跳转至

AgentShield 企业研究路线图

生成时间：2026-05-12；已根据 5 月 18 日的 AgentShield 机群工单和 Mini Shai-Hulud IOC 证据刷新。

这是下一个 AgentShield 企业版本迭代的规划产物。它不会修改 AgentShield 代码。目标是将当前的扫描器、策略门、语料库和报告界面，转变为跨多个 harness 运行 AI 编码代理的团队的安全控制平面。

已审查证据

当前 AgentShield 仓库状态：

  • 位于干净 main 上的 AgentShield 检出。
  • README.md、API.md、package.json、.github/workflows/*，以及 src//tests/ 模块布局。
  • 当前支持的用户界面：agentshield scan、agentshield init、 agentshield miniclaw start、扫描器 JSON、MiniClaw API、GitHub Action、 HTML、SARIF、markdown、终端和 JSON 报告。
  • 当前类企业级界面：策略包、GitHub Action 策略执行、SARIF 策略违规、供应链溯源、语料库基准、HTML 高管报告以及例外生命周期审计。

从官方 GitHub 仓库或 README 来源核对的外部参考：

  • stablyai/orca：多代理 IDE、 worktree 隔离、实时代理状态、GitHub 集成、diff 审查和通知。
  • superset-sh/superset：支持 worktree 编排、内置 diff 审查、工作区预设和通用 CLI 代理兼容性的 AI 代理编辑器。
  • standardagents/dmux：具有生命周期 hooks、多代理启动、窗格可见性以及合并/PR 工作流的 tmux/worktree 复用器。
  • jarrodwatts/claude-hud：Claude Code 状态栏、上下文健康、工具活动、代理跟踪、待办进度、转录解析和使用遥测。
  • stanford-iris-lab/meta-harness：通过可重复任务、已记录的 proposer 交互和已评估的 scaffold 变更进行 harness 优化。
  • greyhaven-ai/autocontext：带有 traces、评分 generations、playbooks、持久化知识、场景评估和可选生产 traces 的递归改进循环。
  • NousResearch/hermes-agent：自我改进技能、记忆、会话搜索、多平台网关、计划自动化、终端后端和轨迹生成。
  • anthropics/claude-code：终端、IDE、GitHub、插件、权限、MCP 和数据保留界面。
  • anomalyco/opencode：支持 build/plan 代理、桌面 beta、客户端/服务器架构和 LSP 的提供商无关开源编码代理。
  • opencode-ai/opencode：早期已归档的基于 Go 的终端代理，具有会话、提供商、LSP、文件变更跟踪、自定义命令和自动压缩。
  • zed-industries/zed：具有严格许可证/合规 CI 期望的高性能多人编辑器。
  • aidenybai/ghast：围绕 Ghostty 构建的原生终端复用器，支持工作区分组、分屏窗格、拖放、通知和终端搜索。

本地 Claude Code 源代码检查：

  • 仅审查了来自私有 Claude Code 源代码快照的非机密本地文件/模块结构。
  • 观察到的相关界面：tools/、utils/permissions/、utils/mcp/、 utils/hooks/、utils/plugins/、types/permissions.ts、 types/plugin.ts、remote/、tasks/、assistant/sessionHistory.ts， 以及会话/历史工具。
  • 未复制任何代码。结论是，AgentShield 应将权限、插件、MCP、hooks、远程会话、任务/子代理活动和历史作为一等审计域进行跟踪，而不是将 .claude/ 树视为唯一事实来源。

