Define what an agent may do. Enforce it on every call.Określ, co agent może zrobić. Egzekwuj to przy każdym wywołaniu.
Aegis sits between AI agents and everything they touch: models, tools, MCP servers, documents and other agents. Ten checks in about 0.3 ms decide whether this agent was authorized to do it, with this data, for this task. Swap one base_url to put it in front of your agents.Aegis stoi między agentami AI a wszystkim, czego dotykają: modelami, narzędziami, serwerami MCP, dokumentami i innymi agentami. Dziesięć kontroli w około 0,3 ms rozstrzyga, czy ten agent był do tego upoważniony, z tymi danymi i w tym zadaniu. Wystarczy podmienić jeden base_url.
A signed, expiring pass per task: tools, files, recipients, budget. Sub-agents get a subset, never more.Podpisana, wygasająca przepustka na zadanie: narzędzia, pliki, odbiorcy, budżet. Podagent dostaje podzbiór, nigdy więcej.
Polish PII, passwords and secrets are redacted; confidential data cannot leave for a less trusted place.Polskie dane osobowe, hasła i sekrety są redagowane, a dane poufne nie wyjdą w mniej zaufane miejsce.
Injection in any disguise, 13 attack signatures, hidden text and macros in PDF, Office files and scans.Injection w każdym przebraniu, 13 sygnatur ataków, ukryty tekst i makra w PDF, plikach Office i skanach.
Risky tools wait for human approval. Every decision is in an audit log nobody can edit.Ryzykowne narzędzia czekają na zgodę człowieka. Każda decyzja trafia do dziennika, którego nikt nie zmieni.
Security tools were built for software that responds. An agent with a task reads documents, calls tools, spends money and hands work to other agents, and a single poisoned document can tell it to do something nobody asked for.Narzędzia bezpieczeństwa powstały dla oprogramowania, które odpowiada. Agent z zadaniem czyta dokumenty, wywołuje narzędzia, wydaje pieniądze i przekazuje pracę innym agentom, a jeden zatruty dokument może kazać mu zrobić coś, o co nikt nie prosił.
Contracts, client files and internal records, often more than the task needs.Umowy, akta klientów i dokumenty wewnętrzne, często więcej, niż wymaga zadanie.
Each task may read only the paths on its mandate, and whatever it reads raises its classification.Zadanie czyta tylko ścieżki ze swojego mandatu, a to, co przeczyta, podnosi jego poziom poufności.
Mail, code execution and MCP tools whose definitions can change after approval.Poczta, uruchamianie kodu i narzędzia MCP, których definicje mogą się zmienić po zatwierdzeniu.
Tools are granted per task, MCP definitions are pinned by hash, and code runs in a throw-away sandbox.Narzędzia są przyznawane per zadanie, definicje MCP przypięte hashem, a kod uruchamia się w jednorazowej piaskownicy.
Tokens, tool calls and parallel requests. A loop can burn a budget in minutes.Tokeny, wywołania narzędzi i równoległe żądania. Pętla potrafi spalić budżet w kilka minut.
Cost is reserved before every call in one database transaction, so the limit holds under load.Koszt jest rezerwowany przed każdym wywołaniem w jednej transakcji bazy, więc limit trzyma się pod obciążeniem.
Sub-agents inherit context and data, and may try to do more than their parent.Podagenci dziedziczą kontekst i dane i mogą próbować robić więcej niż rodzic.
A sub-agent's mandate is a subset of its parent's, and it inherits the parent's classification.Mandat podagenta jest podzbiorem mandatu rodzica, a podagent dziedziczy jego poziom poufności.
A typical guardrail asksTypowe zabezpieczenie pyta
Does this action look dangerous?Czy ta akcja wygląda groźnie?
Aegis asksAegis pyta
Was this agent ever authorized to do it, with this data, for this task?Czy ten agent w ogóle miał prawo to zrobić, z tymi danymi, w tym zadaniu?
An attacker can make text look harmless, and a model can miss it. Authorization cannot be talked around: it depends on the task, not on how the request is worded.Atakujący potrafi sprawić, że tekst wygląda niewinnie, a model może go przeoczyć. Uprawnień nie da się przegadać: zależą od zadania, a nie od tego, jak sformułowano prośbę.
