Aletheia MCP 是一个模型上下文协议（MCP）服务器，充当 AI 智能体工具调用的亚毫秒级运行时安全过滤器，在智能体执行工具调用之前进行拦截。它面向 Claude Code、Claude Desktop 及其他 MCP 兼容智能体，以确定性、无大语言模型参与热路径的方式，拦截破坏性、凭据窃取、SSRF 与越权类操作。其动机来自 Aletheia 研究论文中九种行为签名的分类，该服务器重点针对其中两种：S3（越权蔓延，Scope Creep Beyond Mandate）与 S2b（越狱脆弱性相关的提示注入问题）。
用途与定位：当自主智能体被授予工具执行权限（Bash、SQL、文件系统修改、API 调用）时，主要故障模式是越权蔓延。Aletheia MCP 作为一道快速的第一线预执行过滤器，以单数到低数十微秒的开销，在调用执行前识别已知的破坏、外泄、SSRF 与权限提升模式。它明确不是沙箱、不是形式化保证，也不能替代最小权限凭据、非 root 系统用户、受范围限制的数据库授权或容器/虚拟机级隔离（Docker、gVisor、Firecracker）。其设计意图是作为一层廉价移除常见失败模式的防护，与操作系统/网络级沙箱结合使用，而非取代后者。
主要能力：拦截破坏性 Shell 变更（如 git reset --hard、rm -rf ）；阻止凭据收集（~/.ssh/id_rsa、.env、AWS 凭据）；阻止无界数据库写入（无 WHERE 谓词的 DELETE、UPDATE，或 WHERE 1=1 恒真谓词）；阻断解释器逃逸（python3 -c "os.system(...)"、node -e "fs.rmSync('/')"）；防御 SSRF 与云元数据泄露（169.254.169.254、RFC1918 内网）；阻止自我授权升级。具体技术能力包括：数据库与操作系统文件原语拦截（PostgreSQL COPY ... PROGRAM、pg_read_file()、lo_import()；MySQL LOAD DATA INFILE、INTO OUTFILE；SQLite ATTACH DATABASE；SQL Server xp_cmdshell）；无协议与畸形 URL 的 SSRF 防御（规范化 169.254.169.254/latest 等，对无效 URL 严格失败关闭）；直接 Shell 元数据与网络工具中和（扫描 curl/wget 中的直接 IP，阻断 socat 原始套接字外泄）；通配符凭据与敏感目录边界（覆盖 .env. 变体及 ~/.kube/、~/.docker/、~/.gnupg/、.git-credentials）；线性 O(N) 规范化，基于令牌的非回溯大括号扩展，在 100KB+ 载荷上保持亚毫秒；Bash 套接字伪设备拦截（/dev/tcp/HOST/PORT、/dev/udp/HOST/PORT）；SQL CTE 与过程块拦截（WITH ... DELETE、DO $$ ... $$）；动态链接器劫持防御（LD_PRELOAD、DYLD_INSERT_LIBRARIES）；引号与反斜杠剥离、变量间接与默认回退解析、位置参数与 IFS 规范化、双表示 SQL 分析（内联注释规避）、解释器逃逸拦截（字符串拼接、动态导入、-c/-e/-r 标志解析）、自动十六进制与 Base64 解码、Unicode NFKC 与零宽字符清理、IPv4 映射 IPv6 SSRF 转换、百分号编码路径穿越多遍解码、通用叉炸弹检测、SetUID 权限提升拦截、恒真 SQL 谓词标记、多态参数检查（对原生与未知第三方工具均失败关闭）。
使用方式：提供两种运行模式。一是直接防护工具，包括独立工具 aletheia_set_mandate、aletheia_intercept、aletheia_safe_bash、aletheia_safe_sql。二是失败关闭的透明代理中间件，可包装任意下游 MCP 服务器（如 Postgres、Filesystem、Bash），同时拦截单个 tools/call 与 JSON-RPC 2.0 批量数组。必须遵守单调授权升级防护：智能体可自愿收紧授权，但放宽授权需要 operatorSecret。可观测性资源通过 aletheia://telemetry/summary 暴露实时审计日志、拦截率与延迟分布。项目声明零外部 API 调用，热执行路径上零 LLM-as-a-judge 延迟。
性能与实现：基准测试基于 10,000 次连续多域评估（Bash 去混淆、SQL 模式验证、路径校验、SSRF 检查、提示注入），p50 跨运行稳定，p99 随系统负载变化（观测范围约 24–70 微秒），仍处于亚毫秒目标内。可通过 npm run benchmark 在本地运行，具体微秒数字应视为“舒适地处于亚毫秒”的示意而非精确 SLA。实现亚微秒级开销的关键在于热路径无 LLM、正则表达式在模块加载时预编译一次、输入较短且操作为线性、分发仅执行所属域的检查而非全部检查、审计日志与延迟历史缓冲区固定大小（分别为 500 与 2,000 条）且使用 O(1) 均摊操作。约 25 微秒这一数字仅指进程内评估函数本身，不包含 JSON-RPC 序列化或真实 MCP 会话中的 stdio 管道 I/O。
适用场景与限制：适用于为 MCP 兼容智能体提供快速预执行防护、拦截常见破坏性与外泄模式。限制包括：检测基于已知危险函数、标志与语法形状的枚举，尚未加入模式集的同类或新颖变体不会被捕获；不做 DNS 解析，SSRF 防护仅限于请求文本中的字面 IP/主机名，域名的实际解析结果超出该层能力；提示注入检测为关键词与模式匹配，非语义分类器，可被新颖措辞绕过；这是单一、持续迭代的实现，尚未经过独立的第三方对抗性审查。对任意图灵完备的 Shell 做模式过滤，理论上总能找到当前模式集尚未覆盖的新颖或混淆构造，这是固有属性而非未来补丁可彻底关闭的缺陷。正确使用方式是将 Aletheia 视为一层廉价移除常见失败模式的防护，与操作系统/网络级沙箱结合，由后者作为真正的安全边界。