当前 AgentShield 定位

AgentShield 已经不仅仅是一个静态 lint 工具：

  • 规则覆盖范围包括 secrets、权限、hooks、MCP 服务器、代理配置、 Prompt 注入、供应链、污点分析、沙箱执行、策略评估、运行时修复/状态、语料库验证、MiniClaw 和 Opus 分析。
  • 报告可被人类和机器使用：终端、JSON、markdown、HTML、SARIF、扫描日志和 GitHub Action 输出。
  • 存在企业级 hooks：策略包、例外元数据、即将过期/已过期例外报告、SARIF 代码扫描和作业摘要输出。
  • 准确性工作正在进行：runtimeConfidence、模板/示例加权、文档示例降级、已安装 Claude 插件缓存置信度、hook 清单解析、误报审计指导和语料库就绪状态。
  • 证据包消费现在已具备一等支持，可供下游工具使用： agentshield evidence-pack inspect 会验证一个 bundle，并为报告分数、发现计数、运行时置信度、策略、基线、供应链、CI 上下文、修复以及畸形工件错误输出紧凑的 JSON/文本摘要。
  • 机群级证据包消费现在具有一个本地路由原语： agentshield evidence-pack fleet <dirs...> [--json] 将多个已检查的 bundle 聚合为就绪、安全阻断、策略审查、基线回归、供应链审查和无效路由。
  • ECC-Tools 现在在托管安全审查中消费该机群原语： agentshield-evidence/fleet-summary.json 将无效包、安全阻断项、策略审查、基线回归和供应链审查路由到托管发现中。

5 月 16 日更新：AgentShield PR #87 已合并为 26bb44650663816d07180e0d20c1895e431a326c。它将已安装的 Claude 插件缓存内容分类为 runtimeConfidence: plugin-cache，将非机密插件缓存的分数影响保持在 0.5x，避免降级仓库本地的非 Claude plugins/cache 路径，并使插件缓存分类优先于缓存的 hook 实现，否则这些实现会显示为活动的 hook-code。 AgentShield PR #88 已合并为 65ed6e2a87545dc99d962b58413f49096a4d70ec。它新增 agentshield evidence-pack inspect <dir> [--json]，在回读前验证 bundle，汇总每个面向消费者的证据工件，并防止畸形但有效的 JSON 工件导致检查崩溃。 AgentShield PR #89 已合并为 521ada9091bb6d818511ab8589ae675b920c106a。它新增 agentshield evidence-pack fleet <dirs...> [--json]，通过 inspect 路径验证每个包，聚合发现、策略、基线、供应链和修复总数，并将每个包分配到确定性的机群路由。 AgentShield 提交 840952a7a07f820f24081c43df656d7f7295f23b 新增 Linear/操作员就绪的机群审查工单负载，包含优先级、标签、标题和 Markdown 正文。同一提交扩展了当前 Mini Shai-Hulud/TanStack IOC 对集群内 Vault 端点和临时 lockfile 面包屑的覆盖，并附带本地 typecheck、lint、完整测试、git diff --check，以及 GitHub CI/Self-Scan/Action-test 证据。

在 fleet 路由之后的下一次迭代，默认不应是“添加更多正则规则”。ECC-Tools 的后续路由现在会消费 fleet 摘要，并在托管发现项中展示源证据路径；首个跨 harness 策略切片现在将 AgentShield fleet 路由目标路径关联到 harness 负责人审查。AgentShield fleet 输出现在还会发出 reviewItems，包含源证据路径、面向负责人的建议，以及可直接复制的工单载荷，用于已路由的包。更高杠杆的动作是为已路由的 fleet 发现项建立持久的操作员审批/回读和工作流自动化。

企业缺口

1. 组织基线与漂移

企业买家需要知道某个仓库、团队或 agent fleet 随时间是在变得更安全还是更危险。AgentShield 已有扫描日志和基线比较模块，PR #63 现在通过 GitHub Action 的输入、输出、注释和作业摘要证据暴露该漂移。PR #64 通过 agentshield baseline write 增加了一等公民的基线快照创建能力。剩余的产品界面应明确 CLI 漂移摘要、证据包和面向负责人的差异。

目标能力：

  • agentshield baseline write --path .claude --output agentshield-baseline.json
  • agentshield scan --baseline agentshield-baseline.json
  • 报告部分用于新增、已修复、未变化、已抑制和策略例外发现项。
  • GitHub Action 输出应发布“安全态势已变化”，而不是仅给出某一时点的评分。

