Mnemom AEGIS — Adaptive Enforcement, Governance & Intelligence Substrate — ist das Runtime-Sicherheitsnetz von Safe House. Es prüft jede Agententransaktion an vier Checkpoints (front door, back door, inside.autonomy, inside.integrity) und verbindet das Safe House jedes Kunden zu einem einzigen Verteidigungssubstrat. Die Detektion eines Kunden wird zur Verteidigung jedes Kunden, signiert und innerhalb des SLO-Fensters propagiert.
Source-of-Truth: concept.md §Three loops, one substrate. Jede Schicht ist zur GA verdrahtet; der ehrliche Betriebszustand wird live auf dem threat thermometer und dem IoC feed angezeigt.
Jede Recipe, die AEGIS promotet, wird von einer von drei unabhängigen Schleifen gespeist, die jeweils mit einer eindeutigen writer_identity gestempelt sind (ADR-004). Der Promotion-Pfad ist derselbe; die Vertrauenshaltung unterscheidet sich.
15 kanonische Personas prüfen jedes Safe House kontinuierlich. Das mutation-phase Gate (95 % Detektionsrate pro Bucket, 48h gleitendes Fenster, 24h Hysterese) schaltet die Arena von Discovery auf Mutation, sobald ein Bucket gut abgedeckt ist.
writer_identity = arena-bypass
Falsch-negative und falsch-positive Berichte fließen aus den Kunden-Dashboards in die Kandidaten-Queue. Der Beitrag jedes Mandanten wird quittiert; nur die resultierende Recipe propagiert zu anderen Mandanten — niemals der Rohbericht.
writer_identity = customer-fn-report
network_campaign_state rollt achsenbezogene Statistiken über alle Kunden hinweg. Muster, die kein einzelner Kunde sehen kann — ein Substrat, das identische Anomalien über Organisationen hinweg zeigt — erscheinen hier als Kandidaten.
writer_identity = internal-observation
Fünf benannte, verdrahtete Schichten oberhalb der Recipe-Datenebene. Der Betriebszustand jeder Schicht ist auf dem threat thermometer und der trust surface beobachtbar.
Gemäß Migration 217 trägt jede Checkpoint-Auswertung ein abgeleitetes Tupel (substrate, vertical, pattern, source). Substrate ist provider × model × SDK@version mit einem optionalen, vom Kunden gelieferten lockfile-hash-Header. Die axis identity ist der Join-Schlüssel für mandantenübergreifende Korrelation und das Rückgrat der Supply-Chain-Attribution.
network_campaign_state hält gleitende Fenster für Detektions- und Bypass-Rate pro Bucket (substrate × vertical × pattern × source). Der Aggregator ist die Schicht, die Kampagnen erkennt, die kein einzelner Mandant erkennen kann — Verhaltensabweichungen über alle Kunden hinweg, die auf demselben Substrat laufen, gleichzeitig.
AEGIS übernimmt das additive-ratcheting-Modell von Cloudflare. Zwei Posture-Regler pro Organisation: normale Posture und Elevation Ceiling. Während einer Kampagne ist der effektive Modus max(normal, min(threat_level, elevation_ceiling)).
Das Ceiling des Kunden wird respektiert. Zusätzliche Schutzmaßnahmen auf der Integritätsseite (gepflanzte Canaries, eingefrorene Credential-Ausgabe, vollständige AIP-Beweise) laufen unterhalb des Ceilings, da sie keine Posture-Änderungen sind.
Jede Promotion ist Ed25519-signiert via RECIPE_PROMOTION_SIGNING_KEY. KV und R2 tragen unabhängige Envelope-Signaturketten (RECIPE_KV_SIGNING_KEY / RECIPE_R2_SIGNING_KEY) — drei unabhängige Kompromittierungspfade sind nötig, um die Regelebene zu vergiften. Tier-3-Regeln durchlaufen einen 24h observe-Soak vor der Mode-Eskalation; ein FP-Raten-Schwellenwert löst Auto-Rollback aus.
Die Dual-Control-Invariante: tier-1- und tier-2-Regeln — diejenigen, die tatsächlich Produktionsverkehr blockieren würden — können sich niemals automatisch promoten, unabhängig vom Reviewer-Modus. Die Einschränkung ist strukturell (Schema-CHECK auf promotion_quorum_met), nicht prozedural.
Kundenseitiges Dashboard, das den Kampagnenzustand pro Achse, die aktiven Managed Rules und den effektiven Durchsetzungsmodus der Organisation unter jedem aktuellen Overlay zeigt. Ist das Netz zur GA ruhig, sagt der Thermometer ruhig — die Seite erfindet keine Aktivität.
