflare 2026-04) — HTTP header bot 身份
  - ERC-8004 — Ethereum 钱包身份绑定（独立走 wrap_erc8004）

适合 agent 首次上架或跨平台迁移时批量导出身份包。
- **aishield_register_specialist** — 注册专业 agent 到 8 域 Registry (90 天 TTL)。

支持的域：legal / medical / finance / education / engineering / design / research / civic。
注册成功后 agent 会获得 agent_id，其他 agent 可通过 list_specialists 查询、跨域协作。

超过 90 天需调用 renew 续期，否则进入 lapsed 状态；被撤销的 agent 永久不可再注册同域。
- **aishield_wrap_erc8004** — 将以太坊钱包地址包装成 ERC-8004 agent 身份。

ERC-8004 是 Ethereum Foundation 2024 年底提出的 agent 身份标准，agent 通过钱包
地址获得链上可验证身份，可组合 on-chain 权限与治理角色。

地址格式：0x + 40 位十六进制。chain_id 常见：1=主网, 5=Goerli, 8453=Base, 42161=Arbitrum。
- **aishield_chain_create** — 创建责任链 (HMAC-SHA256 链式追加结构)。

责任链用于记录 agent 间的责任转移 / 委托 / 协作事件，形成不可篡改的审计轨迹。
链头带 HMAC 摘要，每次 append 都引用前一条的 HMAC，任何篡改都会导致后续所有 HMAC 失效。

返回 chain_id 后，用 chain_append 追加事件、chain_trace 追踪某个 output_ref 的完整链路。
- **aishield_chain_append** — 向责任链追加一条记录。

每条记录包含 actor_id / action / target / payload / ts，自动生成 HMAC 摘要链。
append 后立即返回 verify 结果——如果链被外部修改过，verify 会返回 false。
- **aishield_chain_trace** — 按 output_ref 反向追踪责任链，找出该产出物的完整责任路径。

例如：某个 AI 生成的报告由 3 个 agent 协作完成，可以用 output_ref 查到 A→B→C 的完整委托链，
并核对每一步的 HMAC 摘要是否完整。
- **aishield_protocol_translate** — MCP / A2A / ACP / AP2 协议间互译。

将 MCP tool call 翻译成 A2A message、ACP request 或 AP2 支付指令，反之亦然。
用于 agent 跨平台互通——不同厂商的 agent 用不同协议，bridge 提供统一入口。

支持的协议：mcp (Anthropic) / a2a (Google) / acp (Microsoft) / ap2 (Google Payments)。
- **aishield_sandbox_backend_current** — 获取当前主机上被选中的 sandbox backend 及其能力摘要。

返回：
  - backend_name：当前选中的后端 (openshell / mcpguard / meclaw / cf-isolate / python-subprocess)
  - reason：为何选中此 backend
  - capabilities：能力布尔矩阵 (seccomp / landlock / namespaces / network-isolate / fs-isolate)
  - availability：可用性评级

与 sandbox_evaluate 的区别：本工具只返回当前 backend；sandbox_evaluate 是别名，
sandbox_backend_matrix 返回全部 5 后端的完整能力矩阵。
- **aishield_sandbox_evaluate** — 获取当前主机 sandbox backend 评估结果 (5 后端可用性自检)。

评估的 backend：
  - OpenShell (Google, 推荐)
  - mcpguard (Microsoft, 零依赖)
  - meclaw (Linux Landlock, 内核级)
  - CF isolate (Cloudflare, 边缘隔离)
  - python-subprocess (兜底)

返回每个 backend 的可用状态、能力评级、是否支持 seccomp / landlock / namespaces。
适合在部署 agent 前做环境自检，选最合适的隔离层。

与 sandbox_backend_current 的区别：本工具返回完整评估；backend_current 只返回当前选中的那一个。
- **aishield_leaderboard_query** — 查询 4 维度 leaderboard 快照 (score/domain/provider/badge)。

聚合 4 个维度：
  - score: 按 trust_score 排序
  - domain: 按专业域分类 (legal/medical/finance/...)
  - provider: 按注册方聚合
  - badge: gold/silver/bronze 徽章统计

用于生态活跃度展示，也是 contributor 激励的依据之一。
- **aishield_contributor_register** — 注册 contributor，进入 4 级激励体系。

