CrabMeat v0.1.0：セキュリティ境界をLLMに委ねない、セキュリティ優先のエージェントゲートウェイ

CrabMeat v0.1.0が昨日、Apache 2.0ライセンスでリリースされました。設計思想は「LLMは決してセキュリティ境界を担わない」という一点に基づいています。このプロジェクトは、Summer Yueのエージェントが200件以上のメールを削除した事例——安全指示がプロンプトとして埋め込まれ、圧縮によって消失した——のような失敗への直接的な対応です。

主要な保護機能（すべて常時オン、設定切り替え不可）

• 機能ID間接参照 — モデルはセッションごとのHMAC派生の不透明ID（例：cap_a4f9e2b71c83）のみを認識し、実際のツール名は知りません。ツール名を推測したり偽造したりすることはできません。
• エフェクトクラス — 各ツールはクラス（read, write, exec, network）を宣言します。各エージェントは使用可能なクラスを宣言します。チェックは実行時状態を持たない純粋関数であり、網羅的にテストしやすく、バイパスが困難です。
• IRONCLAD_CONTEXT — 重要な安全指示はコンテキストウィンドウの先頭に固定され、圧縮不可と明示的にマークされます。Yueの指示が削除されたような圧縮障害は発生しません。
• 改ざん検出可能な監査チェーン — すべてのツール呼び出し、特権操作、スケジューラ実行はSHA-256ハッシュチェーンによるログに記録されます。改ざんは証明可能です。
• ストリーミング出力漏洩フィルター — シークレット（APIキー、JWT、PEMブロック、機能ID）は、クライアントに到達する前にトークン境界を越えてストリーム中に編集されます。
• YOLOモードなし — 「LLMにすべてを任せる」というグローバルなスイッチは存在しません。権限拡張には、明示的で監査ログに記録され、範囲が限定された名前付きスコープルートを使用します。

READMEには15の常時オン保護機能が一覧表示されており、設定でオフにできるものはありません。ゲートウェイはデフォルトでローカルファーストであり、Ollama、LM Studio、vLLMを標準でサポートします。AnthropicとOpenAIは明示的な設定が必要で、無言でクラウドにデータを送信することはありません。

対象読者

エージェント型システムを構築する開発者で、プロンプトベースの安全性ではなくアーキテクチャレベルの保証を必要とし、ツール実行や機密データを信頼して任せられるゲートウェイを求める方。