A lawyer’s assistant reads a confidential contract, then tries to mail it to the client. The recipient is allowed. The mail is still stopped, because the task now carries confidential data and external mail is cleared for public data only.Asystent prawnika czyta poufną umowę, a potem próbuje wysłać ją mailem do klienta. Odbiorca jest dozwolony. Mail i tak zostaje zatrzymany, bo zadanie niesie już poufne dane, a mail na zewnątrz jest dopuszczony tylko dla danych publicznych.
The stamp is not a warning in a user interface. It means the mail server never received the call: its own counter stays at zero, and the attempt is written to an audit log the database will not let anyone change.Pieczątka to nie ostrzeżenie w interfejsie. Oznacza, że serwer poczty nigdy nie dostał wywołania: jego własny licznik zostaje na zerze, a próba trafia do dziennika audytu, którego baza nie pozwala nikomu zmienić.
Every call to a model, tool, MCP server or another agent walks the same pipeline. Cheap checks run first, so most attacks stop in microseconds.Każde wywołanie modelu, narzędzia, serwera MCP czy innego agenta przechodzi ten sam ciąg kontroli. Tanie kontrole idą pierwsze, więc większość ataków odpada w mikrosekundach.
Per agent, per user and global, per minute. Over the limit: 429. Ten blocks in 60 seconds trip a circuit breaker for the task.Na agenta, użytkownika i globalnie, na minutę. Ponad limit: 429. Dziesięć blokad w 60 sekund otwiera bezpiecznik dla zadania.
A task pass signed with HMAC, with a TTL: which tools, files and recipients, bound to one agent and one principal. Delegation depth ≤ 3, a subset of the parent's rights.Przepustka zadania podpisana HMAC, z TTL: jakie narzędzia, pliki i odbiorcy, związana z jednym agentem i principalem. Delegacja do głębokości 3, tylko podzbiór praw rodzica.
13 signatures from feeds/attacks.yaml: pickle, reverse shells, rm -rf, XSS, SQLi, SSRF, path traversal, vulnerable components, typosquats.13 sygnatur z feeds/attacks.yaml: pickle, reverse shelle, rm -rf, XSS, SQLi, SSRF, path traversal, podatne komponenty, typosquaty.
Polish PII with checksums, passwords written in a sentence, API keys, connection strings, prompt injection. Text is de-obfuscated first.Polskie dane osobowe z sumami kontrolnymi, hasła wpisane w zdanie, klucze API, connection stringi, prompt injection. Tekst jest najpierw odszyfrowywany z maskowania.
Reading a confidential file taints the whole task. Paraphrase or encoding does not launder it. External mail is cleared for public data only.Przeczytanie poufnego pliku zanieczyszcza całe zadanie. Parafraza ani kodowanie tego nie czyszczą. Mail na zewnątrz jest dopuszczony tylko dla danych publicznych.
Risky tools such as http.post wait for a person. The call runs once, and only if approved.Ryzykowne narzędzia, jak http.post, czekają na człowieka. Wywołanie wykona się raz i tylko po akceptacji.
An on-prem model scores untrusted text for manipulation. It can only tighten a decision; if it is down, the request is blocked.Model on-prem ocenia niezaufaną treść pod kątem manipulacji. Może tylko zaostrzyć decyzję, a gdy nie odpowiada, żądanie jest blokowane.
Tokens and calls are reserved before the call, atomically in Postgres, across task, parent, user and global.Tokeny i wywołania są rezerwowane przed wywołaniem, atomowo w Postgresie, dla zadania, rodzica, użytkownika i globalnie.
Only now does the model or tool run. code.run goes to a throw-away sandbox with no network.Dopiero teraz działa model albo narzędzie. code.run trafia do jednorazowej piaskownicy bez sieci.
DLP on the response before the agent sees it: secrets and personal data are redacted or the result is withheld.DLP na odpowiedzi, zanim zobaczy ją agent: sekrety i dane osobowe są redagowane albo wynik jest wstrzymany.
ALLOW, REDACT or BLOCK. Every decision lands with its rule and reason in an audit log the database will not let anyone update or delete.ALLOW, REDACT albo BLOCK. Każda decyzja trafia z regułą i powodem do dziennika audytu, którego baza nie pozwala nikomu zmieniać ani usuwać.