级别：Contributor (基础贡献) → Reviewer (审核) → Maintainer (维护) → Trustee (托管)。
可通过 contributor_add_event 累加 6 类事件分：review/rule_patch/bug_report/attestation/doc/ship_gate。

贡献者等级决定其在 agent 注册审核、规则晋升、责任链裁决等环节的话语权。
- **aishield_generate_attestation** — 生成 Trust Attestation 凭证，为已扫描的 agent 签发信任凭证。

对齐 docs/trust-attestation-spec.md v1 schema，凭证包含：
  - issuer (签发方) / subject (被签发方)
  - verdict (安全/警告/危险)
  - coverage (扫描覆盖率矩阵)
  - attestation (五维分数)

生成的 attestation_id 可用于 verify 与 revoke，也可嵌入 Agent Card。
- **aishield_verify_attestation** — 验证 Trust Attestation 的完整性与有效性。

检查项：
  - JSON Schema v1 合规
  - HMAC 签名完整
  - 未过期
  - 未被 revoke
  - 签发方仍在信任列表

用于跨组织信任传递——第三方拿到 attestation 后可独立核验，无需访问签发方的扫描结果。
- **aishield_list_attestations** — 列出所有已签发的 Trust Attestation。
- **aishield_revoke_attestation** — 撤销已签发的 Trust Attestation。

撤销后 attestation 状态变为 revoked，任何后续 verify 都会返回 invalid。
撤销事件也会写入 Evidence Bundle（如已关联）。
- **aishield_list_specialist_domains** — 列出 Specialist Registry 支持的 8 个专业域及其注册的 agent 数量。

域列表：legal / medical / finance / education / engineering / design / research / civic。
返回每域的注册数、活跃数、过期数、顶级 agent 列表。
- **aishield_evidence_create** — 创建 Evidence Bundle 实例 (HMAC-SHA256 链式审计容器)。

Bundle 是 agent 执行证据的容器，所有事件 / proposal / approval / execution / observe / rollback
都被组织为 OCSF 事件，并链接到 ATT&CK TTP 与 STIX Observable，可跨组织离线验证。

hmac_secret 提供时启用 HMAC 完整链路；不提供则走无密钥结构模式（仅供调试，不能跨组织验证）。

返回 run_id，后续所有 evidence_* 工具都用此 ID 定位 bundle。
- **aishield_evidence_add_event** — 向 Evidence Bundle 追加一条 OCSF 事件。

event_type 遵循 OCSF 1.1 Event Class 命名 (audit.record / process.execution / network.connection ...)。
ttp 字段可选，用于关联 MITRE ATT&CK v15 TTP ID (T1003/T1485/...)。

每次追加后自动重算 HMAC 链，返回 verify 状态。
- **aishield_evidence_proposal** — 创建 Proposal-Bound 提案，等待 approver 显式批准后才允许 dispatch。

对齐 CyberGuard v0.13.0 的 Proposal-Bound Approval：agent 生成的提案被 hash 锁定，
只有当 approver 的签名绑定到该 hash 时才允许执行。防止 approver 事后否认或修改被批准的内容。
- **aishield_evidence_approve** — 批准 Evidence Bundle 中的提案 (Proposal-Bound Approval)。

批准记录独立于提案本身，二者通过 proposal_hash 双向绑定。篡改任意一边都会导致
verify_bundle_payload 失败。scope=task 表示单次任务、scope=session 表示整个会话。
- **aishield_evidence_dispatch** — 派发已批准的 proposal，让 executor agent 执行动作。

dispatch 前必须存在有效的 approval 记录（Proposal-Bound）。执行结果被记录为 OCSF 事件，
并进入双轮独立验证流程（第一轮 exec_result，第二轮 observe 观察实际效果）。
- **aishield_evidence_observe** — 派发后的双轮独立验证：观察者独立核对 exec_result 是否真的落地生效。

对齐 CyberGuard 的 dual-round testing：第 1 轮 exec_result (executor 自证)，
第 2 轮 observe (第三方观察)。两轮结果都 pass 才标记为 verified，任一轮 fail 会
触发 rollback。round_no 支持多次观察累积证据。
- **aishield_evidence_rollback** — 回滚已派发的动作，创建 rollback 事件并标记原 approval 失效。

