Argus 发布 MIT 许可的自托管智能体安全运营平台

开源免费 · MIT 许可自托管

如今，攻击者有了 AI 智能体。你也有。

Argus 是一款免费、开源的安全运营平台，全天候监控你的云环境、登录活动、代码和设备，在机器速度的攻击刚开始时便将其发现，并在数秒内将其终止。AI 负责执行繁重工作。由你掌控的护栏决定它可以触碰哪些对象。

The Argus security overview: open findings, assets, events, posture score and pending action requests for one tenant

数秒，而非数小时开启自主响应，从检测到阻断攻击者全程只需数秒

27 项一键修复覆盖 AWS、Azure、GCP、Kubernetes、Okta、Entra、CrowdStrike 等

$0 许可费无席位费、无使用费、无锁定；一切归你所有

一个被盗密钥交给 AI 智能体后，只需读完这句话的时间，就能在你的二十个云服务中发起六十次探测调用。成群的虚假身份可以同时从上百个地点向你的管理员账户批量尝试密码。等到有人读完第一条警报时，攻击者早已转移到了下一个系统。

大多数安全工具都是为会睡觉的攻击者打造的。Argus 却是为那些不会睡觉的攻击者打造的。它以机器速度进行监控，以机器速度开展调查，并在你允许时以机器速度作出响应。所有这些都通过一个具备审批、模拟运行、自动回滚和紧急停止开关的统一代理完成，因此速度绝不会带来新的风险。

快到足以拦截 AI 攻击者，也足够审慎，值得你把生产系统托付给它。

01 / 尽览全局

每个资产、每次登录，尽在一张图中

Argus 接入你的 AWS、Azure、GCP、Kubernetes、GitHub、Okta、Entra、设备和网络流量，并将它们关联成一张证据图谱。你会比攻击者更早看到攻击路径。

02 / 及早发现

为发现 AI 驱动的攻击而打造

覆盖智能体集群、机器速度侦察、权限提升、公网暴露、密钥泄露和异常工作负载的检测机制。绊线会诱使攻击者的 AI 智能体暴露自身。

03 / 迅速终止

在 Slack 中，数秒内作出响应

阻止一个 IP、通过 CrowdStrike 或 SentinelOne 隔离一台笔记本电脑、禁用用户、锁定一个面向公网的存储桶。在 Slack 中轻点一次即可批准、拒绝或回滚，也可以让自动化剧本代你执行。

04 / 约束 AI

阻止影子 AI 和数据泄露

找出团队私下使用的每一种 AI 工具。通过一个统一网关路由你的应用及团队对 OpenAI 和 Anthropic 的调用，该网关配有获批模型、数据防丢失规则、预算和完整使用日志。

05 / 确认防护无虞

随时测试你的防御体系

在封闭沙箱中重放八种 AI 智能体攻击，并获得一份报告，清楚说明哪些攻击能够被捕获、哪些攻击会漏网。让自主渗透测试在你设定的范围内探测你自己的系统。

06 / 证明成效

从第一天起就为审计做好准备

每项操作都会经过签名并纳入防篡改审计轨迹，审计轨迹存储在一次写入存储中。内置 SOC 2、NIST 800-171 和 ISO 27001 控制项映射。

02:14:07 攻击者攻击者的 AI 智能体在你的代码中发现一个看起来像 LLM API 密钥的东西，并尝试使用它。该密钥是 Argus 放置的金丝雀诱饵。没有任何真实密钥被暴露。绊线
02:14:08 检测 Argus 触发一项高严重性告警，其中包含攻击者的源地址和完整的证据链。已捕获
02:14:09 响应你的处置手册会在你设定的每小时限额内，通过 Cloudflare 防火墙封禁该来源。每次都会先检查策略、拒绝名单和紧急停止开关。已封禁
02:14:10 通知 Slack 会发出通知，告知发生了什么、原因是什么，并提供一个一键回滚按钮。 Slack
07:30:00 复盘你的团队开始一天的工作时，事件已经关闭，审计记录已经签署，并且需要做出选择：保留封禁，还是让其到期失效。如果没有人选择保留封禁，Argus 会在计时器到期时自动回滚封禁。已完成

让软件在生产环境中自主行动是一个重大决定，因此 Argus 将其变成一个小型且可逆的决定。 AI 代理绝不会直接接触你的系统。它们以只读权限进行调查，且只能提出建议。无论是人员要求、智能体建议还是处置手册触发，每项变更都要经过同一个 broker。