Deterministic, fast and explainable: every hit carries a rule id and the place it was found.Deterministycznie, szybko i z wyjaśnieniem: każde trafienie ma identyfikator reguły i miejsce, w którym je znaleziono.
Validated with checksums, so a random 11-digit number is not a PESEL. Redacted in prompts and in tool output.Walidowane sumami kontrolnymi, więc przypadkowe 11 cyfr to nie PESEL. Redagowane w promptach i w wynikach narzędzi.
„chcę zmienić hasło kacperkochamame” → „chcę zmienić hasło [REDACTED:PASSWORD]”„chcę zmienić hasło kacperkochamame” → „chcę zmienić hasło [REDACTED:PASSWORD]”
Text is normalised before matching, so the same rule catches the plain and the hidden form.Tekst jest normalizowany przed dopasowaniem, więc ta sama reguła łapie formę jawną i ukrytą.
An instruction split across several messages is reassembled from the conversation and blocked as INJ-002.Instrukcja rozbita na kilka wiadomości jest składana z całej rozmowy i blokowana jako INJ-002.
doc.read analyses the real file, including scans through OCR (tesseract pol+eng). The report says where each finding was.doc.read analizuje prawdziwy plik, także skany przez OCR (tesseract pol+eng). Raport mówi, gdzie co znaleziono.
Active content blocks the read as DOC-001. Hidden text goes through the same PII and injection checks as visible text.Aktywna treść blokuje odczyt jako DOC-001. Ukryty tekst przechodzi te same kontrole PII i injection co widoczny.
13 signatures in one feed file, picked up within a second. Models, LoRA adapters and MCP tool definitions are pinned by hash.13 sygnatur w jednym pliku feedu, wczytywanych w sekundę. Modele, adaptery LoRA i definicje narzędzi MCP są przypięte hashem.
A model or adapter whose hash does not match the pin never loads. A tool whose description changes after approval is quarantined.Model albo adapter, którego hash nie zgadza się z przypiętym, nie zostaje załadowany. Narzędzie, które zmieni opis po zatwierdzeniu, trafia do kwarantanny.
Four parts, each doing one job. The rules decide; the model advises; the sandbox contains; the database remembers.Cztery części, każda z jednym zadaniem. Reguły decydują, model doradza, piaskownica izoluje, baza pamięta.
The agent console and the AI review run on our own hardware, so prompts, documents and risk scores never leave the firm’s network.Konsola agenta i ocena AI działają na naszym sprzęcie, więc prompty, dokumenty i oceny ryzyka nie opuszczają sieci firmy.
When an agent wants to run code, Aegis starts a fresh container for that one run and throws it away afterwards. If the code is malicious, it fails inside the box.Gdy agent chce uruchomić kod, Aegis startuje świeży kontener na to jedno uruchomienie, a potem go usuwa. Jeśli kod jest złośliwy, pada w środku pudełka.
A small, stateless service in front of everything, with the state that must not be lost kept in PostgreSQL.Mała, bezstanowa usługa przed wszystkim, a stan, którego nie wolno zgubić, trzymany w PostgreSQL.
Point your agents at the gateway, start everything with one command.Skieruj agentów na bramkę i uruchom wszystko jedną komendą.
Guardrails that pattern-match output stop some attacks. Authority, lineage and budgets stop the rest, and leave evidence.Zabezpieczenia szukające wzorców w odpowiedziach zatrzymują część ataków. Uprawnienia, pochodzenie danych i budżety zatrzymują resztę i zostawiają po sobie dowody.
Rights scoped to one task, signed with HMAC, with a TTL. Delegation up to depth 3, each child a subset of its parent, inheriting its confidentiality: no confused deputy.Uprawnienia przypisane do jednego zadania, podpisane HMAC, z TTL. Delegacja do głębokości 3, każde dziecko to podzbiór rodzica i dziedziczy jego poufność: bez confused deputy.
aegis/tasks.pyClassification follows the data, not the model's opinion. Paraphrase, translation or encoding does not launder it.Klasyfikacja idzie za danymi, nie za opinią modelu. Parafraza, tłumaczenie ani kodowanie jej nie czyszczą.
