ECC Pro + AgentShield 安全路线图¶

状态：待评审草稿。基于多智能体调研 + 研究流程生成于 2026-06-21 （AgentShield 和 ECC Pro 的能力地图、两个仓库中所有未合并 PR/issue 的分诊， 以及针对竞品、未实现想法和开发工具需求的网络调研）。以 MRR 为导向：每个 条目都按其将免费漏斗转化为付费 ECC Pro / Enterprise 的能力进行评分。

为什么是现在¶

AgentShield（npm ecc-agentshield）目前大约 每月 30K 次下载且没有衰减 （约 7.2K/周，年初至今约 78K），并有 903 个 GitHub stars —— 一个庞大且持续增长的漏斗顶部。 今天，从该免费漏斗到付费 ECC Pro 几乎没有桥梁，而最具独占性的付费界面 —— 智能体邻近“空域”护城河 —— 已完全计算但从未渲染。本路线图旨在弥合这两个差距：移除抑制转化的信任障碍，让护城河可见，然后将本地 CLI 原语产品化为托管的、经常性收入界面。

主题¶

信任与转化门槛（现在）¶

AgentShield 每月约 30K 的免费漏斗只有在产品可信且升级路径可见时才会转化。惩罚正确加固的误报、导致 LLM 层硬失败的损坏模型 ID、Windows 崩溃，以及我们自身学习层中的安全漏洞，都会在用户看到 Pro 提示之前侵蚀信任。修复 FP 集群、交付经过验证的正确性/安全修复，并在价值点展示 Pro CTA，是杠杆最高的即时行动。

让护城河可见且可演示（现在）¶

智能体邻近“空域”指标是唯一其他产品没有的差异化能力，但它只是数学 + JSON，没有任何 UI 渲染。交付 3D 可观测性仪表盘（PR #2320）会将最强的叙事资产转化为一个能当场卖出 Team/Enterprise 席位的演示。

将本地原语产品化为托管 Pro SaaS（下一步）¶

每一项持续/车队能力 —— watch/drift、基线门控、evidence-pack 车队 operatorReadback、运行时 NDJSON、组织策略包 —— 已经作为本地 CLI 构建块存在。通往 MRR 的最快路径是将它们托管为经过身份验证的多仓库界面：持续扫描仪表盘、内联 PR 审查 + autofix-PR、规则包加载器 + 情报源、合规包，以及集中管理的组织策略。

弥补竞争差距并扩大触达（下一步/稍后）¶

Snyk Agent Scan、NVIDIA SkillSpector 和 GoPlus AgentGuard 验证了该品类，并增加了 AgentShield 所缺乏的运行时强制、LLM-judge 语义检测和实时 MCP 抓取。LLM-judge Deep Scan、带有 Pro 遥测的免费运行时守卫、跨机器 A2A 空域，以及社区 MCP 声誉注册表可以中和这些差异化因素，同时保持免费、零账户、本地优先的定位作为护城河。框架中立扩展会扩大整个漏斗。

前 5 项 —— 立即执行¶

1. 合并 PR #103 并交付 issue #100 的后续修复，以消除惩罚正确加固的误报集群（信任是转化门槛）
2. 合并 PR #2320，渲染 3D 智能体空域可观测性仪表盘（让护城河可见且可演示）
3. 在免费 CLI 输出 + GitHub App PR 评论中添加 Pro 升级 CTA，以将每月约 30K 的免费下载漏斗变现，以隐私 + 低噪声切入点领先
4. 合并已验证的正确性/Windows 批次（PR #2133 模型 ID 修复、#2307/#2063 Windows、#2273/#2246/#2312 文档、#2293 依赖项），并修复 issue #2316 plan-orchestrate 安装检测
5. 加固持续学习存储：修复路径遍历 #2297 和注册表损坏竞态 #2294（Pro 所依赖的品牌安全可信度）

路线图概览¶

现在¶

修复惩罚正确加固的误报集群¶

• 领域： agentshield | 工作量： S | 影响： 高
• 关联： PR #103、issue #102、issue #100
• MRR 角度： 惩罚扫描器自身修复的 FP 会破坏安全敏感买家的信任，并打破 Pro 所销售的演示和 CI 价值主张。信任是转化门槛：加固后的配置必须得分良好，否则没有人会升级。

在确认 Verify/test 矩阵在本地通过后，合并 PR #103（将 permissions.deny/ask 内的 --no-verify 视为禁止项而非用法 —— 对无效 JSON 采用 fail-closed，6 个测试，所有审查机器人均为绿色）。然后为 issue #100 中剩余的两个 FP 交付后续 PR：(1) 字符串字面量 / 帮助文本中的 --no-verify 被标记为 CRITICAL（需要已执行命令与字面量上下文），以及 (2) src/rules/agents.ts:1561 处的反向文本规则匹配普通英语 'backward/backwards' —— 重新限定其范围，要求反向并执行证据，以便停止向 ML/PyTorch 智能体仓库（高价值采用者细分）进行噪声泛滥。

添加自动修复验证循环（重新扫描 + 无回归证明）¶

• 领域： agentshield | 工作量： M | 影响： 中
• 关联： 问题 #102
• MRR 角度： 经过验证、可信赖的自动修复，是让免费 CLI 产生“魔法感”的激活时刻，并为付费托管修复工作流（ECC Tools 中的 autofix-as-PR）建立信心。

src/fixer/index.ts 应用字符串转换，但从不重新扫描以证明问题已消失且未引入新问题——而问题 #102 已经证明，简单的权限收紧可能会被扫描器再次标记。闭环：在应用 --fix 后，重新运行扫描器，对比问题集合，如果分数回退则自动回滚，并输出已验证修复证明。OSS 在本地获得修复后验证；Pro 通过 ecc-tools GitHub App 获得 autofix-as-PR（打开修复 PR，在 CI 中运行已验证的重新扫描，附加前后证据包，绿色时自动合并）。