对齐 CyberGuard 的 rollback 事件类型。rollback 记录本身也是 OCSF 事件，
同样进入 HMAC 链，事后可以完整还原"执行 → 观察 → 回滚"的三段证据。
- **aishield_evidence_archive** — 归档 Evidence Bundle，生成 archive manifest 用于离线分发。

归档后 bundle 变为只读，manifest 包含：
  - HMAC 摘要链完整状态
  - 所有 proposal / approval / dispatch / observe / rollback 记录
  - OCSF event class 分布
  - ATT&CK TTP 映射
  - STIX Observable 列表

manifest 可直接发送到第三方 audit 端点，无需重放原始事件。
- **aishield_verify_evidence_bundle** — 离线验证 Evidence Bundle 的完整性 (跨组织传递后校验)。

传入已归档的 bundle payload (JSON) + hmac_secret，验证：
  - HMAC 摘要链完整
  - 所有 proposal_hash / approval_hash 双向匹配
  - OCSF event schema 有效
  - ATT&CK TTP ID 合法
  - STIX Observable 类型合法
  - global_seq 单调递增

对齐 CyberGuard 的 dual-round independent testing：即使脱离原组织环境也能
通过 secret 一致重放完整验证。任何一条失败都会明确指出是哪一条事件、哪个字段出错。
- **aishield_chain_migrate_to_bundle** — 把责任链 (Responsibility Chain v1.1) 迁移为 Evidence Bundle，用于审计格式升级。

迁移后：
  - 原链的所有 append 事件成为 Bundle 的 audit.record 事件
  - HMAC 摘要被重新计算并纳入新的 bundle 链
  - 原链保留只读，Bundle 是新的 canonical 记录

适合从旧责任链升级到 CyberGuard 兼容证据格式的迁移场景。
- **aishield_ship_gate_run** — 运行 10 状态发布门禁 (ANALYZE → BLIND_TEST → CHALLENGE → GATE → PREPARE → RELEASE → OBSERVE → ARCHIVE)。

对齐 CyberGuard 的双轮独立测试流程：BLIND_TEST 由独立 agent 执行，CHALLENGE 可对抗性
验证，GATE 综合 score/coverage/pass-fail 三态判定。

--no-auto-accept-challenge 关闭自动接受挑战阶段，走人工审核。
--emit-bundle 结束后自动创建 Evidence Bundle 记录整个生命周期。
- **aishield_leaderboard_top** — 按 trust_score 排序查询 leaderboard TOP-N。

默认按 score 降序，返回前 N 名 agent 及其评分、徽章、所属域、注册方。
适合展示"本周最佳 agent"或用于推荐引擎的输入。
- **aishield_leaderboard_snapshot** — 获取 4 维度 leaderboard 完整快照 (score/domain/provider/badge)。

一次调用返回所有维度的完整数据，便于生态活跃度全景展示与报告生成。
- **aishield_contributors_leaderboard** — 查询 contributor 排行榜 (4 级激励体系)。

按累计贡献分排序，返回 Contributor / Reviewer / Maintainer / Trustee 四级贡献者
及其分数、徽章、事件分布。
- **aishield_contributor_add_event** — 给 contributor 追加一条贡献事件，累加积分。

支持的 6 类事件：review (审核)、rule_patch (规则补丁)、bug_report (漏洞报告)、
attestation (签发凭证)、doc (文档贡献)、ship_gate (发布门禁通过)。

不同事件有不同权重，累计到一定分即可升级 contributor 等级。
- **aishield_sandbox_backend_matrix** — 获取 sandbox backend 完整能力矩阵 (5 后端 × 全部能力维度)。

比 sandbox_evaluate 更详细：返回每个 backend 的操作系统兼容性、资源限制支持、
seccomp / landlock / namespaces 支持、网络隔离能力、性能评级等完整字段。
- **aishield_evidence_create_proposal** — 创建 Evidence Bundle 提案 (Proposal-Bound Approval)。

等价于 evidence_proposal 的规范别名，对齐 CyberGuard v0.13.0 的提案流程。
- **aishield_evidence_approve_proposal** — 批准 Evidence Bundle 提案 (Proposal-Bound Approval)。

等价于 evidence_approve 的规范别名。批准记录通过 proposal_hash 与提案双向绑定。
- **aishield_evidence_verify** — 验证 Evidence Bundle 的 HMAC 链完整性 (bundle 视角)。

