PQC KHEPRA MCP Server

PQC-Khepra-MCP

Post-Quanten-Kryptografie- und autonomer Flugschreiber-Kernel für KI-Agenten.

Air-Gap-fähig. Null Cloud-Telemetrie. Null Token-Overhead.
Bietet ML-DSA-87 (FIPS 204)- und ML-KEM-1024 (FIPS 203)-Post-Quanten-Signaturen bei jedem Tool-Aufruf, autonome clientseitige NDJSON-Flugaufzeichnung und lokale Host-/Asset-Erkennung. Quelloffen verfügbar unter der KHEPRA Sovereign Public & Commercial License (KSCL-1.0): kostenlos für Community- und Evaluierungsnutzung; kommerzielle Produktionsnutzung erfordert ein Abonnement. Siehe LICENSE.

Patentreferenz: Patent angemeldet · U.S. Provisional Application Nr. 63/942,886 (EFS ID: 73565085)
Unternehmensidentität: SecRed Knowledge Inc. (firmiert als NouchiX) — Delaware C-Corp (EIN 99-0529252), SDVOSB-berechtigt (SBA VetCert-Antrag ausstehend), aktive Secret Clearance.
Live-gehosteter Endpunkt: https://mcp.souhimbou.ai/sse — keine Installation, Verbindung in 30 Sekunden.
Selbst-Hosting für souveränen Betrieb/Air-Gap: Docker oder Binary.

---

Architektur: Kostenloser Community-Kernel vs. kommerzielle KTOS-Plattform

Um klare kommerzielle Grenzen für Partner, Verteidigungsauftragnehmer und Entwickler zu gewährleisten, operiert das KHEPRA-Ökosystem auf zwei getrennten Ebenen:

Ebene	Produkt	Lizenz	Umfang & Fähigkeiten
Ebene 1	PQC-Khepra-MCP (dieses Repo)	KSCL-1.0 (quelloffen verfügbar)	Kostenloser Community-Kernel: ML-DSA-65 (FIPS 204)-Post-Quanten-Signierung, clientseitige autonome Flugprotokollierung, Agentenregistrierung, lokale Host-/Asset-Enumeration und Threat-Lookup. Keine STIG- oder Compliance-Datenbanken.
Ebene 2	KHEPRA Trust OS (KTOS)	Kommerziell ($499/Monat bis $250K/Jahr)	Souveränes Proof-and-Actuation-OS: 36.195 frameworkübergreifende Compliance-Mappings, Live-DISA-STIGViewer-API-v2-Batch-Crosswalks, CMMC-Level-2/3-Bewertungen, ERT-Multi-Package-Engines, automatisierte C3PAO-Evidenzpakete (OSCAL, DISA CKLB, signierte POA&Ms) und begrenzte autonome Host-Remediation.

---

Stufen & Gating (Das 4-stufige kommerzielle & souveräne Modell)

Stufe	Preis	Kontingent	Gated Tools & Fähigkeiten	Fokus
Community	$0 / Kostenlos (Open-Core)	500 Credits	14 Kern-Tools (pqc_keygen, pqc_sign, pqc_verify, flight_record, flight_export, agent_record, dag_attestation, khepra_get_dag_chain, enumerate_host, fingerprint_device, discover_assets, kasa_status, threat_lookup, nist_map-Teaser)	Open-Source-PQC-Signierung, Flugprotokollierung, lokale Erkennung
Platform	$499 / Monat (Self-Serve)	3.000 Credits	50+ Tools (+ OmniScan-Multi-Lane-Sweep, Shadow-AI-Erkennung, Live-STIGViewer-API v2, OCSF-SIEM-Stream)	Engineering-Teams & kommerzielle SOC-Operationen
Enterprise	$2.999 / Monat	15.000 Credits	85+ Tools (+ vollständiger Agentic SOC, SEKHEM L7 PQC-WAF, PTY Enclave Supervisor, ASAF Remediation Daemon, Z3-SMT-Beweise)	Enterprise-Agentenflotten & Compliance-Automatisierung
Sovereign	$45K – $250K / Jahr	100.000+ Credits	Alle 100 Tools (+ Bare-Metal-Air-Gap, osquery Fleet Manager, CMMC L2/L3-Autopilot, taktische RF-Anti-Jamming, Windows-EventLog-Telemetrie)	Verteidigungsauftragnehmer, C3PAOs, Bundes-Prime-Contractors & GovCloud

