TOOL · GHOST
Ein deception-aware Security Runtime für autonome KI-Agenten.
Ghost erzwingt deterministische Zugriffsregeln um Agenten-Ausführungen. Neben ALLOW und DENY kann SHADOW kontrollierte synthetische Ressourcen bereitstellen, während die entsprechende reale Ressource isoliert bleibt.
EXPERIMENTELL · AKTUELLE IMPLEMENTIERUNG V0.3
Das ursprüngliche v0.1-Architekturdokument definierte Control Plane, Policy-, Deception-, Netzwerk- und Event-Modell. Das aktuelle v0.3-Repository ist die Implementierungsquelle der Wahrheit und erweitert diese Basis um aktive Decoy-Access-Evidenz, kontrollierten Egress und dynamisches Containment.
Drei deterministische Ergebnisse – kein KI-Klassifikator.
ALLOW
Eine erlaubte reale Ressource bereitstellen.
DENY
Zugriff blockieren.
SHADOW
Eine kontrollierte synthetische Ressource statt der realen bereitstellen.
CURRENT
Was die aktuelle Implementierung macht.
- — Führt Befehle in kurzlebigen Docker-Containern mit privatem synthetischem Agenten-Home aus.
- — Unterstützt SHADOW- oder DENY-Entscheidungen für unterstützte Home-Ressourcen wie synthetische AWS-Credentials, SSH-Key-förmige Dateien und .env-Decoys.
- — Beobachtet explizite Decoy-Open/Access-Ereignisse über einen separaten inotify-Sentinel und speichert Evidenz in SQLite.
- — Netzwerkzugriff ist standardmäßig blockiert oder wird für exakte Hostnamen via HTTP/HTTPS-Gateway erlaubt.
- — Kann den Netzwerkzugriff nach einem Decoy-Access-Sicherheitsereignis dynamisch einschränken.
SYSTEM DESIGN
Architektur und Session-Grenze.
01
Ghost CLI / Control Plane
02
Policy Engine
03
Docker Runtime
04
Workspace + synthetisches Home
05
Decoy Sentinel + Event Bus
06
HTTP/HTTPS-Gateway pro Session
07
SQLite Session- und Event-Store
FINDINGS
Engineering-Erkenntnisse und Evidenzgrenzen.
- — Deception liegt auf Isolation auf und ersetzt Isolation nicht.
- — Die Security-Enforcement-Logik hängt weder von einem LLM noch von einem Cloud-Entscheidungsdienst ab.
- — Ein DECOY_ACCESS-Event belegt ein beobachtetes Open/Access-Ereignis an einem expliziten Decoy-Pfad; es beweist keinen semantischen Datenfluss oder Exfiltration.
- — Allowlisted Egress ist vom Agenten-Netz getrennt, sodass direkte Outbound-Routen unavailable bleiben.
- — Exakte Hostname-Allowlists und kein TLS-Interception halten den MVP bewusst eng und prüfbar.
BOUNDARIES
Was Ghost aktuell nicht behauptet.
- — Prompt-Injection-Erkennung
- — Beliebige Filesystem-Virtualisierung
- — TLS- oder Request-Content-Inspektion
- — Allgemeines TCP/UDP-Proxying
- — MCP-Interception
- — Semantisches Data-Flow-Tracking
- — Beweis, dass Decoy-Credentials exfiltriert wurden
- — Model-basiertes Risk Scoring
- — Web-UI
USAGE
Minimaler Workflow.
make build
./bin/ghost version
ghost init
ghost run -- echo "hello from ghost"
ghost run -- sh -c 'cat ~/.aws/credentials'
ghost inspect latestFür wen es gedacht ist.
Für Forschende und Entwickler, die autonome Agenten, tool-using Modelle und lokale Agenten-Runtimes untersuchen und deterministische Containment-Regeln, Deception-Experimente und prüfbare Security-Evidenz benötigen.
Geprüfte Quellen