aegis/engine.pyReal PDF, Office and image files are opened, scans go through OCR, and every finding names its place: XMP, a hidden sheet, slide notes.Prawdziwe pliki PDF, Office i obrazy są otwierane, skany przechodzą OCR, a każde znalezisko wskazuje miejsce: XMP, ukryty arkusz, notatki slajdu.
aegis/documents.pyA risky call is held, a person approves or denies it in the dashboard, and it runs exactly once.Ryzykowne wywołanie czeka, człowiek akceptuje albo odrzuca je w dashboardzie, a ono wykonuje się dokładnie raz.
aegis/engine.pyReserve before execute, atomic in Postgres. Rate limits per agent, user and globally; a circuit breaker after 10 blocks in 60 s.Rezerwacja przed wykonaniem, atomowa w Postgresie. Limity na agenta, użytkownika i globalnie; bezpiecznik po 10 blokadach w 60 s.
aegis/budget.pyDeterministic rules decide authority. The AI model only tightens. When the detector says safe on a real exfiltration, the data-flow rule still blocks.Reguły deterministyczne rozstrzygają o uprawnieniach. Model AI może tylko zaostrzyć. Gdy detektor uzna prawdziwą eksfiltrację za bezpieczną, reguła przepływu danych i tak blokuje.
aegis/semantic.pyEvery decision records whether the tool was invoked, and backend counters show that a blocked mail never arrived.Każda decyzja zapisuje, czy narzędzie zostało wywołane, a liczniki backendu pokazują, że zablokowany mail nigdy nie dotarł.
aegis/backends.pyTen scenarios run a scripted agent through the real gateway, against the real policy and the real backends. Watch the counters while you do it.Dziesięć scenariuszy przepuszcza skryptowanego agenta przez prawdziwą bramkę, prawdziwą politykę i prawdziwe backendy. Patrz przy tym na liczniki.
The agent searches case law, reads the client's contract, asks the model for risks and files a memo. Nothing gets in its way.Agent przeszukuje orzecznictwo, czyta umowę klienta, pyta model o ryzyka i zapisuje notatkę. Nic mu nie przeszkadza.
A hidden instruction tells the agent to mail the contract to an outside address. 0 e-mails sent: the mail backend never fires.Ukryta instrukcja każe agentowi wysłać umowę na obcy adres. 0 wysłanych maili: backend poczty nigdy nie odpala.
The semantic detector calls the request safe and the recipient is allowed. The data-flow rule blocks it anyway.Detektor semantyczny uznaje żądanie za bezpieczne, a odbiorca jest dozwolony. Reguła przepływu danych i tak je blokuje.
An agent working for client A reaches for client B's NDA, then tries a path trick.Agent pracujący dla klienta A sięga po NDA klienta B, a potem próbuje sztuczki ze ścieżką.
A finished task is replayed with its old lease. The gate treats it as if it never existed.Zakończone zadanie jest odtwarzane ze starym lease'em. Bramka traktuje go, jakby nigdy nie istniał.
An MCP tool rewrites its description after approval. It lands in quarantine before the next call.Narzędzie MCP zmienia opis po zatwierdzeniu. Trafia do kwarantanny przed kolejnym wywołaniem.
Models arrive with a pickle that imports os, a vulnerable llama-cpp-python, and a host one letter away from the real one.Modele przychodzą z plikiem pickle importującym os, podatnym llama-cpp-python i z hosta różniącego się jedną literą od prawdziwego.
The agent is tricked into running code that phones home and loops forever. It runs in a throw-away container: the network call fails, the loop is killed, the host is untouched.Agent zostaje nakłoniony do uruchomienia kodu, który łączy się z zewnątrz i zapętla się. Działa w jednorazowym kontenerze: połączenie się nie udaje, pętla zostaje ubita, host jest nietknięty.
Thirty agents spend from one budget at once. Reservations settle in Postgres: 0 tokens over budget.Trzydziestu agentów wydaje z jednego budżetu naraz. Rezerwacje rozlicza Postgres: 0 tokenów ponad budżet.
A runaway agent fires request after request. Past the per-minute limit it gets 429; after 10 blocks in 60 s the breaker cuts the task off.Agent wpada w pętlę i wysyła żądanie za żądaniem. Ponad limit na minutę dostaje 429, a po 10 blokadach w 60 s bezpiecznik odcina zadanie.