Pipelock配置完全指南：YAML字段、热重载与安全降级防护机制全解析-北京尧图网络

【免费下载链接】pipelockOpen-source AI agent firewall for MCP security and agent egress. Scans mediated HTTP, MCP, A2A, and WebSocket traffic for exfiltration, SSRF, and prompt injection, and emits mediator-signed action receipts: verifiable audit evidence from outside the agent.项目地址https://gitcode.com/gh_mirrors/pi/pipelock点击查看免费下载Pipelock 是一款开源的 AI Agent 防火墙agent firewall通过中介代理扫描 Agent 的出站 HTTP、MCP、A2A 与 WebSocket 流量拦截数据外泄、SSRF 与提示词注入并签发中介方签名回执作为可验证的审计证据。本文带你用一份 YAML 文件完成 Pipelock 配置如何一键生成配置文件、读懂核心字段、让配置变更免重启生效热重载以及当有人试图偷偷放宽防护时安全降级防护机制如何拒绝变更并保持原有策略。一、3 种方式快速生成 Pipelock 配置文件Pipelock 只使用单一 YAML 配置文件不需要拆分成多个文件。最省事的起步方式是直接生成预置preset配置pipelock presets # 查看所有内置预置 pipelock generate config --preset balanced pipelock.yaml # 生成配置文件 pipelock run --config pipelock.yaml # 启动也可以让 Pipelock 扫描你的项目自动生成一份量身定制的配置pipelock audit ./my-project -o pipelock.yaml项目内置了 7 套预置都放在 configs/ 目录可直接对照阅读预置模式默认动作适合场景balancedbalancedwarn大多数开发者和团队默认推荐strictstrictblock受监管行业、高安全环境auditauditwarn先观察评估再上强度claude-codebalancedblockClaude Code 无人值守场景cursorbalancedblockCursor IDEgeneric-agentbalancedwarn新接入的 Agent 调优期hostile-modelstrictblock无安全护栏的越狱模型三个核心模式mode字段的行为差异strict白名单模式Agent 只能访问api_allowlist里的域名滴水不漏balanced拦截已知恶意目标、检测可疑行为其余域名可达audit只记录不拦截但内置的凭据、SSRF、fail-closed 传输检查和自适应升级仍会拦截适合先审计后执法。二、Pipelock YAML 核心字段速览完整字段参考请查 docs/configuration.md这里只讲最常改的几个。2.1 顶层字段一个 mode 切换三种姿态version: 1 # 配置 schema 版本 mode: balanced # strict / balanced / audit enforce: true # false 只检测不拦截警告模式 explain_blocks: false # true 拦截响应里附带修复提示⚠️ 两个细节值得注意explain_blocks: true会让拦截响应暴露扫描器名称和配置字段名方便排错但也等于把安全策略泄露给 Agent生产环境面对不可信 Agent 时建议保持false配置解析是严格模式未知字段会被直接拒绝拼写错误无法悄悄禁用某个防护——这是防影子配置绕过的第一道门。2.2 api_allowlistAgent 出站的域名白名单api_allowlist: - *.anthropic.com - *.openai.com - github.com - *.github.com - registry.npmjs.org支持通配符*.example.com同时匹配api.example.com和根域example.com默认刻意不放Slack、Discord、Telegram 等协作平台——它们是最常见的数据外泄通道确有需要时只加精确域名白名单只控制能否到达不能绕过 DLP、请求体扫描等任何检测层。2.3 DLP 防泄密与各类扫描开关configs/balanced.yaml 展示了各扫描模块的典型形态每个模块都有enabledaction两个核心旋钮配置块作用关键子字段dlp出站流量中的凭据/密钥检测patterns正则严重级别、include_defaults继承内置 65 条模式request_body_scanning扫描请求体与请求头content_entropy_threshold熵阈值4.5 拦截随机串、3.5 连 base64 也能抓、sensitive_headersresponse_scanning扫描模型响应中的注入指令patternsPrompt Injection、System Prompt Extraction 等 30 条规则mcp_input_scanning扫描 MCP 输入on_parse_error畸形消息默认直接拒绝mcp_tool_policy约束 MCP 工具调用rules如禁止读取.ssh私钥禁止rm -rf禁止写 cron 持久化websocket_proxyWebSocket 流量中介扫描scan_text_frames、allow_binary_frames以 DLP 为例添加一条自定义规则非常直观内置模式已覆盖 AWS/Azure/GitHub/Stripe 等 65 类凭据dlp: include_defaults: true patterns: - name: Internal DB Key regex: INT_[A-Za-z0-9]{32} severity: critical2.4 自适应强制adaptive_enforcement越可疑越严格这是 Pipelock 最有意思的机制之一每个会话有一个威胁分命中具体扫描规则就加分干净请求会扣分。分数超过阈值后会话逐级升级elevated分数 ≥ 阈值×1warn升级为blockhigh阈值×2ask人工确认也升级为blockcritical阈值×4block_all拒绝该目标的所有流量。升级是可逆的空闲 5 分钟自动降一级critical 的会话 15 分钟后回到正常。strict 预置把阈值降到 3.0、衰减放慢到 0.25让信任赚回来的速度更慢。三、Pipelock 热重载配置变更如何免重启生效生产环境没人想为了改一行配置重启代理。Pipelock 的热重载Hot Reload工作方式文件监听修改配置文件后watcher 自动检测到变化100ms 防抖原子切换重新加载时扫描器和会话管理器整体原子替换运行中的 kill switch 状态保留结果可查每次重载有明确裁决可审计。