2. 多 Harness 安全适配器

市场正走向许多并行的 agent harness，而不是单一工具。Orca、Superset、dmux、OpenCode、Claude Code、Codex、Gemini、Zed 和终端复用器都会形成不同的安全面。

目标能力：

  • 为 claude-code、opencode、codex、gemini、zed、dmux、orca、superset 和 generic-terminal 提供小型适配器注册表。
  • 每个适配器声明配置路径、权限概念、插件面、MCP/工具约定、历史/会话面以及 CI 证据。
  • 报告输出按 harness 和置信度对发现项分组，使模板/文档发现项不会看起来像活跃运行时暴露。

3. 会话与 Worktree 感知

Worktree 原生编排器会改变风险模型。一个团队可以并行运行许多 agent，每个 agent 都有自己的分支、shell、MCP 配置和本地状态。

目标能力：

  • 可选扫描元数据，包括分支、worktree 路径、agent 名称、会话 ID、提供者和编排器。
  • 一个扫描历史表，用于回答：哪个 worktree 引入了新权限，哪个 agent 运行添加了高风险 MCP，哪个分支放宽了策略，以及最终合并的分支是否修复了它。
  • 一个紧凑的“安全 HUD”摘要，可用于状态行、GitHub 检查和本地仪表盘。

4. 面向买家和审计员的证据包

HTML 报告是当前面向买家的合适产物；原生 PDF 被推迟。更深层的需求是可移植的证据包，可附加到审计、安全审查和客户问卷中。

目标能力：

  • agentshield scan --evidence-pack out/agentshield-evidence
  • 捆绑包包括 JSON 报告、HTML 报告、SARIF、策略评估、例外审计、基线差异、依赖/来源摘要，以及一份简短 README，说明如何解释这些产物。
  • 可选脱敏模式，用于密钥、本地路径、用户名和项目名。

5. 回归语料库与参考集

Meta-Harness 和 Autocontext 指向同一经验：改进需要带评分的场景、跟踪和手册。AgentShield 已有语料库基准，但企业信任需要为误报、漏报和策略回归维护一套精选参考集。

目标能力：

  • 为关键规则、误报抑制、策略例外、模板/文档示例、插件清单和 hook 代码解析提供版本化场景夹具。
  • 按类别报告精确率/覆盖率，而不仅是总体就绪度。
  • 一个“无准确率回归”门禁，发布前必须通过。
  • 手册说明抑制存在的原因以及何时应过期。

6. 修复工作流

当安全工具能将发现项转化为可问责的工作，同时不淹没维护者时，它们就成为企业级。

目标能力：

  • 为安全转换提供一键或 CLI 生成的修复分支。
  • 策略注释按负责人和风险对发现项分组，而不是按文件顺序。
  • GitHub App 支持检查运行注释、问题上限、Linear 同步和延迟待办导出。
  • 发现项指纹，避免在重复扫描中产生重复问题。

7. 威胁情报与包声誉

Agent 安全依赖于 MCP 包、插件仓库、action 捆绑包和快速变化的 CLI 生态系统。静态检查需要一个持续维护的外部声誉层。

目标能力：

  • 本地优先的威胁情报缓存，用于已知 MCP/包风险、CVE、恶意软件包名、可疑安装脚本、可变 git 依赖和已知良好包。
  • 离线确定性模式仍然可用。
  • 在线增强是可选加入的，并为每个外部声明产生清晰的来源。

8. 商业与团队控制

AgentShield 在概念上已经与 ECC Tools GitHub App 连接。原生 GitHub 支付使产品路径更具体：免费本地扫描、付费组织策略门禁、付费证据捆绑包和付费漂移/历史。

目标能力：

  • 支持层级的 GitHub App 检查：免费静态扫描、付费组织策略执行、付费证据包、付费历史漂移和付费深度分析。
  • 为策略负责人和例外审批者提供席位/团队映射。
  • 与 ECC-Tools 共享计费就绪检查，确保支付状态不会静默改变执行行为。