未经你许可不会启用: 自主响应和自主渗透测试在发布时默认关闭，两者都需要部署级开关和租户级选择启用。
先启用影子模式: 处置手册一开始只记录原本会执行的操作，因此在你授予权限之前，你可以先看到它的判断。
仅允许可逆操作: 自主处置手册只执行可逆操作，除非有人决定保留，否则每项操作都会自动回滚。
设有上限: 按租户和处置手册设定每小时限额、影响范围限额，并为高风险操作设置两项人工审批。
一个开关: 紧急停止开关可以立即停止某个租户或整个部署中的所有操作。
难以蒙骗: AI 读取的所有内容都被视为不可信，代理还会接受提示注入攻击测试。

自主响应

在你睡觉时处理威胁

自动化处置流程无需人工介入，即可将检测转化为修复，然后按定时器撤销，除非你将其保留。可通过 Slack 按钮批准、拒绝和回滚。

AI 网关

每一次 AI 调用的统一入口

你的团队使用 OpenAI 和 Anthropic，并采用公司持有的密钥、获批模型、数据防泄漏规则、预算和提示注入检测标志。员工获得 Argus 密钥；真正的提供商密钥始终锁定在 Argus 内部。

影子 AI 发现

了解员工实际使用的 AI 工具

Argus 识别网络流量、云账户和 SSO 授权中的 AI 服务，维护清单，并对任何未经审查或被阻止的服务发出警报。

攻击模拟器

针对 AI 驱动攻击的消防演习

八种逼真的智能体攻击，从凭据喷洒集群到恶意 Kubernetes 智能体，均在密封沙箱中重放。添加“慢速低调”的规避变体，找出攻击者会利用的漏洞。

自主渗透测试

永不休息的红队

AI 规划器选择测试项目，Argus 使用 Nuclei、ZAP 和 Trivy 等扫描器运行测试，然后根据发现的问题规划下一轮。它始终处于你授权的范围内，并在每一步之前重新检查。

威胁情报

修复实际正被利用的问题

每项漏洞都会与 CISA 已知利用漏洞清单进行比对，并根据被利用的可能性评分。任何正被攻击者积极利用的漏洞都会跃升至您的队列顶部。

AI 智能体蜜罐

为 AI 攻击者打造的陷阱

伪造的 LLM 密钥、伪造的 MCP 服务器、诱饵智能体规则文件和植入的提示注入。智能体一旦上钩，就会立刻暴露自己。

端点遏制

一步隔离受损的笔记本电脑

Argus 中新增的 CrowdStrike 和 SentinelOne 操作可直接遏制设备，并具备与所有其他操作相同的审批、试运行和回滚机制。

MIT 许可自托管Claude、OpenAI、本地 Ollama，或完全不用 AI用于 AWS 和 Azure 的 Docker、Helm、Terraform

快速入门

$ git clone https://github.com/thomasunise/argus.git && cd argus
$ python -m venv .venv && . .venv/bin/activate
$ pip install -r requirements.txt
$ cp .env.example .env && python scripts/generate_secrets.py --write
$ uvicorn app.main:app --host 127.0.0.1 --port 8080

打开 127.0.0.1:8080，并使用 .env 中的管理员登录凭据登录。运行 python scripts/seed_demo.py 以生成合成演示数据。

准备投入生产环境吗？试点环境可使用 Docker Compose，Kubernetes 可使用 Helm chart，AWS 和 Azure 可使用 Terraform。如果缺少加密密钥、HTTPS、只写型审计存储以及 SSO 或双因素认证，Argus 会拒绝以生产模式启动，因此不会因疏忽而完成不安全的安装。完整清单位于 docs/DEPLOYMENT.md。

自己动手

永久免费

克隆它、部署它，让它成为你自己的。最适合有安全工程师、希望掌控每一行代码的团队。

MIT 许可：不限席位、不收使用费、无厂商锁定
架构、威胁模型、运行手册和分步上线指南
欢迎在 GitHub 上提交 Issue 和贡献

在 GitHub 上获取

已为您完成

我负责安装，并交付一个可直接运行的系统

面向希望获得企业级防护、同时又不想聘请安全团队负责运维的业务所有者和精简 IT 团队。您获得的是最终成果，而不是一个项目。

部署在您自己的 AWS、Azure 或 Kubernetes 账户中。一切归您所有
连接到您的云环境、登录、代码和设备，并在 Slack 中发出警报
一份攻击模拟器报告，展示您目前能拦截哪些攻击，以及我们会弥补哪些缺口
根据您的业务调优规则，并在正式上线前通过影子模式验证自主响应
配置 AI 网关和影子 AI 发现功能，确保您团队对 AI 的使用安全且可见
围绕警报、审批和紧急停止开关对您的团队进行培训

预约安装通话

什么是 Argus？

Argus 是一个免费的开源安全运营平台，由您自行托管。它将您的云、身份、代码、设备、网络和 Kubernetes 资产映射到一个证据图谱中，检测包括快速、由 AI 驱动的攻击，使用 AI 智能体进行分流和调查，并通过支持审批、试运行、自动回滚和紧急停止开关的操作代理器修复问题。它还通过 AI 网关和影子 AI 发现功能管理您公司的 AI 使用情况。

