emilia-protocol

# EMILIA 协议 [](https://github.com/emiliaprotocol/emilia-protocol/actions/workflows/ci.yml) [](https://github.com/emiliaprotocol/emilia-protocol/actions/workflows/verify-receipt-example.yml) [](https://www.npmjs.com/package/@emilia-protocol/verify) [](LICENSE) [](https://datatracker.ietf.org/doc/draft-schrock-ep-authorization-receipts/) [](https://discord.gg/MSJXjEtD4) --- ## 无刹车的引擎 五十年来，软件安全只解决一个问题：*谁可以进入？* 防火墙、OAuth 和密码 — 所有这些都是为了在门口验证人类身份而构建的。 那个时代正在结束。软件的主要用户不再是人类；他们是自主的 AI 代理。代理不仅仅是登录 — 他们编写代码、调用工具并实时改变现实。每个 CISO 都知道一个坏的提示可以使代理删除生产数据库或将资金转移到错误的账户。所以他们**阻止部署** — 坐视数十亿美元的 AI 预算无法使用，因为他们的合规团队无法回答一个问题： **谁批准了该操作？** 我们这一代的危机不是身份验证。而是**在操作时的授权**：您如何证明*代理即将执行的操作*是*特定人类明确授权的操作* — 在执行之前？ **EMILIA 是代理时代的安全带.** > *决策日志是证据。EMILIA 生成收据。* --- ## 没有收据，不可逆转的操作 > 如果代理尝试移动资金、删除代码、部署生产、更改权限或改变受监管的状态 **而没有有效的 EMILIA 收据，工具将拒绝运行** — 如果运行，**任何人都可以验证谁授权了确切的操作**，离线，不信任任何人。 这就是整个协议。开发人员的契入点是一个不可逆转的 MCP 工具的包装器。 参见它冷启动，完全离线，无密钥，无账户 — 每个演示运行整个循环（拒绝 → 命名人类签署确切的操作 → 工具运行 → 伪造的收据被拒绝）： ```bash node examples/mcp/payment-server.mjs # release_payment — 没有收据拒绝 node examples/mcp/github-admin.mjs # delete_repo — 没有收据拒绝 node examples/mcp/prod-deploy.mjs # deploy_production — 没有收据拒绝 ``` 在生产中包装您自己的工具调度程序 — 参见 [examples/mcp/](examples/mcp/) 和 [`/mcp`](https://www.emiliaprotocol.ai/mcp): ```js import { withMcpGuard } from '@emilia-protocol/mcp-guard'; const guarded = withMcpGuard(handleTool, { annotations: { release_payment: { irreversible: true, action: 'payment.release' } }, }); // 缺少收据 → 拒绝，绝不悄悄通过 ``` ## 30 秒试用 ```bash # 离线签发收据 — 无需 API 密钥，无需后端 npx @emilia-protocol/issue demo ``` ```bash # 将 EMILIA 添加到 Claude / Cursor / Cline npx -y @emilia-protocol/mcp-server ``` **[试用 Face ID 签署 →](https://www.emiliaprotocol.ai/try)** 批准一项 82,000 美元的转账，使用您自己的通行密钥。查看已验证的样例。伪造收据。查看失败。 [在您的浏览器中验证任何收据](https://www.emiliaprotocol.ai/verify) — 粘贴收据，不上传任何内容。 --- ## 它是如何工作的 — 四幕  > 自己运行：`node examples/crash-test.mjs` — 完全离线，无 API 密钥。 ``` [ 意图 ] [ 决策 ] [ 仪式 ] [ 收据 ] 代理通过 MCP 调用工具 → 策略绑定，哈希固定：允许 / 允许-带有签批 / 拒绝 → 命名人类签署 → 签名，离线- 允许-带有观察模式：零更改 → 在他们自己的设备上 → 验证证明。 至生产） （通行密钥）。 失败的设计。 ``` **第一幕 — 拦截（MCP 原生）。** 无需重写。EMILIA 在模型上下文协议边界处钩住工具调用 — 当代理尝试删除文件或移动资金时，操作在空中被捕获。 **第二幕 — 决策（策略绑定，确定性）。** 操作根据哈希固定的策略进行检查：`允许`、`允许-带有签批` 或 `拒绝`。另外还有一个**观察模式**，它不会更改任何生产内容，并报告*本来会被阻止*的内容。确定性，可审计 — 而不是黑盒风险评分。 **第三幕 — 仪式（设备绑定的手动签批）。** 当策略需要人类时，EMILIA 运行一个 **WebAuthn / 通行密钥签批**，绑定到确切的操作 — Face ID / Touch ID 在操作员自己的设备上。人类看到的是他们签署的内容。没有脚本可以伪造它；没有自主循环可以跳过它。 **第四幕 — 收据（证据）。** 结果是一个 **签名授权收据**，任何人都可以 **离线** 验证，具有开源代码，无需后端，无需供应商信任。篡改它，验证就会失败。 可选地将其锚定以进行公共时间戳 — 核心不需要区块链。 --- ## 开发人员使用它的原因 您希望代理**实际执行操作** — 但您因失控的循环、API 过度消耗和意外的数据销毁而瘫痪。EMILIA 为您提供一个**即插即用的 MCP 服务器 + 一个薄的 SDK 包装器**。应用策略哈希，不可逆转的工具调用获得一个加密强化的、符合 NIST-AI-RMF 映射的批准和证据层 — 无需从头开始构建批准工作流或审计基础设施。 ```python # langchain-emilia — 用 EP 门户包装任何 LangChain 工具 from langchain_emilia import EmiliaGateClient gate = EmiliaGateClient(base_url="https://www.emiliaprotocol.ai", api_key="...") safe_tool = gate.wrap(your_destructive_tool) ``` ```bash pip install langchain-emilia # PyPI npm install @emilia-protocol/verify # npm ``` *您的代理无法超出其约束。* --- ## 企业需要它的原因 每个平台的转变都催生了一个新的安全基元：网络获得了 **SSL**，云获得了 **Okta / IAM**，代理经济需要 **操作级信任**。企业坐拥 AI 预算，但合规性不允许他们使用 — EMILIA 是解锁预算的关键，通过将不可预测的代理转变为审计就绪的基础设施，映射到 NIST AI RMF、欧盟 AI 法案和 SOC 2 CC6/7 控件。 托管层（**GovGuard / FinGuard**）在开放标准的基础上扩展了行业特定的策略包、观察模式试点和审计就绪的证据包 — 无需采购即可启动。 --- ## 标准 EMILIA 是一个开放标准，而不是一个产品护城河。其核心是 Apache-2.0 许可的，并作为 IETF Internet-Draft 跟踪。 | | | |---|---| | **IETF Internet-Drafts** | 已发布： [authorization-receipts](https://datatracker.ietf.org/doc/draft-schrock-ep-authorization-receipts/) · [quorum](https://datatracker.ietf.org/doc/draft-schrock-ep-quorum/). 位于 [`standards/`](standards/): authorization-evidence-chain (EP-AEC, composition) · evidence-record (EP-EVIDENCE-RECORD, long-term retention). 领域映射： [landscape survey](docs/strategy/AGENT-AUTHORIZATION-LANDSCAPE-2026.md). | | **跨语言验证器** | JavaScript · Python · Go — 三种语言都经过证明，可以在对抗性一致性向量上达成一致，每个推送（`npm run conformance`）。这是 IETF 对真正标准的衡量标准：多个独立的可互操作实现。 | | **形式化验证** | 26 个 TLA+ 安全属性（0 个错误）· 35 个 Alloy 事实，22 个断言 — 两者都在 CI 中运行 | | **MCP 注册表** | 官方 MCP 注册表 · Glama（A 级，官方徽章）· Smithery | | **许可证** | Apache-2.0 | 三个独立的实现经过证明可以达成一致 — 见 [CONFORMANCE.md](CONFORMANCE.md)，或在 [emiliaprotocol.ai/verify](https://www.emiliaprotocol.ai/verify) 上自行验证收据。 --- ## EP 栈 ``` Eye 观察。Handshake 验证。Signoff 拥有。Commit 密封。 ``` | 层 | 功能 | |---|---| | **EP Eye** | 观察和分类代理行为（OBSERVE → SHADOW → ENFORCE） | | **EP Handshake** | 具有 7 属性绑定的加密同意仪式 | | **EP Signoff** | 命名人类所有权 — WebAuthn / 通行密钥 A 类，设备绑定；**多方仲裁**（M-of-N / 有序 — 两人规则）适用于最高风险操作 | | **EP Commit** | 原子，不可变操作关闭，带有 Merkle 链收据 | --- ## 证明点 | 指标 | 值 | |---|---| | 自动测试 | 4,195 个，涵盖 170 个文件 | | TLA+ 安全属性 | 26 个已验证（T1–T26），0 个错误 — 见 [PROOF_STATUS.md](formal/PROOF_STATUS.md) | | Alloy 关系断言 | 35 个事实 + 22 个断言，涵盖两个模型 — 在 CI 中验证 | | 已编目红队案例 | 85 个 — [RED_TEAM_CASES.md](docs/conformance/RED_TEAM_CASES.md) | | 已修复安全发现 | 31 个 | | 一致性（7/7） | `node conformance/ep-conformance-test.js https://www.emiliaprotocol.ai` | | 跨语言一致性 | 8 个套件 — 收据 · 设备签批 · 多方仲裁 · 撤销 · 时间证明 · 信任收据 · 来源 · 证据记录 — JS / Python / Go 验证器同意（`node conformance/run.mjs`） | | 握手创建 p95 | 50 VUs 下 575ms — [PERFORMANCE_PROOF.md](docs/operations/PERFORMANCE_PROOF.md) | --- ## EP 核心对象 EP 标准化了三个可互操作的 对象，任何符合标准的实现都可以生成和验证： | 对象 | 它是什么 | |---|---| | **信任收据** | 授权事件的可移植、签名记录 — *发生了什么* | | **信任配置文件** | 可观察信任状态的标准摘要 — *已知是什么* | | **信任决策** | 策略评估结果，附带原因和申诉路径 — *现在该怎么做* | EP 扩展（Handshake、Signoff、Commit、Delegation）在系统必须约束执行时添加更强的强制执行。产品层（GovGuard / FinGuard）构建在其上 — 而不是协议本身。 --- ## 五个调用快速入门 1. 创建策略 2. 发起握手 3. 呈现证据 4. 验证 5. 签批并消费 **[90 秒演示](https://www.emiliaprotocol.ai/mcp)** · **[快速入门](https://www.emiliaprotocol.ai/quickstart)** · **[代理操作](https://www.emiliaprotocol.ai/use-cases/ai-agent)** · **[IETF 草案](https://datatracker.ietf.org/doc/draft-schrock-ep-authorization-receipts/)** · **[Discord](https://discord.gg/MSJXjEtD4)** --- ## EP 是什么 — 不是什么 EP 是操作时的授权，而不是身份系统，不是钱包，也不是声誉评分。 - **是**：一个信任标准，用于在执行前绑定参与者身份、权限、策略和确切的操作上下文 - **不是**：OAuth / OIDC 的替代品（那些回答 *你是谁* — EP 回答 *谁批准了这个确切的操作*） - **不是**：一个专有产品（核心是 Apache-2.0 许可的，并被 IETF 跟踪） - **不是**：一个区块链（收据是核心；可选的公共时间戳是一个附注） 参见 [CONFORMANCE.md](CONFORMANCE.md) · [SECURITY.md](SECURITY.md) · [THREAT_MODEL.md](THREAT_MODEL.md) · [GOVERNANCE.md](GOVERNANCE.md)