渲染 3D 代理空域可观测性仪表盘（让护城河可视化）¶

• 领域： ecc-pro | 工作量： M | 影响： 旗舰
• 关联： PR #2320
• MRR 角度： 这是 ECC 最具独占性、最具可演示性、最像付费功能的界面，其他产品都没有提供。“观看 N 个代理在代码空间中彼此靠近，其中一个转向避开”仅凭演示就能促成转化——它足以证明 Team/Enterprise 席位的价值，而竞争对手（CodeRabbit/Greptile）无法匹敌。

代理邻近度数学（noisy-OR 碰撞风险、TCAS 传输/转向建议、3D 空间填充嵌入）已在 scripts/lib/agent-proximity/ 中完整实现，并在每个 tick 计算，但控制面板 UI（ui.js）渲染的邻近度输出为零。合并维护者 PR #2320（自包含、无依赖的 3D canvas 可视化 + /api/proximity 数据源，XSS 安全的 textContent，+254/-0 并包含测试，可合并）以交付渲染器。这弥补了护城河叙事与可交付界面之间最大的差距。

在免费 CLI 输出和 GitHub App PR 评论中添加 Pro 转化 CTA¶

• 领域： both | 工作量： S | 影响： 高
• 关联： PR #97
• MRR 角度： 直接变现每月约 30K 下载量（年初至今 78,108，每周约 7,228，无衰减）的免费漏斗。目前从免费扫描器到 ECC Pro 没有显式的升级路径——在价值点添加上下文 CTA 是可用最低成本、最高杠杆的转化手段。

在免费用户已经感受到价值的地方展示 Pro CTA：终端/JSON/markdown 报告中的页脚（“在 ecc-tools Pro 中托管舰队态势 + 持续监控”）、GitHub Action 作业摘要中，以及 PR check-run 评论中。以隐私切入点（“扫描永远不会离开你的机器”，对比 Snyk Agent Scan 将工具元数据传输到云端）和低噪声/runtimeConfidence 准确性故事作为差异化。保持 AgentShield 免费 + 零账户，作为对抗 token 门控 Snyk Agent Scan 的护城河。

交付可合并的正确性和 Windows 修复，保护发布速度与核心 UX¶

• 领域： ecc-core | 工作量： S | 影响： 中
• 关联： PR #2133, PR #2307, PR #2063, PR #2273, PR #2246, PR #2312, PR #2293, 问题 #2316
• MRR 角度： 损坏的模型 ID 会使 Pro 功能所依赖的多模型 LLM 层硬性失败；损坏的 plan-orchestrate 安装检测和 Windows 崩溃会损害付费 UX，并在用户到达升级提示之前侵蚀信任。

合并干净、已验证的批次：PR #2133（Claude 提供商模型 ID + 自适应思考修复——用 claude-sonnet-4-6/haiku-4-5/opus-4-8 替换无效 ID，将 SYSTEM 路由到顶层，省略 temperature，为 Opus 4.7/4.8 启用自适应思考；之前的默认值会在 API 上返回 404/400），PR #2307 + #2063（Windows 测试/UTF-8 修复），PR #2273/#2246/#2312（文档/工作流），PR #2293（dependabot minor/patch）。为问题 #2316 安排修复（在 ecc@ecc marketplace 重命名后，plan-orchestrate 仍探测旧路径——核心工作流命令的安装检测损坏）。

加固持续学习存储（路径遍历 + 注册表竞态）¶

• 领域： ecc-core | 工作量： S | 影响： 中
• 关联： 问题 #2297, 问题 #2294, 问题 #2300, 问题 #2296
• MRR 角度： ECC 销售安全工具；我们自身学习层中的路径遍历或注册表损坏 bug 是可信度负债，会削弱 Pro 层级所依赖的整个安全品牌。

作为一次加固，修复 skills/continuous-learning-v2/scripts/instinct-cli.py 中两个安全优先 bug：问题 #2297（对 PROJECTS_DIR/project_id 执行 shutil.rmtree，但没有路径包含检查——存在任意目录删除风险）和问题 #2294（_write_registry 写入 projects.json 时未使用 _update_registry 所用的建议锁——并发会话可能损坏注册表）。与可靠性问题 #2300（SIGALRM 丢弃观测）和 #2296（信号计数器竞态）配对，以保障观察者完整性。

下一步¶

托管持续扫描仪表盘与舰队趋势线（“代理安全的 Sentry”）¶

• 领域： agentshield | 工作量： L | 影响： 旗舰
• MRR 角度： ECC Tools Pro 的核心产品，也是最清晰的经常性收入护城河：没有人统一 config-scan + 运行时遥测。按席位/仓库计费。复用 operatorReadback/reviewItems 作为 API 契约——这是从最低成本到最高杠杆的 Pro 升级，因为数据模型已经存在。

将现有本地原语产品化为托管、已认证、多仓库后端：随时间摄取 webhook/CI 扫描结果、runtime.ndjson 以及 watch/drift 事件；持久化基线；绘制分数趋势、漂移历史、被阻止命令率、注入尝试率、密钥暴露事件和跨仓库组织汇总；触发 Slack/邮件回归告警。持续/舰队原语（src/watch、src/baseline、src/evidence-pack 舰队 operatorReadback）目前仅作为本地 CLI 存在。将 AgentShield 定位为统一的配置 + 运行时视图，这是 Snyk（仅扫描）和 Sentry（无安全语义）都无法提供的。

