sundynix-agentix

sundynix/sundynix-agentix

Fork 0

Commit Graph

Author	SHA1	Message	Date
Blizzard	2f78fc565e	feat(harness): 输入护栏升级 —— 归一化反绕过(Tier1) + LLM 越狱分类器(Tier2) 原输入护栏纯正则，空格/编码/同形字一改写即漏，且 bannedTerms 空置。升级为两层： Tier1（网关同步、无 LLM）：先归一化再匹配，干掉绕过—— - 小写 + 去零宽字符 + 去变音符 + 同形字折叠(西里尔/希腊→拉丁) + 拆字间隔还原(i g n o r e / i.g.n.o.r.e → ignore) + base64 解码回扫 - 多视图(原文/归一化/紧凑/解码)匹配高精度注入正则，无需穷举变体 - bannedTerms 经 GUARDRAIL_BANNED_TERMS env 落地 - 软信号(jailbreak/developer mode/无限制…)→ 灰区，放行但打 safety_check 标志 Tier2（dispatcher harness LLM 分类器，escalation）： - 仅对灰区任务执行前调 LLM 裁决 jailbreak+severity，≥0.7 → rejected - 明确干净/恶意的不付 LLM 成本；模型抖动/解析失败 fail-open 不误锁正常用户契约新增 MetaSafetyCheck 透传灰区标志；orchestrator 加执行前护栏门控 + SetGuardian。网关 6 单测 + dispatcher 4 单测，三模块全绿。live：拆字/base64/西里尔同形字均 422 拦，恶意灰区被 LLM 拒(severity 1)、良性灰区(海盗 roleplay)放行完成。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>	2026-06-26 09:38:34 +08:00
Blizzard	e63632adf5	feat(gateway): 输入护栏拦提示词注入/超大体（弃用空桩）+ 单测 Guardrail 中间件此前是空桩（直接 c.Next）。落地输入护栏： - 新增纯逻辑包 internal/guardrail：Inspect(body) 检测提示词注入（忽略既定指令/ 角色越权/诱导泄露提示词，中英文模式）+ 超大体(>256KB)，与 HTTP 解耦便于单测；敏感词黑名单留空可扩展。 - 中间件：仅对带 JSON 体的 POST/PUT 检查（文件上传 multipart 与 GET/SSE 跳过）；限读 + 命中拦截返回 422；未命中则还原请求体(io.NopCloser)供 handler 读取。 - 输出护栏不在网关做：Token 流是 SSE 实时流，网关缓冲会破坏流式 —— 标到路线图，应在 dispatcher token 发射层做。验证： - 单测：正常输入不误拦、中英文注入均拦、超大体拦、边界恰好放行。 - 实跑(nats+gateway)：注入(中/英) → 422 带原因；干净输入 → 202 且 body 正确还原、 handler 正常发布到 NATS。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-17 15:19:14 +08:00

Author

SHA1

Message

Date

Blizzard

2f78fc565e

feat(harness): 输入护栏升级 —— 归一化反绕过(Tier1) + LLM 越狱分类器(Tier2)

原输入护栏纯正则，空格/编码/同形字一改写即漏，且 bannedTerms 空置。升级为两层：

Tier1（网关同步、无 LLM）：先归一化再匹配，干掉绕过——
- 小写 + 去零宽字符 + 去变音符 + 同形字折叠(西里尔/希腊→拉丁) +
  拆字间隔还原(i g n o r e / i.g.n.o.r.e → ignore) + base64 解码回扫
- 多视图(原文/归一化/紧凑/解码)匹配高精度注入正则，无需穷举变体
- bannedTerms 经 GUARDRAIL_BANNED_TERMS env 落地
- 软信号(jailbreak/developer mode/无限制…)→ 灰区，放行但打 safety_check 标志

Tier2（dispatcher harness LLM 分类器，escalation）：
- 仅对灰区任务执行前调 LLM 裁决 jailbreak+severity，≥0.7 → rejected
- 明确干净/恶意的不付 LLM 成本；模型抖动/解析失败 fail-open 不误锁正常用户

契约新增 MetaSafetyCheck 透传灰区标志；orchestrator 加执行前护栏门控 + SetGuardian。
网关 6 单测 + dispatcher 4 单测，三模块全绿。live：拆字/base64/西里尔同形字均 422 拦，
恶意灰区被 LLM 拒(severity 1)、良性灰区(海盗 roleplay)放行完成。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

2026-06-26 09:38:34 +08:00

Blizzard

e63632adf5

feat(gateway): 输入护栏拦提示词注入/超大体（弃用空桩）+ 单测

Guardrail 中间件此前是空桩（直接 c.Next）。落地输入护栏：

- 新增纯逻辑包 internal/guardrail：Inspect(body) 检测提示词注入（忽略既定指令/
  角色越权/诱导泄露提示词，中英文模式）+ 超大体(>256KB)，与 HTTP 解耦便于单测；
  敏感词黑名单留空可扩展。
- 中间件：仅对带 JSON 体的 POST/PUT 检查（文件上传 multipart 与 GET/SSE 跳过）；
  限读 + 命中拦截返回 422；未命中则还原请求体(io.NopCloser)供 handler 读取。
- 输出护栏不在网关做：Token 流是 SSE 实时流，网关缓冲会破坏流式 —— 标到路线图，
  应在 dispatcher token 发射层做。

验证：
- 单测：正常输入不误拦、中英文注入均拦、超大体拦、边界恰好放行。
- 实跑(nats+gateway)：注入(中/英) → 422 带原因；干净输入 → 202 且 body 正确还原、
  handler 正常发布到 NATS。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-06-17 15:19:14 +08:00

2 Commits