Сканеры одиночных промптов не видят атак, которые действительно важны для агентов, — скомпонованных через инструменты. AgenticAssurance (AAL) — нейтральное к фреймворкам офенсивное ядро Agent Assurance Layer: вы описываете агента в capability-манифесте — его инструменты и классы их сайд-эффектов, скоупы данных, точки недоверенного входа и заявленные митигации, — подключаете runner-адаптер, и он атакует изолированную копию агента. Он гоняет библиотеку атак, размеченную по OWASP Top 10 for Agentic Applications и MITRE ATLAS, строит граф токсичных потоков поверх заявленных инструментов, находя пути lethal trifecta и «недоверенный контент → исполнение кода», и ловит расхождения на уровне исполнения — когда агент отказывается в тексте, но сайд-эффектный инструмент всё равно срабатывает. Находки уходят как SARIF 2.1.0 для code scanning плюс человекочитаемый отчёт, а провальный вердикт завершает процесс ненулевым кодом — ред-тиминг гейтит CI, как любой другой тест.
Офенсивная безопасность для агентов, встроенная в CI, — не runtime-guardrail и не универсальный сканер кода.
Атаки, размеченные по OWASP Top 10 for Agentic Applications и MITRE ATLAS, выполняются против изолированной копии цели — никогда против вашего живого агента.
Граф поверх заявленных инструментов агента, вскрывающий пути lethal trifecta и композиции «недоверенный контент → исполнение кода», которые сканеры одиночных промптов структурно не видят.
Ловит самый опасный режим отказа: агент отказывается в тексте, а сайд-эффектный инструмент всё равно срабатывает, — верифицируется на уровне исполнения, с повторными прогонами на стабильность.
Один JSON-документ описывает инструменты агента и классы их сайд-эффектов, скоупы данных, точки недоверенного входа, идентичность и митигации — контракт, из которого выводится каждая атака и граф.
Находки выгружаются как SARIF 2.1.0 для дашбордов code scanning плюс Markdown-отчёт, а провальный вердикт завершает процесс с кодом 1 — ред-тиминг становится гейтом CI, а не ежегодным аудитом.
Каждая находка ссылается на входы атаки по sha256 — воспроизводимые доказательства без сырых атакующих пейлоадов на диске.
Если вы не нашли ответ на свой вопрос, мы предлагаем бесплатную консультацию без обязательств
Нет. Это офенсивное тестирование до деплоя — red team у вас в CI, — а не runtime-фильтр и не универсальный сканер кода. Runtime-guardrails — другой слой; AAL показывает, где они действительно нужны.
Он опубликован в npm: npx agent-assurance scan your-manifest.json --sarif out.sarif — без установки. В комплекте специально уязвимый агент-фикстура: полный скан можно посмотреть одной командой.
MIT, на GitHub (Moai-Team-LLC/AgenticAssurance). Можно свободно использовать, self-host'ить и строить поверх, в том числе коммерчески.
Таксономия, схема и граф токсичных потоков покрывают весь диапазон OWASP ASI01–ASI10; стартовый корпус атак сейчас отрабатывает ASI01, ASI02, ASI03 и ASI05 — и растёт.
Это плоскость assurance: он ред-тимит любого агента в цикле run → remember → measure → heal, на каком бы фреймворке тот ни был собран, — а весь стек AgenticProduct спроектирован так, чтобы этот скан проходить.
Больше из нашей agentic-практики — стандарт, по которому мы строим, опенсорс-слои, которые его реализуют, и команда, которая всё это запускает.
Хотите узнать, как ваш агент держит удар по OWASP Agentic Top 10? Расскажите о продукте — организуем red-team-скан.