---

Was es tut (kostenloser Community-Kernel)

PQC-Khepra-MCP verbindet Ihren KI-Assistenten (Claude Code, Cursor, Antigravity, Cline) direkt mit einer Post-Quanten-Kryptografie-Sicherheitsschicht:

• ML-DSA-65-Signierung: FIPS 204-Post-Quanten-Signierung bei jedem Tool-Aufruf und jeder DAG-Attestierung. Die Schlüsselkapselung ist vorstandardisiertes CRYSTALS-Kyber-1024; die Migration auf FIPS 203 ML-KEM-1024 ist in Arbeit.
• Autonome Flugaufzeichnung: Protokolliert automatisch alle Tool-Aufrufe, Eingaben und Ergebnisse von Agenten in manipulationssicheren NDJSON-Hash-Ketten.
• Lokale Host- & Asset-Erkennung: Enumeration von System-Runtimes, Netzwerkschnittstellen und Umgebungseigenschaften lokal.
• Air-Gap- & souveräner Betrieb: Läuft zu 100 % offline ohne Cloud-Telemetrie oder Egress-Aufrufe.
• KSCL-1.0-Lizenz: kostenlose Community- und Evaluierungsnutzung. Kommerzielle Produktionsnutzung, Enterprise-Deployment und Managed-Service-Hosting erfordern eine kommerzielle Vereinbarung; siehe LICENSE.

Schnellstart — gehosteter Endpunkt (keine Installation)

Der schnellste Weg zu einem Live-Compliance-Tool in Ihrem KI-Client. Kein Docker, kein Binary, kein Build:

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

Oder, falls Ihr Client natives SSE-Transport unterstützt:

https://mcp.souhimbou.ai/sse

Health-Check: https://mcp.souhimbou.ai/mcp/v1/health

Hinweis zu Daten: Der gehostete Endpunkt läuft im Modus edge — DAG ist im Speicher und flüchtig. Für persistente, signierte Audit-Trails und Air-Gap-Deployment verwenden Sie die untenstehenden Self-Hosted-Optionen.

---

Self-Hosted-Installation

Für souveränes/Air-Gap-Deployment: Docker (empfohlen, kein Build erforderlich) oder kompiliertes Binary (schnellster Start, SCIF-bereit). Beide unterstützen dieselben Umgebungsvariablen und alle MCP-Clients.

Wählen Sie Ihren Weg:

Methode	Am besten für	Startzeit
Gehosteter Endpunkt	Schnellster Start, Cloud-Tools	Sofort
Docker	Die meisten Nutzer, einfachstes Self-Hosting	~2s
Kompiliertes Binary	Air-Gap, SCIF, Performance	~300ms

---

Option A: Docker (empfohlen)

Erfordert Docker Desktop oder Docker Engine. Das Image ist vorgebaut und enthält die vollständige Compliance-Datenbank — keine zusätzlichen Downloads im souveränen Modus.

# Pull once
docker pull ghcr.io/nouchix/pqc-khepra-mcp:latest

# Test it (should print the initialize response and exit)
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

---

Option B: Kompiliertes Binary

Erfordert Go 1.21+ zum Bauen, oder laden Sie ein vorgebautes Release von GitHub Releases herunter.

git clone https://github.com/nouchix/PQC-Khepra-MCP.git
cd PQC-Khepra-MCP

# Build (cross-compile for your OS)
go build -o khepra-mcp ./cmd/khepra-mcp        # Linux / macOS
go build -o khepra-mcp.exe ./cmd/khepra-mcp    # Windows

# Test the binary
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

Windows — mit dem Batch-Launcher

Das Repo enthält einen run-mcp.bat-Launcher für Windows. Er verwendet das vorgebaute Binary (schneller Pfad) und fällt automatisch auf go run zurück:

:: run-mcp.bat is already in the repo at the root of PQC-Khepra-MCP
:: Point your MCP client to: cmd /c C:\path\to\PQC-Khepra-MCP\run-mcp.bat

---

Hinzufügen zu Ihrem KI-Client

Claude Desktop

Speicherort der Konfigurationsdatei:

• macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
• Windows: %APPDATA%\Claude\claude_desktop_config.json
• Linux: ~/.config/Claude/claude_desktop_config.json

