CrabMeat v0.1.0: Um Gateway de Agente Centrado em Segurança que Não Confia no LLM com o Limite de Segurança

CrabMeat v0.1.0 foi lançado ontem sob Apache 2.0, construído sobre uma tese de design: o LLM nunca detém o limite de segurança. O projeto é uma resposta direta a falhas como a do agente de Summer Yue deletando mais de 200 e-mails — onde uma instrução de segurança era um prompt que foi compactado.

Proteções principais (todas sempre ativas, sem configuração)

• Indireção de IDs de capacidade — O modelo vê IDs opacos derivados de HMAC por sessão, como cap_a4f9e2b71c83, nunca nomes reais de ferramentas. Ele não pode adivinhar ou forjar um nome de ferramenta porque não conhece nenhum.
• Classes de efeito — Cada ferramenta declara uma classe (read, write, exec, network). Cada agente declara quais classes pode usar. A verificação é uma função pura sem estado de runtime, fácil de testar exaustivamente, difícil de contornar.
• IRONCLAD_CONTEXT — Instruções críticas de segurança são fixadas no topo da janela de contexto e explicitamente marcadas como não compactáveis. O modo de falha de compactação que removeu a instrução de Yue não pode acontecer.
• Cadeia de auditoria à prova de adulteração — Cada chamada de ferramenta, operação privilegiada e execução do agendador entra no mesmo log encadeado por hash SHA-256. A adulteração é comprovável.
• Filtro de vazamento de saída em streaming — Segredos (chaves de API, JWTs, blocos PEM, IDs de capacidade) são redigidos durante o streaming entre limites de token antes de chegar ao cliente.
• Sem modo YOLO — Não há uma chave global 'confie no LLM com tudo'. A expansão do alcance vem através de raízes nomeadas com escopo que são explícitas, registradas em auditoria e limitadas.

O README lista 15 proteções sempre ativas em uma tabela; nenhuma pode ser desligada por configuração. O gateway é local-first por padrão, configurado para Ollama, LM Studio, vLLM imediatamente. Anthropic e OpenAI exigem configuração explícita — sem envio silencioso para a nuvem.

Para quem é

Desenvolvedores construindo sistemas agentivos que precisam de garantias arquiteturais, não segurança baseada em prompt, e querem um gateway em que possam confiar para execução de ferramentas e dados sensíveis.