通过 ecc-tools GitHub App 进行内联 PR 评论审查 + autofix-PR¶

• 领域： agentshield | 工作量： M | 影响： 高
• 关联： PR #2320
• MRR 角度： 粘性内联 PR 评论 + 一键修复 PR 如今已是标配（Aikido、DryRun、Pixee），也是能转化的 GitHub 原生付费界面。GitHub App 已作为交付载体存在；将 PR 时审查 + autofix-PR 作为付费层级变现。

目前，GitHub Action 会使 CI 失败并输出 SARIF（进入 Security 选项卡），但不会发布与变更行关联的粘性内联 PR 评论，且自动修复仅支持本地 CLI。添加逐行 PR 评论，并提供一键“应用修复”，将现有修复提交到 PR 分支，同时支持自动修复 PR 生成。通过捆绑竞争对手所缺乏的 agent 邻近性 / 合并冲突预防角度，与 CodeRabbit/Greptile 形成差异。

外部规则包加载器（--rule-pack）+ 精选商业情报源¶

• 领域： agentshield | 工作量： 中 | 影响： 高
• 关联： issue #101
• MRR 角度： 将 AgentShield 转变为一个平台：OSS 获得加载器，Pro 获得签名的、持续更新的商业规则包/威胁情报订阅。ATR 规则包（464 条规则，已在 Cisco AI Defense + Microsoft 生产环境使用）带来可信度和覆盖范围；其语料库为准确性门控提供输入。

构建 agentshield issue #101 中请求的加载器：一种签名的、版本化的外部规则包格式，使用 zod 验证并镜像 --policy 加载器，不引入新依赖，并对规则包本身进行来源/安全检查。可干净地映射到现有的声明式规则表和 runRules 循环。解决一个未决设计问题（ScoreBreakdown 的五个固定桶——外部发现计入总数而没有独立桶在 v1 中可接受）。与托管的、精选的 AI 工具恶意包/skill + CVE 情报源耦合，作为付费订阅层（静态的 21 条 CVE 数据库会过时；同步到 NVD/GHSA/OSV）。

Pro 深度扫描：LLM 评判语义检测 + 实时 MCP 工具获取 + rug-pull 锁定¶

• 领域： agentshield | 工作量： 大 | 影响： 高
• MRR 角度： 直接抵消最危险的竞争对手（Snyk Agent Scan）和 AgentGuard。按量/Pro 功能，平台先行承担模型成本，并运行更深入的定时对抗扫描。保持免费 AgentShield 作为无需账户的默认选项，区别于 Snyk 的 token 门控 CLI。

复用现有的 --opus（Red/Blue/Auditor）和 --injection（实时 LLM 对抗，约 70 个 payloads）管道，发布一个可选的 LLM 评判层，用于语义 prompt-injection 和 toxic-flow 链式检测。添加一个实时 MCP 连接器，获取工具描述并固定工具哈希，以标记扫描之间的 rug-pull（Snyk 具备而 AgentShield 缺乏的能力）。将已承认的 skill-md / freeform-prompt 覆盖差距作为免费差异化点补齐（相对于 NVIDIA SkillSpector，这现在是基本门槛），并将 AST taint + 精选 YARA/IOC 源保留给 Pro。

映射到 SOC2/PCI/ISO 控制的合规/证据包¶

• 领域： agentshield | 工作量： 中 | 影响： 高
• MRR 角度： 高毛利企业附加组件：可供审计者使用的包是 GRC 团队交给审计者以证明 agent 部署合理性的交付物。买家需要映射到框架的证据，而不是原始发现——这是一个明确的企业席位升级销售点。

AgentShield 已经生成确定性的哈希验证证据包和 SARIF，以及基线/漂移和组织策略通过/失败。添加显式框架映射（findings -> SOC2 CC / PCI DSS / ISO 控制 ID）、由基线历史和 runtime.ndjson 驱动的覆盖率及随时间推移的修复图表，以及托管存储/保留/签名。将其作为面向受监管买家的合规交付物销售。

集中管理的组织策略 + RBAC 分发¶

• 领域： agentshield | 工作量： 大 | 影响： 高
• MRR 角度： 按席位的企业价值：托管策略分发、跨整个机群的执行，以及具有过期时间和所有者审批的豁免/例外工作流，正是组织买家为席位付费的原因。目前策略包是本地 JSON，四处复制且没有集中管理。

策略包（6 个预设）、通过 SHA-256 验证的导出/提升，以及例外生命周期已作为本地 JSON 存在。添加托管策略分发、全机群执行、集中管理的例外/豁免（过期 + 所有者审批）、组织身份/RBAC、审计日志保留，以及集中分支保护证据。添加一个 DryRun 风格的自然语言到策略编写层（“任何 MCP 服务器都不得绑定 0.0.0.0”、“skills 不得读取 keychain”），编译为 AgentShield 规则——这是开发者正在转向的差异化 UX。

Harness 中立扩展：Kimi、Codex 别名、OpenClaude/Codex 兼容¶

• 领域： ecc-core | 工作量： 大 | 影响： 中
• 关联： PR #2154、PR #2254、issue #2076、issue #2073、issue #2074
• MRR 角度： 扩大整个漏斗的可触达用户基础，并与 ECC 2.0 harness 中立控制平面愿景保持一致——扫描更多 harness = 更多漏斗顶部流量进入 Pro。

