用途：AWF（Agentic Workflow Firewall）为 AI 智能体及其 MCP 服务器提供网络出口控制，将网络访问限制在显式批准的域名白名单内，防止数据外泄和未授权外部通信。
主要能力：L7 域名白名单（HTTP/HTTPS 应用层流量控制）；主机级强制（iptables DOCKER-USER 链覆盖所有容器）；Chroot 模式（使用宿主二进制并保持网络隔离）；API 代理边车（安全注入 LLM 凭据，令牌不暴露给智能体）；SSL Bump 支持 HTTPS 内容检查与 URL 路径过滤；Squid 访问日志与监控。
使用方式：命令结构为 awf [firewall-options] -- [command-to-run]，-- 分隔防火墙配置与待执行命令。域名白名单示例：awf --allow-domains github.com,api.github.com -- docker run myapp；支持通配符 '*.github.com' 与 --allow-domains-file domains.txt。环境变量可用 --env、--env-file 传入。API 代理模式：awf --api-proxy --allow-domains api.openai.com,api.anthropic.com -- node agent.js。安装：curl -sSL https://raw.githubusercontent.com/github/gh-aw-firewall/main/install.sh | sudo bash 或 npm install -g gh-aw-firewall，验证用 awf --version、awf --help。
适用场景：GitHub Actions 中的智能体工作流、MCP 服务器运行、多阶段流水线（构建、测试、部署）中的网络隔离，以及需要限制智能体外联并审计流量的环境。
限制与注意：SSL Bump 需在智能体侧安装 CA 证书，属设计上的中间人；日志位于 /var/log/squid/access.log 与 cache.log；常见问题包括连接被拒、域名未加白、证书校验失败、性能与 Docker 网络问题。资料未提供具体收费、价格与平台支持范围。