Community-Stufe — Docker (macOS / Linux)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Community-Stufe — Docker (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "C:\\Users\\YourName\\.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Community-Stufe — Binary (Windows, schnellster Start)

{
  "mcpServers": {
    "khepra": {
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

Community-Stufe — Binary über Batch-Launcher (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "cmd",
      "args": ["/c", "C:\\path\\to\\PQC-Khepra-MCP\\run-mcp.bat"],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true"
      }
    }
  }
}

Pro / Enterprise / Sovereign-Stufe (mit Lizenzschlüssel)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_LICENSE_KEY",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "-v", "/var/log/khepra:/var/log/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ],
      "env": {
        "KHEPRA_LICENSE_KEY": "YOUR_LICENSE_KEY_HERE"
      }
    }
  }
}

Starten Sie nach der Bearbeitung Claude Desktop neu. Überprüfen Sie unter Einstellungen → Entwickler — Sie sollten khepra mit Status running und allen aufgelisteten Tools sehen.

---

Cursor

Konfigurationsdatei: .cursor/mcp.json im Projektstamm oder ~/.cursor/mcp.json global.

Docker (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Binary (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "/path/to/khepra-mcp",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "/path/to/PQC-Khepra-MCP/manifest.json"
      }
    }
  }
}

Binary (Windows)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

---

VS Code (mit GitHub Copilot oder Cline-Erweiterung)

Konfigurationsdatei: .vscode/mcp.json in Ihrem Projekt oder in den Benutzereinstellungen.

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "${env:HOME}/.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Oder über die Benutzer-settings.json für die Cline-Erweiterung:

{
  "cline.mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Windsurf

Konfigurationsdatei: ~/.codeium/windsurf/mcp_config.json

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Continue.dev

Konfigurationsdatei: ~/.continue/config.json — zum experimental.modelContextProtocolServers-Array hinzufügen:

{
  "experimental": {
    "modelContextProtocolServers": [
      {
        "name": "khepra",
        "transport": {
          "type": "stdio",
          "command": "docker",
          "args": [
            "run", "--rm", "-i",
            "-e", "KHEPRA_MODE=sovereign",
            "ghcr.io/nouchix/pqc-khepra-mcp:latest"
          ]
        }
      }
    ]
  }
}

---

Cloud-/SaaS-KI-Tools (Claude.ai, ChatGPT, Gemini usw.)

Verwenden Sie den Live-gehosteten Endpunkt unter mcp.souhimbou.ai — keine Einrichtung erforderlich:

Option 1 — Live-gehosteter Endpunkt (empfohlen, keine Einrichtung)

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

Oder direkte SSE-URL für Tools, die diese akzeptieren:

https://mcp.souhimbou.ai/sse

Cloud-Tool	Wo die MCP-URL hinzugefügt wird
Claude.ai (Pro/Team)	Einstellungen → Integrationen → MCP-Server
Cursor	.cursor/mcp.json → Feld url
OpenAI Assistants	API-Feld tools mit type: "mcp"
Glama.ai	Workspace → MCP-Server
Smithery.ai	Katalog → Self-hosted Server

Option 2 — mcp-remote-Proxy (lokales Binary hinter der Bridge)

Wenn Sie den souveränen Modus (null Egress) über einen Proxy an ein Cloud-Tool anbinden möchten:

# Install once
npm install -g mcp-remote

# Bridge your local sovereign instance
KHEPRA_MODE=sovereign mcp-remote \
  --server "docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest" \
  --port 3000

# Point cloud tool to:
# http://localhost:3000/sse

Sicherheitshinweis: Im Modus sovereign/ironbank führt KHEPRA keine Egress-Aufrufe aus — nur die Bridge-Verbindung zum Cloud-Tool überträgt Daten.