在所需的 catalog/registry 同步、install-profile 审查和 surface 测试之后落地 harness 中立工作：PR #2154（Kimi Code CLI，第 12 个 harness，+1397/16 文件）、PR #2254（Codex 插件别名——目前为 DRAFT + CONFLICTING，先解决），并回复需要信息的兼容性问题 #2076（OpenClaude）、#2073（Codex subagent TOML 格式）、#2074（OpenCode bun-on-PATH Windows 错误）。AgentShield 的 harness 适配器已经可以检测 Claude Code/OpenCode/Codex/Gemini/Zed/VS Code/dmux。

批量审查并去重社区 skill/agent PR 积压¶

• 领域： ecc-core | 工作量： 中 | 影响： 低
• 关联： issue #2308、PR #2309、PR #2310、PR #2311、PR #2285、PR #2275、PR #2274、PR #2270、PR #2318、PR #2315、PR #2313、PR #2137、issue #2069
• MRR 角度： 间接：保持 catalog 可信且可发现（catalog 质量是免费层留存因素），同时避免用冗余 skills 使其臃肿并稀释价值主张。

以批次进行分诊，并针对现有 200+ skill catalog 进行重叠/去重审查，外加 manifest/catalog/command-registry 同步和 surface 测试：三个受 BMAD 启发的 skills（#2309/#2310/#2311，位于跟踪 issue #2308 下）、framework-reviewer 家族扩展（#2285 nuxt、#2275 React Native、#2280 AL/BC），以及各类新 skill PR（#2319 ecc-recipes、#2314 quant-trading、#2281 council-multi-model、#2277 living-docs、#2288 mailtrap——需要凭据处理安全审查）。解决需要工作的冲突/大型 PR（#2274 gateguard rebase、#2270 OMP 拆分、#2318/#2315 大型提交）。关闭低信号顺手提交：PR #2313（空模板）、PR #2137（模糊的 AI-slop SOP）、agentshield #99（垃圾信息）。将营销转发 #2069 路由到内容（ECC 是“featured”，不是获奖者）。

后续¶

免费运行时防护钩子 + Pro 集中遥测与信任注册表¶

• 领域： agentshield | 工作量： XL | 影响： 旗舰
• MRR 角度： 弥补最大的竞争差距（GoPlus AgentGuard 运行时阻断、Snyk-Evo 集群监控），并且是纯托管玩法，按活跃代理/席位计费。免费静态拒绝列表抵消 AgentGuard 的差异化优势；Pro 基线化 + 遥测 + 托管信任注册表是经常性升级销售。

当前运行时监控器（src/runtime）是一个轻量的拒绝列表 + 速率限制 PreToolUse 评估器，日志写入本地 NDJSON。构建流式评估器，支持按代理/按仓库的行为基线化和意图漂移评分（OTel GenAI spans），内联软警告/硬阻断，并将污点跟踪从单文件静态扩展到跨工具调用/跨会话的数据流血缘（主导 2026 年事件的间接注入 -> 数据外泄链）。增加凭据流追踪（哪个钩子/MCP 读取每个密钥，是否出站）。Pro 集中处理运行时遥测摄取、全集群拒绝策略分发、防篡改日志、托管信任注册表和实时告警。这就是 'AgentShield Runtime' —— 代理 EDR，而不是配置检查器。

跨机器团队空域 + 控制面板中的 A2A 拓扑安全¶

• 领域： ecc-pro | 工作量： XL | 影响： 高
• MRR 角度： 最清晰的 Team/Enterprise 席位切入点：'N 个代理、M 个人类、通过 Tailscale 零合并冲突' 正是支撑按席位团队定价的理由。A2A 权限提升可视化是 Layer 4 护城河的安全原生兄弟产品，与控制面板一起销售。

Proximity 目前只能看到单个仓库中的本地会话（路线图 v2 跨机器尚未构建）。构建托管的、经过身份验证的多仓库/多机器空域（会话、看板、邻近性、风险台账），由 Team/Enterprise 门控，并以 TCAS transmit/steer 协议 + 代理+人类 JIT 去冲突作为按席位价值。增加代理到代理（A2A）拓扑安全：对组织的多代理委派图建模（哪个代理调用/委派给哪个代理，继承哪些工具），并突出 confused-deputy / 过度权限委派路径。将本地 memory-recall Knowledge 面板提升为同步的团队知识/RAG 存储，作为 Pro 附加组件。

社区 MCP/skill 声誉注册表作为增长飞轮 + Pro 风险评分 API¶

• 领域： agentshield | 工作量： L | 影响： 中
• MRR 角度： 兼具营销和付费风险评分 API 的数据骨干作用。对抗 Prompt Security 的 13,000 服务器评分注册表护城河；众包 + ECC 生态扫描结果数据飞轮难以被竞争对手复制。

构建一个免费的社区 MCP/skill 声誉注册表，聚合众包输入 + 整个 ECC 生态中的 AgentShield 扫描结果，并提供 MCP 来源证明（SLSA/in-toto/Sigstore 风格的签名 agentshield.lock，固定完整的 MCP+skill+plugin 依赖闭包）。将连续监控、组织允许/阻止策略、Shadow-MCP 发现，以及托管的多生态（npm+PyPI+cargo）来源/SBOM 服务作为 Pro 出售。可选的利基附加组件：面向本地 OSS 模型团队的 pickle/safetensors/GGUF 模型工件反序列化扫描器。