不同于 verify_evidence_bundle（接收 payload JSON 做离线验证），本工具直接查询
服务端已存储的 bundle，返回当前 verify 状态与摘要链完整性报告。
- **aishield_evidence_verify_payload** — 离线验证 Evidence Bundle payload (跨组织传递后校验)。

等价于 verify_evidence_bundle 的规范别名，对齐 CyberGuard 的 dual-round independent
testing：即使脱离原组织环境也能通过 secret 一致重放完整验证。
- **aishield_personal_did_create** — 创建或查询个人 Agent 身份 (PAI DID)。

一个自然人可以有多个个人 Agent 实例（Alice 的 Muse / Alice 的 ChatGPT-Agent）。
DID 遵循 did:aishield:pa:<hash> 命名约定，服务端为每次身份创建分配唯一标识，
后续可用于签署 Capability Ticket、追溯 Agent 行动、发起 Dispute。
- **aishield_personal_instance_register** — 在个人 DID 下登记一个 Agent 实例（如 Alice 的 Muse on iOS）。

每个实例独立追踪，可独立吊销。当用户想停用某个 Agent 时，吊销它对应的实例
即可让后续所有 Capability Ticket 失效。

v4.8.1+ 支持 platform 结构化字段（对齐 eco/platform_registry，40+ 平台）：
  - 传入 platform="meta-muse" 会自动附带平台治理缺口
  - 传入 platform 但未知时，platform_known=false，不影响实例创建
  - platform_hint 保留旧字段做向后兼容
- **aishield_personal_ticket_create** — 为用户下的某个 Agent 实例签发 Capability Ticket（授权票据）。

Ticket 是"用户对某 Agent 的一次授权"，带 scope（金额上限 / 域名白名单 /
类别白名单）+ TTL。Ticket 由服务端 HMAC 签名，可被任何 verifier 独立验证。
建议所有个人 Agent 在执行敏感操作前先向用户申请一张 Ticket。
- **aishield_personal_budget_check** — 对个人 Agent 的敏感操作做预算 + 风险 pre-flight 检查。

返回 verdict：
  - allow   : 预算内 & 风险 < 40 → 直接放行
  - confirm : 预算内 & 风险 40-70 → 用户二次确认（quote-first）
  - block   : 预算内 & 风险 >= 70 → 建议阻止
  - denied  : 预算超限（不可覆盖）

风险因素：金额超历史 P90 / 目标域名高危 / 深夜 / 币种漂移 / 首次目标 /
高危 action 类型。
- **aishield_personal_budget_reserve** — 预留一笔个人预算（下单前先冻结）。

下单前调用，冻结额度并返回 reservation_id。下单成功后调用
aishield_personal_budget_commit 落账；下单失败调用 release。
- **aishield_personal_action_record** — 将个人 Agent 的一次行动追加到用户的 HMAC 链。

所有敏感操作（购买 / 发邮件 / 授权 connector）都应调用本工具留痕，
形成不可篡改的行动 provenance 链。用户可在 90 天内离线验证链完整性，
并对任一 action 发起 dispute。
- **aishield_personal_dispute_file** — 用户对某条行动记录提出 dispute（"这个操作我不知情"）。

dispute 会生成可追溯的 case，包含被质疑的 action hash + 用户 reason。
可用于向 Agent 提供方或支付通道发起正式申诉，也可离线复核。
- **aishield_personal_connector_vet** — 对一个 Connector manifest 做独立安全评估（Meta 官方审核之外的第二意见）。

返回 verdict（pass / pass_with_warnings / needs_review / reject）+ 0-100 分数
+ findings 明细。扫描范围：危险 scope、piped shell 供应链（curl 管道 sh）、
明文 token、签名/过期声明、支付 quote-first、权限-描述一致性。
- **aishield_platform_catalog** — 列出 AIShield 支持的个人 Agent 平台目录（40+ 平台，覆盖海外 + 大陆）。

包含 Meta Muse / Grok Bot / ChatGPT Agent / OpenAI Operator / Claude /
Gemini / 字节 Coze / 豆包 / 元宝 / 文心 / 通义 / Kimi / DeepSeek / GLM 等。

支持按 family（consumer/developer/enterprise/infrastructure）、
cny_accessible（reachable/verified_blocked/regional_only）、
access_path（mcp/openai_compat/connector_official/native_sdk/browser_agent）过滤。
- **aishield_platform_recommend** — 根据用户场景推荐接入平台（大陆优先，MCP 优先）。