Option 3 — Smithery / MCP-Registries (Community-Stufe)

KHEPRA ist auf allen wichtigen MCP-Discovery-Plattformen gelistet. Cloud-Tools, die registry-basierte Discovery unterstützen, können es direkt installieren:

Registry	URL
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp
MCP Registry (offiziell)	registry.modelcontextprotocol.io/?q=khepra
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824
Live-gehosteter Endpunkt	mcp.souhimbou.ai

Registry ID: io.github.nouchix/pqc-khepra-mcp

---

Validierung — Testen Sie Ihre Installation

Führen Sie dies in Ihrem Terminal aus, um zu überprüfen, ob der Server korrekt antwortet:

# Docker
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

# Binary (Linux / macOS)
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

# Binary (Windows PowerShell)
'{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | & ".\khepra-mcp.exe"

Erwartete Ausgabe: eine JSON-RPC-Antwort, die alle verfügbaren Tools auflistet. Wenn Sie "tools": [...] mit 12+ Einträgen sehen — sind Sie verbunden.

Vollständige Protokollvalidierung (Windows)

# Runs the complete Claude Desktop handshake sequence and validates all responses
.\scripts\test-mcp-handshake.ps1 -BinaryPath ".\khepra-mcp.exe"

# Expected output:
# [PASS] initialize | protocolVersion=2025-11-25 | listChanged=False
# [PASS] tools/list | count=34
# TRL-10 READY - Server passes full Claude Desktop protocol validation

---

MCP-Tools

Community-Stufe (kostenloser Lead-Magnet — 14 Open-Core-Tools, keine STIG-DBs)

Der kostenlose Open-Core-Kernel bietet unmittelbaren Nutzen für einzelne Entwickler, KI-Coding-Agenten (Claude Code, Cursor, Antigravity, Cline) und Sicherheitsforscher:

• pqc_keygen: Generiert ML-DSA-65 (FIPS 204)-Post-Quanten-Schlüsselpaare.
• pqc_sign: Signiert beliebige Payloads mit Post-Quanten-Digital-Signaturen.
• pqc_verify: Verifiziert ML-DSA-65-Signaturen kryptografisch.
• flight_record: Manipulationssichere clientseitige Aufzeichnung von Agenten-Tool-Aufrufen in NDJSON-Hash-Ketten.
• flight_export: Exportiert lokale Flugaufzeichnungen mit DAG-Anker-Nachweis.
• agent_record: Attestiert die Ausführung von Agenten-Tools im lokalen SQLite-Ledger.
• dag_attestation: Exportiert den kryptografischen Audit-Trail der aktiven Sitzung.
• khepra_get_dag_chain: Ruft die kettenverknüpfte DAG-Knotenhistorie ab.
• enumerate_host: Lokale Systemumgebung, Schnittstellen und Architektur-Erkennung.
• fingerprint_device: Generiert einen manipulationssicheren Geräteidentitäts-Hash.
• discover_assets: Enumeriert erreichbare Netzwerkendpunkte und Laufzeitdienste lokal.
• kasa_status: Autonomer Agenten-Laufzeitstatus und Gesundheitsmetriken.
• threat_lookup: Lokaler Offline-Threat-IOC-Lookup.
• nist_map (Community-Teaser): Offline-semantischer Lookup über Basis-NIST-Controls (begrenzt auf 25 Einträge).

Hinweis: Der kostenlose Community-Kernel enthält keine STIG- oder Compliance-Datenbanken. Alle automatisierten DISA-STIG-Benchmarks, CMMC-L2/L3-Engines und Executive-Risk-Synthesen sind ausschließlich Teil des kommerziellen KTOS Master Kernel.

---

KTOS Master Kernel (kostenpflichtiges Upgrade — 100+ Enterprise- & Sovereign-Tools)

Upgraden Sie auf KTOS Platform ($499/Monat), Enterprise ($2.999/Monat) oder Sovereign ($45K–$250K/Jahr), um den vollständigen 100-Tool-Master-Kernel freizuschalten:

pqc_stig — weltweit erster DoD-PQC-STIG ⭐ (Enterprise / Sovereign)

Bewertet Quellcode und Infrastruktur gegen PQC-01-STIG-V1R1: 17 Controls, die die CNSA-2.0-Algorithmensuite (FIPS 203 ML-KEM-1024, FIPS 204 ML-DSA-87), hybride kryptografische Kapselung, Constant-Time-Validierung und die NSA MCP Security Advisory-Richtlinien abdecken.

ert_scan — Enterprise Risk & Threat Engine (Enterprise / Sovereign)

Multi-Package-Sicherheitsscanner (Pakete A, B, C, D), der Executive Godfather Reports mit dollar-denominierter FAIR-Risikoexposition und C3PAO-bereiter Attestierung erzeugt.

