Сканери одиночних промптів не бачать атак, які справді важливі для агентів, — скомпонованих через інструменти. AgenticAssurance (AAL) — нейтральне до фреймворків офензивне ядро Agent Assurance Layer: ви описуєте агента в capability-маніфесті — його інструменти й класи їхніх сайд-ефектів, скоупи даних, точки недовіреного входу та заявлені мітигації, — підключаєте runner-адаптер, і він атакує ізольовану копію агента. Він ганяє бібліотеку атак, розмічену за OWASP Top 10 for Agentic Applications і MITRE ATLAS, будує граф токсичних потоків поверх заявлених інструментів, знаходячи шляхи lethal trifecta та «недовірений контент → виконання коду», і ловить розбіжності на рівні виконання — коли агент відмовляється в тексті, але сайд-ефектний інструмент усе одно спрацьовує. Знахідки виходять як SARIF 2.1.0 для code scanning плюс людиночитний звіт, а провальний вердикт завершує процес ненульовим кодом — ред-тімінг гейтить CI, як будь-який інший тест.
Офензивна безпека для агентів, вбудована в CI, — не runtime-guardrail і не універсальний сканер коду.
Атаки, розмічені за OWASP Top 10 for Agentic Applications і MITRE ATLAS, виконуються проти ізольованої копії цілі — ніколи проти вашого живого агента.
Граф поверх заявлених інструментів агента, що розкриває шляхи lethal trifecta та композиції «недовірений контент → виконання коду», яких сканери одиночних промптів структурно не бачать.
Ловить найнебезпечніший режим відмови: агент відмовляється в тексті, а сайд-ефектний інструмент усе одно спрацьовує, — верифікується на рівні виконання, з повторними прогонами на стабільність.
Один JSON-документ описує інструменти агента й класи їхніх сайд-ефектів, скоупи даних, точки недовіреного входу, ідентичність і мітигації — контракт, з якого виводиться кожна атака та граф.
Знахідки вивантажуються як SARIF 2.1.0 для дашбордів code scanning плюс Markdown-звіт, а провальний вердикт завершує процес із кодом 1 — ред-тімінг стає гейтом CI, а не щорічним аудитом.
Кожна знахідка посилається на входи атаки за sha256 — відтворювані докази без сирих атакувальних пейлоадів на диску.
Якщо ви не знайшли відповіді на своє запитання, ми пропонуємо безкоштовну консультацію без зобов’язань
Ні. Це офензивне тестування до деплою — red team у вашому CI, — а не runtime-фільтр і не універсальний сканер коду. Runtime-guardrails — інший шар; AAL показує, де вони справді потрібні.
Він опублікований в npm: npx agent-assurance scan your-manifest.json --sarif out.sarif — без встановлення. У комплекті навмисно вразливий агент-фікстура: повний скан можна подивитися однією командою.
MIT, на GitHub (Moai-Team-LLC/AgenticAssurance). Можна вільно використовувати, self-host'ити та будувати поверх, зокрема комерційно.
Таксономія, схема та граф токсичних потоків покривають увесь діапазон OWASP ASI01–ASI10; стартовий корпус атак наразі відпрацьовує ASI01, ASI02, ASI03 і ASI05 — і зростає.
Це площина assurance: він ред-тімить будь-якого агента в циклі run → remember → measure → heal, на якому б фреймворку той не був зібраний, — а весь стек AgenticProduct спроєктований так, щоб цей скан проходити.
Більше з нашої agentic-практики — стандарт, за яким ми будуємо, опенсорс-шари, що його реалізують, і команда, яка все це запускає.
Хочете дізнатися, як ваш агент тримає удар за OWASP Agentic Top 10? Розкажіть про продукт — організуємо red-team-скан.