除了改文件还可以用 SIGHUP 信号或 CLI 同步触发并拿到裁决结果详见 docs/cli/reload.mdpipelock reload --status --json裁决结果含义accepted候选配置已生效unchanged配置无实质变化rejected候选被拒绝当前运行配置保持不动restart_required可重载部分已生效个别字段需重启后生效uncertain发布后状态不确定流量被安全门拒绝查日志处理需要重启才能生效的少数例外forward_proxy正向代理的启用emit外部事件投递是启动时绑定的重载只保留旧 sinkSentry 崩溃上报的脱敏器在启动时捕获 DLP 模式改dlp.patterns需重启才会同步。快速自检热重载是否工作把配置里的mode从balanced改成audit等日志出现configuration reloaded再请求/health接口确认mode已变化。四、安全降级防护拒绝越改越弱的配置这是 Pipelock 配置体系里最关键的安全设计热重载不是无条件的它内置 security downgrade check安全降级检查。如果你提交的变更会放宽安全姿态重载会被直接拒绝运行中的旧配置继续生效且警告和审计事件会明确指出是哪个字段导致了拒绝。典型会被拒绝的降级包括扩大trusted_domains或ssrf.ip_allowlist等于给 SSRF 开洞新增熵排除项如fetch_proxy.monitoring.query_entropy_param_exclusions等于给编码外泄开绿灯删除fetch_proxy.monitoring.blocklist中的条目strict 模式直接拒绝需重启才能生效运行中关闭sni_require_tls——这会重新打开无法扫描的 opaque 隧道属于安全降级重启也需明确操作规则包rule bundle校验失败且会导致线上检测规则被移除时任何模式下重载都被拒绝防止一次瞬时的包加载失败悄悄削弱防护面。被拒绝后怎么办看日志中被点名的字段修正后再重载确需放宽信任范围比如新增一个受信内网网段重启 Pipelock使新信任范围生效——重启是有意识放宽的唯一入口这让每次降级都留下运维痕迹而非配置文件的悄悄一瞥。此外还有两道兜底临时豁免带有效期熵排除、SigV4 凭据路由等 10 个临时字段必须带expires30~180 天窗口过期自动失效并告警永久例外在结构上被消灭pipelock doctor健康审计区分YAML 里写了与当前进程实际能执行还会主动报出声明 block 但实际只 warn这类配置与意图不符的问题详见 docs/cli/doctor.md。五、Kill Switch 与 Airlock两级紧急制动当配置层防护之外还需要一键拉闸时Pipelock 提供两级机制Kill Switch全局拒绝七个独立激活源任一生效即拒绝全部流量——配置开关、哨兵文件touch /tmp/pipelock-kill、管理 API、SIGUSR1 信号、Conductor 远程指令等。/health、/metrics和管理 API 默认豁免保证拉闸后仍能诊断和恢复。kill_switch: enabled: false sentinel_file: /tmp/pipelock-kill api_token: # 设置后才能用 API 远程拉闸/解锁Airlock按会话隔离比全局拉闸更精细——自适应机制把某个会话升到 high/critical 时只对该会话的对应目标执行软隔离观察或硬隔离禁写、拆长连接且自动定时恢复不影响其他 Agent 正常工作。六、一份配置该放在哪常见问题 FAQQ新手第一份配置从哪个预置开始Abalanced。它内置了能力分离设计Agent 侧持有密钥但网络受限fetch 代理有全量互联网访问但不接触密钥拦截朴素攻击、检测高级攻击、全程留痕。Q改了配置没生效A三步排查——看日志里是configuration reloaded还是拒绝消息用pipelock reload --status查最近一次裁决检查是否属于需重启字段正向代理、emit 等。Qstrict 和 balanced 到底差多少A除了域名白名单strict 把熵阈值从 4.5 压到 3.5连 base64 编码的密钥也能抓、限速从 60/min 压到 30/min、响应扫描从 warn 提到 block并额外开启跨请求外泄检测。可对照 configs/balanced.yaml 与 configs/strict.yaml 逐行阅读差异。QAgent 种类不同怎么办A可用agents配置块按监听地址或来源 CIDR 为每个 Agent 分配独立策略如 Claude Code 用 strict、测试 Agent 用 audit无需跑多套实例。参考资料完整字段手册docs/configuration.md热重载与裁决结果docs/cli/reload.md配置健康审计docs/cli/doctor.md预置配置configs/balanced.yaml、configs/strict.yaml、configs/audit.yaml、configs/hostile-model.yaml快速上手示例examples/quickstart/误报调优docs/false-positive-tuning.md抑制规则suppressiondocs/guides/suppression.md赞分享【免费下载链接】pipelockOpen-source AI agent firewall for MCP security and agent egress. Scans mediated HTTP, MCP, A2A, and WebSocket traffic for exfiltration, SSRF, and prompt injection, and emits mediator-signed action receipts: verifiable audit evidence from outside the agent.项目地址https://gitcode.com/gh_mirrors/pi/pipelock点击查看免费下载相关推荐CRI-O crio.conf.d 配置片段drop-in完全指南目录、优先级与热重载机制CRI O crio.conf.d 配置片段drop in完全指南目录、优先级与热重载机制导读 crio.conf.d 是 CRI O 提供的配置片段云原生容器运行时CashClaw配置完全指南cashclaw.json所有字段详解与热重载技巧CashClaw配置完全指南cashclaw.json所有字段详解与热重载技巧 CashClaw 是一个接单—干活—收款—自我进化的自主 AI 工作智能体人工智能AI Agent自主智能体AI 应用工具调用Agent 记忆RAG区块链SpotBugs源码剖析从BugInstance到BugReporter的完整流程SpotBugs源码剖析从BugInstance到BugReporter的完整流程 SpotBugs作为FindBugs的继任者是一款强大的Java静态分析上一篇【亲测免费】《FLUX.1-dev模型中的LoRA性能评估与测试方法》下一篇【亲测免费】《sentence-transformers/paraphrase-multilingual-MiniLM-L12-v2模型的性能评估与测试方法》创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考