切片 1：基线漂移 MVP

实现最小的企业控制平面原语：将本次扫描与上次接受的基线进行比较。

产物：

  • 基线 JSON 模式。
  • 基线写入器和比较器。
  • 用于新增/已修复/未变化发现项的终端和 JSON 报告部分。
  • 覆盖稳定指纹、已修复发现项、新增发现项和策略例外结转的测试。

为什么排第一：

  • 它复用现有扫描输出。
  • 它同时提升 CLI、GitHub Action 和 GitHub App 的价值。
  • 它不需要托管服务。

切片 2：证据包捆绑

将现有的机器与人工报告打包为可移植的审计工件。

交付物：

  • --evidence-pack <dir> CLI 标志。
  • 脱敏后的捆绑包 README。
  • HTML、JSON、SARIF、策略、例外和基线差异文件。
  • 用于文件布局、脱敏和确定性输出名称的测试。

为什么排第二：

  • 它将现有报告工作转化为可直接交付给买方的证明。
  • 它在满足审计交接需求的同时，将原生 PDF 保持为后续事项。

切片 3：harness 适配器注册表

使 harness 支持显式化，而不是隐式。

交付物：

  • Claude Code、OpenCode、Codex、Gemini、dmux、通用终端和项目本地模板的适配器元数据。
  • 报告哪些适配器匹配以及原因的发现输出。
  • 按适配器分组的报告。
  • 使用每个适配器 fixture 目录的测试。

为什么排第三：

  • 它使 AgentShield 与 ECC 的 harness 无关定位保持一致。
  • 它为未来集成 Zed、Orca、Superset 和 Hermes 创建稳定接口，而不假装所有 harness 都共享 Claude 的配置模型。

切片 4：语料库准确性门槛

将语料库从基准测试提升为发布门槛。

交付物：

  • 按类别的语料库报告。
  • 必需的类别阈值。
  • 针对已知误报抑制的回归快照。
  • 要求发布前语料库就绪的发布检查清单条目。

为什么排第四：

  • 它防止随着规则扩展，企业可信度下降。
  • 它为后续 Meta-Harness/Autocontext 风格的改进循环创建持久路径。

切片 5：GitHub App 和 Linear 同步接线

将 AgentShield 的发现连接到 ECC-Tools 的后续路由。

交付物：

  • 与 ECC-Tools 问题上限兼容的发现指纹。
  • 可直接用于 Linear 的待办导出，用于基线漂移和策略违规。
  • 按负责人/风险分组的 check-run 注释。
  • 确保重复扫描不会重复创建问题造成刷屏的测试。

为什么排第五：

  • 它需要切片 1 中的基线/指纹工作。
  • 它是从本地 CLI 到付费团队工作流的桥梁。

本次迭代的非目标

  • 原生 PDF 生成，除非买方/合规工作流明确要求生成 PDF 而不是 HTML 加打印为 PDF。
  • 在本地基线/证据/指纹契约稳定之前，托管仪表盘。
  • 在确定性语料库门槛和参考轨迹存在之前，微调或模型训练。
  • 在没有明确、可审查的转换和测试的情况下，对高风险发现进行大规模自动化代码重写。

验收门槛

在以下条件为真之前，AgentShield 企业迭代不算完成：

  • 在 AgentShield 仓库根目录，本地 npm run typecheck、npm run lint、npm test 和 npm run build 通过。
  • 已构建的 CLI 冒烟测试覆盖新标志或报告模式。
  • GitHub Action 自测覆盖新的 CI 可见输出。
  • 文档分别命名免费/本地路径和付费/团队路径。
  • 运行时置信度变更包含实时扫描证据，证明较低置信度的插件/包表面保持可见，而不是被抑制。
  • 该功能产生的证据具有足够的确定性，可用于 CI 差异比较。
  • ECC-Tools 可以消费发现指纹或待办导出，而不超过 GitHub/Linear 对象上限。
  • GA 路线图和 Linear 项目状态链接到已合并的 AgentShield PRs。

本页原文 Markdown：在 AtomGit 查看·内容源自开源项目 ev/ECC