Zwei öffentliche Oberflächen. /v1/trust/iocs exportiert ein STIX 2.1 Bundle, das sich in bestehende Threat-Intel-Pipelines einfügt. /trust/advisories veröffentlicht signierte Post-Incident-Datensätze mit expliziter Synthetisch-versus-Real-Kennzeichnung. Zur GA kann der Feed leer sein und die Advisory-Liste zeigt den einen synthetischen Seed — das ist das System, das die Wahrheit sagt.
Aus concept.md: Ist das Netz zur GA wirklich ruhig, sagt der Thermometer ruhig, die Advisory-Liste zeigt einen synthetischen Seed-Postmortem, klar als synthetisch markiert, und der IoC feed ist leer. Das ist kein Stub — das ist das System, das die Wahrheit sagt. Jeder andere Anbieter in diesem Raum drapiert einen leeren Feed mit Theater. Mnemom nicht.
Der Markt für Agentic-AI-Security fragmentiert sich in Hyperscaler-Guardrails, nachgerüstete Enterprise-Plattformen, AI-native Einzeldetektoren und Edge-Inference-Proxies. Keiner ist ein integriertes mandantenübergreifendes Netz. Quelle: AEGIS-15 positioning brief §3.
| Fähigkeit | Mnemom AEGIS | Cloudflare WAF | AWS Shield | Lakera Guard | Cisco AI Defense | Palo Alto Prisma AIRS | Google Model Armor |
|---|---|---|---|---|---|---|---|
Mandantenübergreifendes Verteidigungsnetz für KI-Agenten Signal über Kunden hinweg gebündelt; signierter Managed Rules Push an jedes Gateway. | |||||||
Substrate fingerprinting (provider · model · sdk@ver · lockfile-hash) Erkennt Verhaltensabweichungen bei allen Kunden auf demselben Substrat. | |||||||
Adversariale Arena mit mutation-phase gating 15 kanonische Personas, pro Bucket 95 % / 48h / 24h-Hysterese. | Vom Anbieter kuratierte Threat-DB | ||||||
Kunden-FN-/FP-Feedback in signierte Promotion-Pipeline | |||||||
Öffentlicher STIX 2.1 IoC feed Maschinenlesbar, signierte Hülle, keine Auth erforderlich. | |||||||
Append-only signiertes Advisory-CMS Synthetisch-versus-real gekennzeichnet gemäß calm-at-GA contract. | |||||||
Dual-Control-Invariante auf Tier-1- / Tier-2-Promotions Strukturelle CHECK-Constraint, nicht prozedural. | Nur Anbieter-Review | Nur Anbieter-Review | Nur Anbieter-Review | Nur Anbieter-Review | Nur Anbieter-Review | Nur Anbieter-Review | |
Vier-Checkpoint × Vier-Mode-Runtime front door · back door · inside.autonomy · inside.integrity. | Einzelner Inline-Filter | Build-Time-Embedding | Aggregierte Plattform | Content-Filter inline | |||
Für KI-Agenten entworfen (nicht HTTP / nicht Menschen) | HTTP-Schicht-WAF | Netzwerk-DDoS | Prompt-Schicht-Firewall | Build-Time-Guardrails | Plattform-Aggregation | Prompt- + URL-Filter | |
Provider-neutral (OpenAI · Anthropic · Gemini · selbstgehostet) | n/a | Nur AWS | Nur Google | ||||
Hyperscaler-gebunden |
Mnemom ergänzt — ersetzt nicht — Guardrails, WAFs und Pre-Deployment-Evals. Kunden, die Lakera Guard, NeMo Guardrails, Cloudflare WAF, AWS Bedrock Guardrails oder Robust Intelligence betreiben, können AEGIS parallel laufen lassen. AEGIS ist die mandantenübergreifende Netzwerkschicht; die anderen sitzen an anderen Stellen im Stack.
Quelle: ADR-AEGIS-02 §5, veröffentlicht auf /trust/slos. Das erste 30-Tage-Messfenster wird 30 Tage nach der GA veröffentlicht.
Der threat thermometer — Kampagnenzustand pro Achse, aktive Managed Rules, Ihre effektive Enforcement-Posture.
/dashboard/threats →curl https://api.mnemom.ai\ /v1/trust/iocsSTIX 2.1 Bundle abrufen →
Gehen Sie mit uns die AEGIS-Architektur, die SLO-Zusagen, das EU AI Act Mapping und die Bedeutung von Self-Hosting für Ihre Compliance-Posture durch.
Kontakt aufnehmen →