能力基线（我们有什么，差距在哪里）¶

AgentShield 现状¶

AgentShield 现状是一个成熟的静态安全扫描器，面向 AI 代理配置（Claude Code 及相邻 harness），提供覆盖密钥、权限、钩子、MCP 和代理的 102 条基于模式的规则，并由来源置信度/误报引擎强化（runtimeConfidence 层级 + 分数加权）。在静态规则之上，它分层提供：由 21 条精选威胁情报数据库支持的 MCP 工具投毒 + CVE 检测、供应链来源验证（离线 + 可选 npm 在线 + 包管理器加固）、可选静态污点分析、可选 LLM 驱动的主动 Prompt 注入测试（约 70 个载荷 / 12 个类别）、可选钩子沙箱执行（带金丝雀密钥），以及 Opus 4.6 三代理对抗流水线。运营面包括组织策略包（带已验证的 export/promote + 异常生命周期）、可安装的运行时 PreToolUse 拒绝列表监控器、确定性哈希验证的证据包（带全集群 operatorReadback）、基线漂移门控、本地 watch/alert 模式、harness 适配器，以及完整 CI 集成（GitHub Action、SARIF、语料自测）。诚实的差距在于检测绝大多数是静态/基于签名的（非 shell 钩子代码覆盖范围窄，skill-md Prompt 覆盖弱，无实时 CVE 源，无真正的 AST 污点），并且所有连续/集群/托管原语（watch、evidence-pack fleet、策略分发、运行时遥测、深度 LLM 分析）仅作为本地 CLI 构建块存在。这一差距正是 Pro/Enterprise 机会：连续监控、集群仪表盘、托管扫描、集中管理的组织策略、实时威胁情报和合规证据保留的数据模型已在本地设计，可直接转化为托管的 ECC Tools Pro 产品（README 已引用 $19/席位/月 层级和 ecc-tools GitHub App）。关键文件：src/rules/*, src/{taint,injection,sandbox,supply-chain,threat-intel,runtime,policy,evidence-pack,watch,baseline,harness-adapters,opus}/, README.md, false-positive-audit.md。

路线图针对的关键差距：

• 大多数检测仅静态：规则基于配置文本的正则/模式。多态/混淆载荷、新型编码以及不匹配签名的逻辑级恶意行为会被漏掉。深度行为检测需要可选 --opus/--injection/--sandbox（LLM 成本或本地执行）。
• 非 shell 钩子代码覆盖范围窄：钩子代码发现仅捕获显式信号（output() 上下文注入、转录访问、子进程 curl|bash）。对 JS/Python 等钩子实现的广泛语言感知分析尚未完成 —— README 明确将此标记为已知高信号注意事项。
• skill-md / 自由格式 Prompt 文本绕过大多数代理 + 注入规则（已明确承认）。Skill Prompt 正文的覆盖远弱于 CLAUDE.md/agent-md。
• CVE 数据库是手工精选的 21 条静态列表，无实时源 —— 会过时；无到 NVD/GHSA/OSV 的自动同步。无 CVSS 评分，除字符串匹配外无版本范围解析。
• 供应链在线检查仅命中 npm registry；无 PyPI/cargo/RubyGems 在线验证，无 SBOM 生成/消费，无传递依赖图或 lockfile 树完整性验证（仅顶层来源计数）。
• Watch 模式仅为本地单进程 fs.watch（无 daemon/service，无跨重启持久化，单一 targetPath 基线）。Webhook 告警存在，但没有实际持续运行的托管摄取、仪表盘或多仓库集群视图。
• 无托管/SaaS 扫描后端。所有功能都在本地或用户 CI 中运行。GitHub App（ecc-tools）被引用，但扫描器核心完全本地/离线。
• 除单配置启发式外，无跨文件的语义/数据流分析用于 MCP 工具链或多代理权限提升；污点分析是正则 source/sink，而非真正的 AST/CFG。
• 无推理时恶意模型行为检测（仅配置时 + 可选沙箱/注入测试）。无对运行中代理集群的实时转录/遥测监控。
• 运行时监控器是一个轻量的拒绝列表评估器（glob+regex），作为一个钩子安装；无内核/系统调用级沙箱，无出站过滤强制，钩子本身无防篡改保护。

ECC Pro 今日现状¶

ECC 当前的付费故事是两个独立的托管 GitHub App（ECC Pro 定价为 $19/seat/mo，面向私有仓库；ECC Tools 提供免费/专业/企业版 Marketplace 层级，并具备真正的计费基础设施），而整个本地插件（包括控制面板）仍然保持 MIT 免费许可，没有任何许可证门槛。控制面板（仅 loopback 的 Node 服务器）呈现 Sessions、带 agent+human JIT 分配的交互式看板、本地 Knowledge 召回、MCP 连接器和可执行操作。真正差异化的"护城河"——代理空域邻近度指标（noisy-OR 碰撞风险、TCAS 发射/转向建议、3D 嵌入）——已在代码中完整实现并接入快照，但 3D"代理在哪里"的可视化从未被渲染（UI 中零邻近度输出），这些能力也都没有被定位为 Pro/企业版功能或设置相应门槛。付费价值主张很单薄：Pro 目前看起来像是"面向私有仓库的 OSS + PR 审计"（与 CodeRabbit/Greptile 相比属于同质化商品），而真正可拥有的呈现面——3D 代理可观测性、多代理/人类 JIT 冲突消解、跨机器团队空域、共享团队知识——要么未渲染，要么未构建，要么未变现。另外，在声称原生支付已 GA 之前，请先验证 GitHub Marketplace Pro 计费状态的实时来源（provenance）。关键文件：scripts/lib/control-pane/{server,state,ui,proximity,message-sink,work-item-mutations}.js、scripts/lib/agent-proximity/{distance,graph,index}.js、docs/design/agent-proximity.md、docs/ECC-2.0-REFERENCE-ARCHITECTURE.md、docs/ECC-2.0-GA-ROADMAP.md、README.md:53-83 和 :216。