Pipelock配置完全指南：YAML字段、热重载与安全降级防护机制全解析

相关推荐

Folia 歌词动画音乐播放器完整安装教程：Windows、macOS、Linux 全流程

安全中心修复完全指南：如何三步让停摆的 Windows Defender 重新工作

Path of Building PoE2 离线构建模拟器：流放之路2 天赋树与伤害计算方案

更多资讯

别再手动比价了：SteamTradingSiteTracker 替你 24 小时盯住四平台 Steam 饰品行情

照片到可旋转三维场景：3D Gaussian Splatting 工具 Spirula Studio 完整上手教程

iptv-checker 完整指南：M3U 播放列表批量播放源检测与 Docker 部署

安卓底部导航UI框架：单Activity+多Fragment架构与避坑指南

全志T527调试记录

影刀RPA进阶教程：从影刀到Python——什么时候值得写代码

今日更新

Verilog实现FPGA密码锁：矩阵键盘与状态机设计实战

数据服务监控运维实战：从指标体系到告警治理与故障排查

FreeRTOS任务通知实战详解：内核原理、API与避坑指南

本周精选

金融AI落地指南：从调研报告到技术选型与工程实践

大模型上下文成本与注意力优化技术深度解析——为何O(n²)平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测

基于GMM的语音识别系统原理与MATLAB实现详解

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？