典型场景：
  - 大陆用户 + 需要个人身份 → 推荐 bytedance-coze（唯一有 MCP 的国内平台）
  - 海外用户 + 消费级 → 推荐 meta-muse / xai-grok-bot / openai-chatgpt-agent
  - 开发者 + OpenAI 兼容 → 推荐 deepseek / moonshot-kimi / zhipu-glm 等

返回 top 10 推荐，每个带 score + 推荐理由。
- **aishield_platform_detail** — 查询单个平台的详细信息，包含内置治理能力、缺失的治理项、以及 AIShield 补齐映射。

例：
  - xai-grok-bot：xAI Grok Bot，SuperGrok 订阅，缺 portable_personal_identity 等
  - bytedance-coze：字节 Coze，大陆可达，唯一有 MCP 支持
  - meta-muse：Meta Muse，官方 connector 平台开放
- **aishield_platform_gap_matrix** — 返回平台治理缺口矩阵：每个平台内置了什么治理、缺什么、AIShield 用什么补。

用于平台选型决策："我要选哪个平台，然后 AIShield 帮我补哪些缺口。"
- **aishield_connector_catalog** — 列出 AIShield 已实现接入的个人 Agent / 开发者平台。

当前支持：
  - meta-muse       Meta Muse（海外，muse.ai，OAuth，需代理）
  - xai-grok-bot    xAI Grok Bot（海外，api.x.ai，OpenAI 兼容，OAuth + PAT）
  - nvidia-dev      NVIDIA 开发者平台（NGC Catalog + NIM 推理 + NeMo 编排，NGC API Key）

每个平台都有 preflight 敏感词升级、4-tier 预算 verdict、HMAC 行动链；
meta-muse / xai-grok-bot 走 OAuth+PAT 双通道，nvidia-dev 走 NGC API Key。
- **aishield_connector_self_check** — 诊断指定平台的接入状态：可达性、密钥配置、存储状态。

大陆环境需要 HTTPS_PROXY 环境变量；返回的 checks 会包含当前 proxy 摘要。
- **aishield_connector_authorize** — 生成 OAuth 授权 URL（用户浏览器打开完成授权；回跳 ?code=...&state=...）。

典型流程：
  1. 调用本工具拿 authorize_url + state
  2. 用户在浏览器打开授权 URL → 平台 → 回跳 redirect_uri?code=...
  3. 调用 aishield_connector_exchange_code 换 token
  4. 调用 aishield_connector_register_agent 注册 agent

需要预配置 client_secret（服务端 AISHIELD_MUSE_SECRET_KEY 或 AISHIELD_GROK_SECRET_KEY）。
- **aishield_connector_exchange_code** — OAuth 授权码换 access_token + refresh_token。
- **aishield_connector_register_agent** — 把个人 Agent 登记为 PAI 实例（跨平台可携带身份）。

meta-muse / xai-grok-bot:
  auth="pat" 时传 credentials: {"pat": "***"}（Grok Bot 官方推荐）。
  auth="oauth" 或省略时可通过 tokens 参数直接传 access_token。
  传 platform_agent_id 表示平台侧 agent ID。

nvidia-dev:
  鉴权形态是 NGC API Key，不是 OAuth。传 agent_instance_id + api_key。
  不要传 platform_agent_id / credentials。

PAI DID 由 personal_agent 层自动生成，同一 user_id 在多个平台的 agent
共享同一 parent_did。
- **aishield_connector_run** — 在指定平台的 Agent 上执行动作（chat / run_task / tool_call 等）。

治理层已内置：
  - preflight 预算 + 8 因素风险 + 敏感词升级
  - 4-tier verdict：allow / confirm / block / denied
    · denied: 硬拒，override 无效
    · block:  需 override=true 强制放行（如"帮我转账"）
    · confirm: 需 override=true 二次确认
    · allow:  直接放行
  - HMAC 行动链记录（90 天离线可验证）
  - 支付类金额自动 reserve + commit

nvidia-dev 的 action 取值：nim_chat（NIM 推理）/ ngc_catalog（NGC 模型检索）/ nemo_job（NeMo 训练编排）。
- **aishield_agent_infra_targets** — 列出 AIShield 平台注册表中所有 agent 基础设施 / 开发者平台类目标
（family = infrastructure | developer），供开源扫描管道选靶。