已识别的 Pro 杠杆点：

• 3D 代理空域可观测性仪表盘——在控制面板 UI 中渲染已经计算好的 scanAirspace 位置/链接/建议（WebGL/Three.js）。"观看 N 个代理在代码空间中相互靠近，再看其中一个转向避开"是独一无二、可演示的 Pro/团队功能，其他产品都没有。数学计算已完成；只缺渲染器。
• 多代理/多人 JIT 冲突消解，作为 TEAM 席位产品——TCAS 发射/转向协议 + agent+human 看板 JIT 分配是天然的人均席位价值。将跨机器空域（Tailscale，路线图 v2）设为 Team/企业版专属门槛功能。
• 托管控制面板/可观测性后端——目前仅限本地回环。一个托管、带认证、多仓库的版本（sessions、看板、邻近度、风险台账、来自参考架构的 HUD/状态 JSON 契约）是显而易见的 Pro SaaS 切入点。
• 共享团队知识层——将本地记忆召回 Knowledge 面板升级为同步的团队知识/RAG 存储（参考架构已经希望对经过验证的模式/PR 结果/CI 失败构建 RAG），作为 Pro/企业版附加组件。
• AgentShield 企业安全平台——策略包（OSS/团队/企业/受监管）、SARIF、供应链情报、高管 HTML/PDF 报告、CI 强制执行（参考架构第 152-173 行）。这已被定位为企业安全层级，并与邻近度/可观测性故事相配合。
• ECC Tools 深度分析器 + Linear 同步作为 GitHub 原生的付费 PR 层（这已经是当前的付费面）；通过捆绑竞争对手所缺乏的代理邻近度/合并冲突预防角度，与 CodeRabbit/Greptile 实现差异化。

研究输入¶

竞争对手差距分析¶

AgentShield（npm "ecc-agentshield"）占据了一个可防御的利基市场：作为一款针对 AI 代理配置面（Claude Code .claude/ 目录、hooks、MCP 配置、权限、代理/技能 markdown、密钥）的免费、开源、零账户静态审计器，以 CLI + GitHub Action + GitHub App 的形式交付，拥有 5 个类别共 102 条规则、runtimeConfidence 来源加权、供应链溯源、证据包/SARIF，以及 Opus 红队/蓝队/审计员流水线。npm 的增长是真实的：2026 年 YTD 下载量 78,108 次（1 月 1 日—6 月 21 日），最近 30 天约 29,759 次，最近一周约 7,228 次，日均 700—2,300 次。该领域分为两个层级。（1）直接的 OSS 配置/技能扫描器：Snyk agent-scan（前 Invariant mcp-scan，最危险的竞争对手）、NVIDIA SkillSpector（AST 污点分析 + YARA）、GoPlus AgentGuard（运行时动作评估 + 信任注册表，仅本地）、Mondoo Skill Check、Semgrep Guardian。（2）企业运行时/防火墙 + 模型供应链：Lakera Guard（Check Point）、Prompt Security（SentinelOne）、HiddenLayer、Protect AI Guardian（Palo Alto/Prisma AIRS）、Noma，以及 Cloudflare/Microsoft Defender MCP 网关；GitGuardian 提供原生 Claude Code/Cursor/Copilot 密钥 hooks。AgentShield 最大的差距：没有运行时/内联强制（纯静态）、没有 LLM 评判语义提示注入/毒性流分析、没有实时 MCP 工具描述获取或 rug-pull 工具固定、没有 ML 模型工件扫描、没有中央舰队仪表盘、没有策略即代码网关。最大的护城河：免费 + 零账户 + OSS（Snyk agent-scan 需要 SNYK_TOKEN；企业层级全部为付费/被收购）、对 Claude Code 配置的深度特异性、来源置信度误报加权，以及 ECC 分发渠道。明确的 ECC Pro 楔入点：托管舰队仪表盘、LLM 评判深度扫描、实时 MCP 运行时代理 + rug-pull 检测、策略即代码 CI 门禁、模型工件扫描，以及精选的 AI 工具恶意包/技能情报源。

与我们相比值得注意的差距（目前缺失）：

• GoPlus AgentGuard——仅本地的运行时动作强制 + 信任注册表（运行时差距）——发布一个基于 PreToolUse hook 的免费轻量运行时防护（AgentShield 已经深入理解 Claude Code hook 的接线方式——通过 agentshield init 自然扩展），将受管信任注册表、组织级允许/阻止策略同步以及运行时遥测/告警保留给 ECC Pro。在保留追加销售机会的同时，抵消 AgentGuard 的差异化优势。
• Lakera Guard（Check Point）——运行时提示注入防火墙——企业内联防火墙属于资本密集型，且目前由 Check Point/SentinelOne 所有，因此不是近期可构建的方向。现实的 ECC Pro 角度：一个托管式 /guard 风格端点，复用 AgentShield 的注入规则语料库，对代理提示和工具描述进行轻量级开发/CI 门控——开发者优先且更便宜，而不是企业 WAF。
• Prompt Security（SentinelOne）——MCP 网关 + 对 13,000+ 公共 MCP 服务器的动态风险评分——构建一个免费的社区 MCP/技能信誉注册表（众包 + 覆盖 ECC 生态系统的 AgentShield 扫描结果），作为增长/数据飞轮资产，然后将持续监控 + 组织允许/阻止策略 + Shadow-MCP 发现作为 Pro 出售。该注册表兼作营销工具和 Pro 风险评分 API 的数据骨干。
• HiddenLayer + Protect AI Guardian（Palo Alto/Prisma AIRS）——ML 模型工件供应链扫描——Pro 附加组件：为加载本地模型工件的代理提供 pickle/safetensors/GGUF 反序列化扫描器，外加代理配置中的 Hugging Face 模型引用检查器。虽然小众，但对本地 OSS 模型团队来说是一个干净的追加销售；将一个免费的 OSS pickle 扫描核心（picklescan 风格）与 Pro 签名/IOC 情报源集成。
• Cloudflare / Microsoft Defender——MCP 网关和托管强制基础设施——保持互补：将 AgentShield/ECC Pro 定位为开发者侧的预检 + CI 门禁，将发现结果馈送到这些网关（SARIF/JSON 导出已存在）。一个将 AgentShield 态势导出到 Cloudflare/Defender 策略或生成 Shadow-MCP 候选列表的 Pro 集成，是合作伙伴友好的追加销售，而不是竞争性构建。

