Tracekit 智能体审计与策略守护
在工具调用执行前检查并记录，让智能体运行记录可离线验证。
- Star 数
- ★ 150
- 最近更新
- 今天
- License
- MIT
- 主语言
- Python
- FA 评分
- 82/100 · 表现良好
30 秒速览
- 运行形态
- 可在哪里用
- 通用 · 跨平台Claude CodeCodex · OpenAI API（部分支持）
- 费用
- 免费，无需付费服务
- 上手难度
- 低 · 几分钟可跑通
- 开始前需要
- 典型场景
- 负责 shell、文件或数据库操作的团队，在调用执行前拦截危险操作并记录决策。
- 不适合
- 只需要事后调试追踪、无需防篡改证据的团队
- 要求记录所有绕过采集路径操作的团队
- 源码审查
- 82/100 · 表现良好
这个 Agent 能做什么，适合哪些场景？
Tracekit 为 AI 智能体的工具调用提供策略检查、签名记录和运行审查。Python 包通过 tracekit.instrument() 接入受支持的框架，TypeScript SDK、命令行钩子及网关也提供接入路径。每次调用可被允许、拒绝或暂缓，等待人工批准；签名器将调用、决策和结果写入每次运行各自的哈希链。运行结果可导出为 .tkb 文件，并用固定信任密钥离线验证。开发模式让签名器与智能体处于同一用户权限边界；需要更强隔离时，文档还介绍独立用户、容器或远程签名器部署。
运行 tracekit.instrument() 接入智能体后，Tracekit 在工具调用执行前检查工具名和参数，并按策略允许、拒绝或暂缓调用；暂缓调用可由命令行审批，且批准绑定确切参数并仅使用一次。签名器为调用、决策和结果签名并链接到本次运行的哈希链，调用经过 Tracekit 接入路径时才会被控制和记录。用 tracekit export --v2 --run ID -o run.tkb 导出运行证据，再用 tracekit verify run.tkb --trust trust.json 离线核验。tracekit view 可查看运行、拦截与暂缓调用、审批、缺口和回放信息；实验性功能还包括 witness 见证、跨检查、隔离和分析。
- 负责 shell、文件或数据库操作的团队，在调用执行前拦截危险操作并记录决策。
- 需要人工把关邮件、支付或云命令的运营团队，可暂缓调用并按原参数审批。
- 向客户或审计人员提交可验证运行证据的团队，可导出
.tkb并离线核验。 - 使用 LangChain、LangGraph、OpenAI Agents SDK 或 MCP 的开发者，可接入工具调用记录与策略检查。
- 维护 Claude Code 编程智能体的团队，可用钩子接入并查看每次运行的审计记录。
如何安装或部署这个 Agent？
安装 Python 包并启动演示，无需 API 密钥即可运行脚本化演示。Python 3.9–3.13 可用于包；框架集成需要 Python 3.10 或更高版本。也可从代码库安装或使用 uvx：
pip install tracekit-ai
tracekit demo --server或：
uvx --from tracekit-ai tracekit demo --serverTypeScript SDK 需要 Node.js 18 或更高版本：
npm install @cygnuxlabs/tracekit
npx @cygnuxlabs/tracekit up如何使用这个 Agent？
将 tracekit.instrument() 放在 Python 智能体入口处，然后照常运行；它会启动或复用开发签名器，并接入可识别的工具和模型调用。导出并验证最近一次运行：
import tracekit
tracekit.instrument()tracekit last
tracekit view --dev为 Claude Code 配置钩子和开发签名器：
tracekit init --dev --v2Codex、Cursor、Gemini CLI 和 OpenCode 可通过 --agent 指定，但这些集成标记为实验性。需要离线核验文件时：
tracekit verify run.tkb --trust trust.json这个 Agent 有哪些优点和局限？
- 签名哈希链支持离线核验，修改、删除、替换或插入记录会在受影响记录处失败。
- 策略可在工具调用运行前允许、拒绝或暂缓；暂缓调用的批准绑定确切参数且仅能使用一次。
- 提供 Python 与 TypeScript 验证器，并支持多种智能体框架和 MCP 接入。
- 开发模式下签名器与智能体同属一个用户，不能防御该用户权限下的智能体读取密钥并重签记录。
- 绕过 Tracekit 接入路径且没有传感器覆盖的操作不会被拦截或记录。
- 策略规则按工具名和文本匹配，可能被改写规避；仓库明确将其视为绊线而非沙箱。
- 见证、跨检查、隔离和分析等部分功能仍属实验性，部署隔离签名器需要额外配置。
这个 Agent 与同类方案有什么区别？