Argus 能自行采取行动吗？这样安全吗？

只有您主动开启后才会执行。自主响应和自主渗透测试默认关闭，既需要部署设置，也需要每个租户单独选择启用。操作剧本从影子模式开始，仅执行可逆操作，每小时操作次数设有上限，除非有人确认保留更改，否则会自动回滚。AI 智能体本身绝不会执行任何操作：它们以只读权限进行调查，只能提出操作建议。每项变更都经过同一个操作代理器，紧急停止开关可立即停止一切。

攻击者能骗过 AI 吗？

Argus 的设计前提是总会有人尝试攻击。智能体读取的所有内容都会经过封装并标记为不可信数据，而且系统会告知智能体：在证据中发现指令是攻击的迹象。智能体接受了提示词注入评测套件的测试；由于它们本身无法执行任何操作，被诱导的智能体最多只能提交一项仍须通过策略和审批的请求。

攻击模拟器会对我的系统做什么？

什么也不会做。它会在一个复制了检测设置的隐藏隔离沙箱中重放合成攻击数据。它不发送流量、不运行工具，也不接触任何真实系统。模拟检测无法触发自主响应、警报或发现结果。你会获得一份覆盖率报告，显示哪些攻击会被规则捕获，哪些会漏过。

什么是影子 AI，Argus 有何帮助？

影子 AI 是员工使用企业未批准的 AI 工具，常见方式是将客户或公司数据粘贴进去。Argus 会从你的网络、云环境和 SSO 数据中查找 AI 服务，并维护一份供你审查的清单。其 AI 网关允许你的团队使用公司掌握的密钥，以合规方式访问 OpenAI 和 Anthropic 模型，并提供数据泄露防护规则、预算、提示词注入标记和使用日志。

它会替代我的 SIEM 或 EDR 吗？

它会与它们协同工作。Argus 从 thirteen 个来源接入事件，包括 CrowdStrike、SentinelOne、GuardDuty、Wazuh 和 CloudTrail；可通过 CrowdStrike 和 SentinelOne 隔离设备；并将警报发送至 Slack、Jira、ServiceNow、PagerDuty、电子邮件和 Webhook。许多团队将它与现有工具并行使用，将其作为汇总证据、调查证据并管控响应的一层。

它支持哪些 AI 模型？

Anthropic Claude、OpenAI、通过 Ollama 运行的本地模型，或者完全不使用模型。未配置模型时，各专项智能体会回退到确定性逻辑，因此检测和分诊仍可正常工作。每次智能体运行的预算上限都由步骤、token、时间和成本加以限制。

我的数据会离开我的网络吗？

Argus 采用自托管，因此平台及其数据都留在你的基础设施中。唯一的外部调用仅限你设置的这些：用于采集数据的云 API 和身份 API、你发送警报的渠道、公共威胁情报源，以及在你选择托管模型时的模型提供商。使用本地模型和离线威胁情报文件时，任何 AI 或情报流量都不会离开你的网络。

它可以用于生产环境吗？

平台核心（多租户、登录、角色、审计轨迹、作业队列、策略和审批）已在 CI 中使用 SQLite 和 PostgreSQL 进行了端到端测试。与任何安全平台一样，它应当针对你的环境进行调优：接入你使用的采集器、调整检测规则，并在启用任何操作前以仅监控模式运行。安装服务涵盖的正是这项调优工作。Argus 不是经认证的产品。

Argus 能让我们符合 SOC 2 或 ISO 27001 吗？

没有软件能单独做到这一点。Argus 提供针对 SOC 2、NIST 800-171 和 ISO 27001 的控制项映射，说明它能为哪些控制项提供证据，例如带签名的审计轨迹、基于角色的访问权限和审批记录。这会让审计更快，但审计师仍会整体评估你的安全体系。

费用是多少？

该软件依据 MIT 许可证免费提供。你只需支付运行它所需的基础设施费用，以及自行选择的任何 AI 模型费用。如果你希望由其代为安装，将在对你的环境进行简短通话后确定安装范围和价格。你会保留所有内容：代码、配置和凭据。

我是企业主，不是安全工程师。这适合我吗？

如果你有云账户、员工登录凭据、值得保护的客户数据或代码，这项保护服务就是为你提供的。你不需要自己运行。预约一次通话，告诉我你使用什么，我会直截了当地告诉你 Argus 是否合适，或者是否有更简单的方案更适合你。

无需组建安全团队，即可享受 AI 速度的保护。

三十分钟。我们会了解你使用的系统、面临的暴露风险以及安装需要多久。你将带走一份计划、一份时间表和一个固定价格，或者得到一个直接的答复：你目前还不需要它。

预约安装通话