尚未构建的构想¶

AgentShield 已经提供了一个异常广泛的静态检测面：涵盖 secrets/permissions/hooks/MCP/agents 的 102+ 条规则、MCP CVE 与工具投毒检测、供应链来源追溯、污点分析、沙箱 hook 执行、注入测试、watch/漂移模式、PreToolUse 运行时监控器、组织策略即代码、证据包、基线门禁、SARIF/HTML，以及 ECC Tools GitHub App + Pro 层级。因此，真正尚未构建的构想不是“再增加一个扫描器类别”，而是从静态配置审计转向实时运行时防御、跨调用/跨会话推理，以及一个托管式的持续保障产品。基于已发布的代码和 2026 年威胁形势，最大的具体缺口是：(1) “运行时监控器”只是一个静态拒绝规则 + 限流的 PreToolUse 评估器——既没有行为基线化、意图漂移检测，也没有跨真实工具调用的实时污点传播；(2) 污点追踪仅限单文件的静态分析，不覆盖跨工具调用/跨会话的数据流；(3) 自动修复没有验证闭环（只应用字符串变换，从不重新扫描以证明发现已消失且没有引入新问题）；(4) 对非人类/代理身份、最小权限令牌范围划分或 OAuth/凭据流追踪的覆盖为零（根据 CSA/OWASP NHI 相关工作，这是 2026 年增长最快的风险）；(5) 没有 MCP 来源证明 / 签名 lockfile（供应链目前只是检测 + npm 元数据，而非密码学证明）；(6) 没有 A2A / 多代理 / 代理间协议覆盖；(7) 没有带集群趋势线的托管式持续扫描仪表盘（证据包集群仅以 CLI 形式存在，没有 SaaS 版本）；(8) 社区规则包加载器已被请求（issue #101），但尚未构建。这些缺口每一项都能清晰地对应到 ECC Pro / ECC Tools 的变现模式，因为它们需要托管、威胁情报源或组织级集群状态，而这些是 OSS CLI 无法承载的。

与我们相比值得注意的差距（目前缺失）：

• 带验证闭环的自动修复（重新扫描 + 无回归证明）——OSS 在本地获得修复后验证。Pro 通过 ECC Tools GitHub App 获得“自动修复即 PR”：开启修复 PR，在 CI 中运行已验证的重新扫描，附上前/后证据包，并在通过时自动合并——这是一种付费的托管式修复工作流。
• 代理身份、最小权限和非人类身份（NHI）治理——企业策略包功能：将最小权限评分 + 令牌轮换/年龄门禁作为一个“受监管/企业”Pro 策略包发布，并在 ECC Tools 中提供跨组织仓库的托管式 NHI 清单（集群级身份扩散地图）。
• 代理间（A2A）与多代理拓扑安全——高级控制面板集成：渲染组织的多代理委派图并高亮特权提升路径，与 ECC 2.0 控制面板 / Layer 4 邻近性一起作为付费的组织级集群可视化出售。
• 社区/外部规则包加载器（--rule-pack）——OSS 获得加载器和本地包。Pro 获得一个经过策划、签名、持续更新的商业规则包订阅源（即供应链条目中的 CVE/已知恶意 MCP 情报），将检测转化为订阅服务。

开发者工具需求缺口¶

在各类 SAST/SCA 工具（Snyk、CodeQL、Semgrep、SonarQube、Dependabot）中，2026 年开发者最普遍的抱怨不是检测能力，而是分诊处理：告警疲劳、误报，以及低价值的 PR。一位 Go 维护者曾公开称 Dependabot 是“噪音机器”；团队反馈，他们花在分诊 Snyk SCA 告警上的时间比修复问题还多；CodeQL 误报密集的单元测试标记，以及“关闭即回传”的用户体验，促使开发者干脆完全忽略告警。明确的需求是低噪音、感知上下文的 PR 时点发现，并附带自动修复和 SARIF/合规输出。具体到 AI 代理代码库，出现了两个新的直接竞争对手：Snyk Agent Scan（2026 年 5 月开放预览——CLI + 后台 MDM/CrowdStrike 模式，云端支持，会将工具元数据发送到机器之外）和 DryRun Security（在 PR 中提供上下文相关的自然语言代码策略，并馈送给 Claude/Cursor/Codex）。AgentShield 已经提供了市场在代理配置安全方面所要求的大部分功能：102 条规则、SARIF、GitHub Action、自动修复（--fix/修复）、证据包、供应链检查、runtimeConfidence 误报加权、本地运行时 hook 执行层（runtime.ndjson），以及 watch/漂移检测器。最大且尚未满足、可变现的缺口是：(1) 一个托管式的 Sentry 风格聚合仪表盘 + 代理运行时遥测（跨多个仓库和机器的错误/工具失败/成本/漂移）——目前没有人将配置扫描与运行时可观测性统一起来；(2) 真正的 PR 内联评论审查（AgentShield 的 Action 会使 CI 失败并输出 SARIF，但不像 DryRun/Aikido 那样发布置顶的内联评论）；(3) IDE/编辑器集成（Cursor/Windsurf/VS Code/Claude Code），让发现和修复出现在代理实际编写代码的地方；(4) 超越当前 JSON 策略预设的自然语言自定义组织策略（DryRun 风格）；(5) 映射到 SOC2/PCI 框架的合规/证据包，作为付费的 Pro 交付物。AgentShield 本地优先、数据不出机器的姿态，是相对于 Snyk Agent Scan 云端元数据传输的一个具体差异化优势，也是面向受监管买家的隐私卖点。