Tracekit 将自身定位为 OpenTelemetry、Langfuse 或 LangSmith 等追踪器的补充：追踪器适合调试，Tracekit 侧重可交给不信任智能体一方核验的记录。README 也将它与护栏库和其他防篡改日志进行比较。
与相关度最高的同类 agent 并排比较关键指标。
| Agent | 源码审查 | 形态 / 费用 | Star | 最近更新 | 主语言 | 完整支持的平台 |
|---|---|---|---|---|---|---|
| Tracekit 智能体审计与策略守护 当前 | 82 · 表现良好 | 命令行工具免费 | ★ 150 | 今天 | Python | Claude Code |
| Cordum Agent Control Plane | 64 · 存在缺口 | 自托管服务免费 | ★ 511 | 3 天前 | Go | Claude Code |
| OpenBot：可托付真实工作的 AI 同事 | 57 · 缺口较多 | 自托管服务免费 + 模型费 | ★ 7k | 今天 | TypeScript | — |
| Vessel 浏览器 | 58 · 缺口较多 | 桌面应用免费版 + 付费版 | ★ 137 | 1 个月前 | TypeScript | OpenAI API · Claude API |
FollowAgents 如何评估这个 Agent？
查看各维度的扣分理由
文档描述独立签名器、逐调用策略检查、按精确参数绑定且一次性使用的人工审批，也明确给出部署权限与捕获边界，支持较强的最小权限和确认设计；但 README 的三行快速接入默认启动同用户 dev signer，而文档明确承认同用户代理可触及密钥，因此未给满分。参数以承诺形式记录，文档说明仍泄露时间、大小和数量，且重删规则基于模式，敏感数据处理有说明但不完整。依赖列出版本下限及可选项，CI 有锁定的 action 引用、容器高危扫描和发布来源说明；未见依赖锁定或审计结果，故依赖安全仅部分充分。工具调用被策略允许后会产生外部效果，存在逐次拦截和审批机制，但策略是文本匹配且保护取决于经过捕获路径。文档说明见证可检测回滚，并指出未配置见证时的限制；通用恢复流程证据不足。安全报告渠道和披露时限明确，但发布者身份未验证，故来源归属仅有仓库内声明支持。
README、安全模型和安全政策对完整性、捕获覆盖、操作者权限及见证缺失的限制相互吻合；CI 展示广泛测试流程，但本评估未执行。依赖覆盖面广，核心依赖标注了降级路径，但构建 RE2 缺少 wheel 时可能需要源码构建；故可用性不是满分。拒绝响应、验证失败及查看器错误有具体行为说明，然而所给材料不足以证明所有失败场景都提供一致且可操作的诊断。
材料覆盖开发者、审计人员、服务部署和多个 Agent 框架，并区分稳定与实验性集成；明确指出哪些动作不会被捕获、哪些声明无法由记录证明。策略适用性受文本/工具名匹配限制，且不同框架支持等级不一，因此触发精度和环境适配只给部分高分；例如 Codex 钩子为实验性，系统模式平台支持也有限。
README 设有快速开始、能力、限制、证明、部署和贡献等清晰章节，另有安装命令、示例、FAQ 引用及明确限制。MIT 许可证文件与包元数据一致。包名和命令名称清楚，但 Python 包名与无关的 PyPI `tracekit` 冲突，且支持等级与版本线并存，命名稳定性扣分。安全政策列出受支持版本和修复路径，材料未含完整变更日志内容，版本演进证据不完整。安全报告流程明确，但维护责任主体仅由项目和作者字段标示，发布者身份未验证。
签名链、离线验证、策略决策和审批记录可形成可读的 `.tkb` 证据文件，文档给出 CLI 输出示例及审核边界。将记录完整性和调用控制结合具有明确增益；但策略可能漏过改写后的命令，未经过捕获路径的行为不会被阻止，且更强保障需单独部署签名器、见证等组件，因此成本收益并非对所有场景都充分。
README 与安全模型、清单、集成文档和 CI 配置对关键主张提供具体实验编号、测试名称、配置示例和限制说明；同一项目内有多处相互印证，但这些不是独立外部佐证，威胁模型亦未外部审查。文档明确区分已记录事实、产品声明、实验结果与不能证明的推论，并承认合成测试和样本量局限，故事实与推断区分充分。
- 同用户 dev 模式不能抵御可访问同一用户环境的代理；需要更强保障时，应将签名器置于代理无法访问的位置，并配置独立见证。
- 策略规则是文本和工具名匹配；经过捕获路径之外的操作不会被拦截，记录完整性也不证明意图、结果真实性或完整覆盖。
- 实验由项目编写且规模有限，威胁模型尚未外部审查；Codex 钩子及若干集成仍属实验性。
常见问题
运行演示需要付费模型或 API 密钥吗？
tracekit demo --server 使用脚本化智能体，无需 API 密钥；接入自己的智能体时，模型凭据取决于该智能体所用的服务。Tracekit 能证明智能体执行了所有操作吗？
开发模式能防止智能体篡改记录吗？
如何让外部人员核验一次运行？
.tkb 文件并提供受信任的公钥或信任文件。验证器可离线核对记录；仓库也提供在浏览器本地运行的核验器。