包含 nvidia-dev、laya、nasiko、agent-desktop 等；
每个目标带 access_paths / cny_accessible / governance 缺口信息。

用于回答："有哪些 agent 基础设施开源项目值得扫描 + 封装成 MCP 适配器？"
- **aishield_agent_infra_scan** — 扫描一个 agent 基础设施开源项目，产出三层交付物：

  1. report          安全扫描结果（复用 AIShield scanner：findings / 评分 / 建议）
  2. mcp_adapter_skeleton  自动生成 MCP 封装适配器骨架（Python 代码，含治理 preflight 接入点）
  3. secondary_rd_checklist 二次研发清单（按风险类别派生的工作项）

输入三态（三选一）：
  - repo_url   GitHub 仓库 URL（在线；本环境走 api.github.com）
  - local_path 本地目录路径（离线）
  - files      内存文件字典 {"path": "content"}（完全离线、确定性，用于测试）

返回 ok=true 时含 report / mcp_adapter_skeleton / secondary_rd_checklist。
- **aishield_eco_support_summary** — AIShield Agent 生态支持体系能力总览 — 5 硬骨头模块 + 端点清单 + 阈值参数。

用于快速判断"这个需求该走哪个 API / MCP 工具"。
- **aishield_agent_memory_scan** — Agent Memory 深度扫描 — 覆盖 8 个主流 memory 框架（Hermes / Hindsight / Innate /
Letta / Mem0 / Zep / Memobase / Cognee）+ 4 类新品类攻击面：

  * framework_specific_api   框架 API 缺 version pin / scope / audit log 等约束
  * cross_session_accumulation  跨 session 累积污染（无 timestamp / 无 session 边界）
  * memory_recall_injection     检索结果直接拼进 system prompt
  * persistent_goal_injection   "从此刻起 / 永久 / always" 跨 session 语义

输入 files = {"path": "content"} 内存字典（离线、确定性、可复现）。
对齐 OWASP Agentic AI Top 10 ASI06 + MCP Top 10 MCP06。
- **aishield_list_policy_packs** — 列出 AIShield 内置策略包（Policy Pack）及其六维策略配置。

5 内置：default（生产基线）/ strict（CI 阻断）/ mcp-only（MCP 类工具专项）/
personal-agent（个人 Agent 治理）/ red-team（探针自检，永不 fail）。

六维：severity_min / fail_on / excluded_categories / required_categories /
excluded_files / description。
- **aishield_apply_policy_pack** — 用 Policy Pack 过滤一份 AIShield 扫描报告并给出 CI pass/fail 判定。

输入：pack_name（默认 "default"）+ report 或 findings。
返回：过滤后 findings + pass 判定 + 六维策略应用明细。

对齐 Semgrep policy-as-code / agentshield 的六维策略语义。
- **aishield_red_team_probes** — AIShield Red-team 探针集（17 个）— 覆盖 OWASP MCP Top 10 (2025 v0.1) +
Agentic AI Top 10 (2025) 双维。

用于回归测试：给每条规则喂一个精心构造的攻击 payload，检查是否被命中。
返回每 probe 的 passed 判定 + 命中 rule_id 列表 + OWASP 类别。

include_failed=true 时返回未通过的 probe（默认隐藏，避免噪音）。
- **aishield_red_team_coverage** — AIShield Red-team 探针 OWASP 覆盖矩阵 — 按 MCP01-10 / ASI01-10 汇总 pass/fail 数。
- **aishield_confidence_promotion** — AIShield Confidence-based 规则晋升检查 — 对齐 instinct 项目三态累积机制。

阈值：SEED=1（种子）→ DRAFT=5（草稿）→ RULE=10+（正式规则）。
衰减：90 天未观察 → STALE / 180 天未观察 → DEAD（自动降级）。
红线：任何命中 BENIGN_CORPUS 的候选立即被标记 false_positive 阻断晋升。

enforce=true 时自动写回 radar_rules.json（生产用）；默认只读检查。
- **aishield_rule_decay** — AIShield 规则衰减状态报告 — 独立于 confidence 晋升的出口机制。

从 90 天滑动窗口历史快照计算 dormant/retire_suggested 集合。
dormant = 14 天窗口内 0 命中；retire_suggested = 30 天窗口内 ≤1 命中。