与我们相比值得注意的差距（目前缺失）：

• IDE/编辑器集成——在代理实际编写代码的地方呈现发现与修复——发布一个 VS Code/Cursor 扩展（以及一个已通过 ecc:security-scan 存在的 Claude Code 技能），在保存时检查代理配置、内联显示发现，并提供修复——在 Pro 版中开放组织策略同步。它建立在现有 harness 适配器之上；在 Snyk Agent Scan（CLI/MDM）覆盖不到的编辑器场景中与开发者相遇。

注：第四条研究线索（近期 agentic/MCP CVE）被一个自动化的使用策略分类器在原始“find vulnerabilities”提示词上拦截。它本来要覆盖的 CVE 数据库刷新需求，已被纳入规则包 + 情报源条目，并将以受限的、防御性的 OSV/GHSA/NVD 同步方式处理，而非开放式漏洞研究。

附录：开放 PR / issue 分类¶

affaan-m/ECC¶

已对 affaan-m/ECC 上所有打开的 PR（30 个）和 issue（24 个）完成分类。可合并（干净、正确、无冲突）：PR #2320（维护者的 Layer 4 控制平面 3D 可视化 — 最高的 Pro/MRR 价值）、PR #2133（Claude 提供方的模型 ID + adaptive-thinking 修复，已对照权威 Claude API 参考验证正确 — sonnet-4-6/haiku-4-5/opus-4-8、省略 temperature、为 Opus 4.7/4.8 启用 adaptive thinking）、PR #2307 + #2063（Windows 修复）、PR #2273/#2246/#2312（文档/工作流修复）、PR #2293（dependabot 次要/补丁更新）。此外还有 continuous-learning-v2 中的几个快速见效 issue（#2306、#2305、#2302、#2301、#2299、#2298、#2295、#2300）以及 #2316（plan-orchestrate 过期安装检测）。安全优先：issue #2297（路径遍历 — 没有包含检查的 shutil.rmtree）和 issue #2294（没有文件锁的注册表写入 → 数据损坏），两者均位于 skills/continuous-learning-v2/scripts/instinct-cli.py。两者都应作为一次加固处理来修复。PR #2136（AURA 外部信任集成）需要对其第三方依赖进行安全审查。需要处理（rebase/范围/审查）：PR #2274（gateguard 与工具无关的修复 — 正确但存在冲突）、PR #2270（OMP — +3151/-454，存在冲突，范围蔓延至发布自动化；请拆分）、PR #2318/#2315/#2154（大型技能/harness 批量提交，需要目录同步 + 逐项审查）、PR #2260（eslint 9→10 主要版本升级 — 合并前需验证）、草稿 #2264/#2254，以及需要更多信息的 issue #2076/#2074/#2073。关闭候选：PR #2313（空模板，可能与现有的 python 审查冲突）、PR #2137（含糊的 'ULTRA CODE 自演化 SOP'，存在冲突，AI 垃圾内容）。稍后分类：三个受 BMAD 启发的社区技能（跟踪 issue #2308 下的 #2309/#2310/#2311）以及各类新技能 PR（#2319、#2314、#2281、#2280、#2277、#2275、#2288、#2285）—— 都需要与现有 200+ 技能目录进行重叠/去重审查，并同步 manifest。Issue #2069 是一个营销转发请求（转交内容团队处理；注意 ECC 只是被“推介”，并非获奖）。与 Pro/MRR 相关的集群：控制平面 Layer 4（#2320）、不依赖 harness 的扩展（Kimi #2154、Codex 别名 #2254、OpenClaude/Codex 兼容性 #2076/#2073）、多模型编排技能（#2281、#2318）以及 continuous-learning 的可靠性与安全性（#2294/#2297/#2300）。

affaan-m/agentshield¶

affaan-m/agentshield 现有 7 个待处理事项：3 个 PR（#103、#97、#96）和 4 个 issue（#102、#101、#100、#99）。最突出的是误报问题簇（#100、#102、#99-adjacent）：扫描器把 permissions.deny 规则中的 --no-verify 标为 CRITICAL，并将 Permissions 分数清零——这惩罚了它自己推荐的修复方式。PR #103 用 fail-closed 逻辑干净利落地修复了可从结构上判定的 JSON 场景（#102），新增 6 个测试，所有 review 机器人检查均为绿色；建议合并，这是最有利于信任和转化率的成果。#100 覆盖了 #103 未处理的两个剩余误报（字符串字面量中的 --no-verify，以及 agents.ts:1561 中英文词 'backward' 被匹配为反向文本），需要后续跟进。#101（外部 --rule-pack 加载器，ATR 集成）是一个高价值的生态系统/Pro 提案，范围界定清晰，建议稍后分流，并有意接受该 PR。#97（README FAQ）是可合并的文档。#96（vitest 3→4）存在真实的测试失败（vitest 4 下的 renderTerminalAlert 断言失败），合并前需要修改。#99（'bm'，正文为空）是垃圾信息，关闭。注意事项：PR #103 的检查仅来自 review 机器人（CodeRabbit/Greptile/GitGuardian）；Verify/test 矩阵似乎没有运行，因此维护者应在合并前在本地确认测试套件通过。