配合 POST /rule-decay/retire 执行实际退役（改 radar_rules.json）。

## Claude Desktop Quick Installation
Install path detected from listing signals. Uses `npx` (confidence: high):

```json
"mcpServers": {
  "aishield-security-scanner": {
    "command": "npx",
    "args": ["-y","aishield-mcp-server"]
  }
}
```

## Documentation

## What AIShield Security Scanner does

AIShield Security Scanner exposes a broad set of local security and trust operations through MCP. Its primary scanner evaluates MCP servers and AI tools for prompt injection, tool poisoning, permission problems, data exposure, protocol issues, supply-chain changes, and related agentic risks. Findings include a stable rule identifier, file and line location where available, evidence, and a concrete remediation action.

The scanner reports a score, risk level, OWASP alignment information, and remediation guidance. The project describes coverage across OWASP MCP Top 10 and Agentic AI risk categories, with checks for executable Markdown skills, unpinned dependencies, suspicious tool names, excessive permissions, identity weaknesses, and other agent-specific attack patterns.

## How it works

The server is designed for local-first operation. It can be launched as an MCP process with npx or from a cloned Python checkout. Static analysis reads source files, configuration, package metadata, README content, and related repository data without executing the configuration under review. An optional local API server can expose a browser-accessible panel on port 8450.

Use `aishield_guardrail` before installing a third-party MCP server to obtain a pass or block decision, score, and compliance matrix. `aishield_digest` compresses configurations, existing scan results, or a remote repository URL into a compact trust result with severity distribution and a content fingerprint. The fingerprint can help avoid repeating analysis when the input has not changed.

## Setup and configuration

For an MCP client, add a stdio entry using the package command:

```json
{
  "mcpServers": {
    "aishield": {
      "command": "npx",
      "args": ["-y", "aishield-mcp-server"]
    }
  }
}
```

A Python checkout can be started with `python -m api.mcp_server` from the project directory. The documented runtime baseline is Python 3.9+. An alternative local API starts with `python api/server.py` and listens at `http://localhost:8450`.

The Laya-based tools require a separate local Laya HTTP service. They use `http://127.0.0.1:8188` by default and accept `AISHIELD_LAYA_URL` to override that address.

## Tools and capabilities

- Scan MCP servers and AI tools with `aishield_scan`, including OWASP-oriented scoring and precise findings.
- Check prompts for jailbreaks, injection, identity switching, system-prompt extraction, data exfiltration, Unicode tricks, and related patterns in Chinese or English.
- Detect Chinese sensitive terms for WeChat, Douyin, Xiaohongshu, Bilibili, Zhihu, and Weibo, with legal references and replacement suggestions.
- Compare recent commits for deleted security code, new network requests, expanded permissions, and large deletions through rug-pull analysis.
- Inspect MCP configuration and handshake behavior, including npx installation, sensitive environment variables, remote URLs, and unusually long tool descriptions.
- Run local Laya prechecks and three-state command gates; the deterministic gate can deny, while the semantic layer contributes allow or ask signals according to its operating mode.
- Sign and verify Agent Cards with Ed25519 or HMAC-SHA256, export identity formats, register specialist agents, and wrap Ethereum addresses as ERC-8004 identities.
- Create, append, and trace HMAC-linked responsibility chains and evidence bundles containing OCSF events and optional ATT&CK mappings.
- Generate, verify, list, and revoke Trust Attestations, and query specialist domains, contributor data, and leaderboard snapshots.
- Evaluate available sandbox backends and translate messages among MCP, A2A, ACP, and AP2 formats.

## Limitations and notes

The local Laya model is not generative and only returns calibrated probabilities. Its English checkpoint can produce higher false-positive rates on Chinese prompts; the Chinese checkpoint is identified as `ml`. Harm-severity confidence is described as low, and zero-shot results should be calibrated or fine-tuned on an organization’s own data before production use.

The Laya gate needs the local service to be online. When it is unavailable, `fail_mode=warn` allows execution with the semantic layer marked unavailable, while `fail_mode=closed` returns `ASK`. The no-key evidence-bundle mode is intended for debugging and cannot provide cross-organization verification. HMAC-backed chains and attestations depend on preserving their signing material and records.

_Full upstream README: https://allmcps.com/mcp/aishield-security-scanner/readme_