stig_check — Automatisierte STIG-Validierung (Enterprise / Sovereign)

Validiert Live-Systeme und Konfigurationsdateien gegen DISA RHEL-09-STIG- und Windows-Benchmarks.

cmmc_assess — CMMC Level 2/3 Autopilot (Enterprise / Sovereign)

Vollständige Reifegradbewertung über alle 110 CMMC-Level-2-Praktiken mit automatisierter POA&M-Erstellung.

khepra_query_stig — Relationale Compliance-Datenbank (Enterprise / Sovereign)

Vollzugriff auf die relationale Compliance-Datenbank mit 36.195 Zeilen (DISA STIG → CCI → NIST SP 800-53 Rev 5 → NIST SP 800-171 Rev 2 → CMMC 2.0).

godfather_report & godfather_approve (Platform / Enterprise)

Synthetisieren rohe Schwachstellen zu vorstandsfertigen Executive Briefs mit Remediation-ROI.

+ 80+ zusätzliche fortgeschrittene Tools

Enthält scan_shadow_ai, attest_ai_policy, linux_hardening_check, stig_live_query (Live DISA STIGViewer API v2), nhi_inventory, nhi_revoke, acp_issue, sekhem_gateway, ouroboros_waf_eye, sbom_generate, forensic_snapshot und autonome Host-Remediation-Playbooks.

---

Der Godfather Report

Anders als Compliance-Scanner, die eine Wand voller CVEs ausgeben, übersetzt KHEPRA die Befunde in die Sprache, die Führungskräfte verstehen:

Finding: RHEL-09-212030 — No FIPS-validated crypto on /etc/ssh
Severity: CAT I (HIGH)
Business Impact: $2.4M estimated breach exposure (FAIR model)
Remediation Cost: $800 (4 hours engineer time)
ROI: 3,000x

Jeder Befund enthält Control-ID, Framework-Zuordnung, geschäftliche Auswirkung in Dollar, geschätzte Remediation-Kosten und ROI.

---

Bereitstellungsmodi

Modus	Air-Gap	Egress	Telemetrie	Anwendungsfall
sovereign	✅ Ja	Null	Null	On-Prem, SCIF, klassifiziert (STANDARD)
ironbank	✅ Ja	Null	Null	DoD/IC-Produktion, nur FIPS
hybrid	❌ Nein	LAN	Null	Edge- + Cloud-Koordination
edge	❌ Nein	Uneingeschränkt	Null	Vollständig zustandsloses SaaS

Wird über die Umgebungsvariable KHEPRA_MODE festgelegt. Unbekannte Werte werden beim Start abgelehnt und fallen auf sovereign zurück (fail-closed).

---

Umgebungsvariablen

Variable	Erforderlich	Standard	Beschreibung
KHEPRA_LICENSE_KEY	Nur Pro/Enterprise/Sovereign	—	Lizenzschlüssel. Die Community-Stufe läuft ohne einen solchen. Erhältlich unter nouchix.com
KHEPRA_MODE	Nein	sovereign	Bereitstellungsmodus: sovereign, ironbank, hybrid, edge
KHEPRA_MANIFEST_PATH	Nein	manifest.json	Pfad zur signierten Tool-Manifest-Datei
KHEPRA_HOME	Nein	/var/lib/khepra	Verzeichnis für Daten und Compliance-DB
KHEPRA_LOG_DIR	Nein	/var/log/khepra	Log-Verzeichnis
KHEPRA_DAG_PATH	Nein	~/.khepra/dag	Speicherpfad der DAG-Audit-Kette
KHEPRA_AUDIT_LOG_PATH	Nein	~/.khepra/audit.ndjson	Pfad zum signierten Audit-Log
KHEPRA_MAX_CONCURRENT	Nein	5	Maximale gleichzeitige Tool-Aufrufe pro Agent
KHEPRA_NETWORK_POLICY	Nein	lan	Netzwerkbereich: lan, none, unrestricted
MCP_PQC_ENABLED	Nein	true	ML-DSA-65-PQC-Attestierung für alle Antworten aktivieren

---

Air-Gap- & SCIF-Bereitstellung

KHEPRA führt in den Modi sovereign und ironbank keine externen Netzwerkaufrufe durch:

• Lizenz offline validiert über eine ML-DSA-65-signierte license.adinkhepra-Datei
• Compliance-Datenbanken (36.195 Zuordnungen) im Container gebündelt — keine externen Downloads
• Keine Telemetrie, kein Heartbeat, kein Egress — auf der Transportschicht verifiziert

# Transfer image to air-gapped network
docker save ghcr.io/nouchix/pqc-khepra-mcp:latest | gzip > khepra-mcp.tar.gz

# On air-gapped host:
docker load < khepra-mcp.tar.gz

Hinweis zur Telemetrie: Das Tool dark_crypto_contribute (Community-Stufe) sendet anonymisierte Telemetrie zu kryptografischen Algorithmen an das Intelligenznetzwerk von SouHimBou AI nur, wenn es vom Benutzer ausdrücklich aufgerufen wird. Es wird niemals automatisch ausgelöst. Im Sovereign-/Ironbank-Modus werden alle Netzwerkaufrufe unabhängig davon auf der Transportschicht blockiert.

---

Compliance-Abdeckung

Framework	Version	Zuordnungen
STIG (RHEL 9)	V1R3	Automatisiertes Scannen
NIST 800-53	Rev 5	2.120 CCIs
NIST 800-171	Rev 2	320 Controls
CMMC	Level 3	Vollständiger Praktikensatz
FedRAMP	High	Baseline-Scanning
PQC-01-STIG-V1R1	V1R1	12 PQC-Controls (NouchiX-Control-Set; prüft CNSA-2.0-Algorithmen)
Gesamt		36.195+ Zuordnungen

---

Lizenzierung

Keine Kosten pro Token oder pro Abfrage in irgendeiner bezahlten Stufe.

Stufe	Kosten	Lizenzschlüssel	Tools
Community	Kostenlos	Nicht erforderlich	pqc_stig + 12 Kern-Tools
Pro	19 $/Monat	Erforderlich	Compliance-Reporting, ACP, NHI-Inventar, Autopilot
Enterprise	499 $/Monat	Erforderlich	Alle 76 Tools, Autopilot
Sovereign	Individuell — Vertrieb kontaktieren	Erforderlich	Alle 76 Tools + Air-Gap-/Offline-Lizenzierung + HSM, Autopilot

• Die Community-Stufe ist dauerhaft kostenlos — tragen Sie zur Open-Source-Einführung von PQC bei
• Pro/Enterprise: Self-Service-Abrechnung
• Sovereign: kontaktieren Sie contact@nouchix.com oder besuchen Sie nouchix.com

---

Sicherheit

Melden von Schwachstellen

Eröffnen Sie keine öffentlichen Issues für Sicherheitsschwachstellen.

Melden Sie vertraulich über GitHub Security Advisories oder per E-Mail an support@nouchix.com.

SLA	Ziel
Bestätigung	24 Stunden
Erste Bewertung	5 Werktage
Patch / Mitigation (Kritisch)	30 Tage

Wir akzeptieren verschlüsselte Meldungen über PGP (keys/security_contact.asc) und Post-Quantum-Kanäle (Dilithium-/ML-DSA-65-Schlüssel in keys/). Siehe SECURITY.md für die vollständige Offenlegungsrichtlinie und die ASAF-Ereignistaxonomie.

---

Sicherheitslage

Bereitstellung fortschrittlicher Post-Quantum-Kryptografie, Air-Gap-Isolation und umfassender STIG-Zuordnungen — in direkter Ausrichtung an den Model Context Protocol-Richtlinien von NSA und ASD.

Ausrichtung an NSA- & ASD-MCP-Sicherheit

Die NSA und das Australian Signals Directorate (ASD) haben spezifische Bedrohungsvektoren für KI-Systeme veröffentlicht, die mit lokalen Umgebungen interagieren. KHEPRA MCP ist ausdrücklich darauf ausgelegt, jeden identifizierten Vektor zu entschärfen:

NSA/ASD-Anforderung	KHEPRA-Implementierung
Kryptografische Validierung von Tool-Antworten	ML-DSA-65-(Dilithium-)Signaturen auf allen JSON-RPC-2.0-Payloads
Eingabevalidierung & -bereinigung	Parameter-Injection-Resistenz durch strikte JSON-Schema-Validierung
Least-Privilege-Anmeldedaten	Kurzlebige ephemere Tokens, gebunden an spezifische Task-Ausführungsfenster
Umfassendes Audit-Logging	Manipulationssichere Ereignisse, zusammengeführt in einer unveränderlichen DAG-Struktur
Begrenzung des Ressourcenverbrauchs	Rate Limiting + Backpressure für LLM-Anfrageschleifen
Autorisierungsschranken für sensible Aktionen	Human-in-the-Loop-Gate für destruktive Zustandsänderungen
Umgebungsisolation	Containerisierte Ausführung mit Sovereign-Modus ohne Egress
Integrität der Software-Lieferkette	Manifest-Pinning für alle geladenen Tools und Abhängigkeiten
Reduzierung der Netzwerkexposition	Air-Gap-fähig — kein Internet-Transit in den Modi sovereign/ironbank
Post-Quantum-Resilienz	PQC-signierte DAG-Spur zum Schutz gegen Harvest-Now-Decrypt-Later

Compliance-Zertifizierungen

Framework	Status	Abdeckung
CMMC Level 2	✅	Automatisiert die Evidenzerfassung für die Domänen AU, CM, SI, SC
NIST SP 800-171 Rev 2	✅	Logging, Rechenschaftspflicht, Systemintegrität
NIST SP 800-53 Rev 5	✅	Kontinuierliche Überwachung (AU-2, SI-4)
FIPS 203 (ML-KEM)	🟡	Heute vorstandardisiertes Kyber-1024; Migration auf ML-KEM-1024 in Arbeit
FIPS 204 (ML-DSA)	✅	Digitale Signaturen für die Payload-Authentifizierung
NSM-10 PQC-Mandat	✅	Konformität mit National Security Memorandum 10
DFARS 252.204-7012	✅	Unveränderliche forensische Spuren für die Meldung von Cyber-Vorfällen
NSA MCP-Sicherheitsrichtlinien	✅	Direkte Zuordnung zu allen veröffentlichten Bedrohungsentschärfungen für KI-Agenten

Live-Bereitstellung — Physischer Edge

Läuft seit dem 12. Mai 2026 kontinuierlich auf leistungsbeschränkter Edge-Hardware, um Effizienz in souveränen Umgebungen zu belegen:

• Hardware: Raspberry Pi 2 · 1 GB RAM · 900 MHz ARM · Live Spectrum Router
• SCADA-Pod: STM32U585 / QRB2210 · Modbus TCP · MQTT · Zephyr RTOS 3.4+ · Live-Dilithium-Signaturverifikation
• Aktive Controls: 3 offene Ports abgesichert · 12 STIG-Verstöße erkannt · 100 % Dateiintegritätsüberwachung (AIDE) · 24/7-Dauerbetrieb

Akademische Validierung

Veranstaltung	Datum	Institution
UAlbany AI Plus Symposium 2026 — „KHEPRA Protocol: Quantum-Resilient Agentic AI Security Using Cultural Cryptography"	7. März 2026	NSA CAE-CDE-Institution · 200+ Publikum
SUNY Albany Cybersecurity Showcase — Erste PQC-Schlüsselzeremonie auf einem Gerät der STM32-Klasse (SCADA-Pod)	12.–13. Mai 2026	Live-Demo · SCADA-Architektur-Poster

USPTO vorläufige Patentanmeldung Nr. 63/942,886 — anhängig.
🔒 Iron-Bank-Container im DISA-Prüfverfahren.

---

Open-Core-Architekturhinweis

PQC-Khepra-MCP ist ein Open-Source-Model-Context-Protocol-Server, der Post-Quantum-Signierung (ML-DSA-65, FIPS 204), vorstandardisierte Kyber-1024-Schlüsselkapselung und Compliance-Tooling bereitstellt.

Proprietäre Runtime-Governance-Engines — einschließlich des KHEPRA Trust Operating System (KTOS), des ASAF Policy Declaration Language (APDL) Compiler, des Evolutionary Algorithm Lattice Auto-Tuning Kernel, des SEKHEM Polymorphic WAF Gateway und des Full-Stealth Sovereign Mesh — sind Komponenten von Khepra Enterprise und werden unter kommerziellen Bedingungen lizenziert.

---

Finden Sie uns — MCP-Registry-Einträge

PQC-Khepra-MCP ist auf jeder wichtigen MCP-Discovery-Plattform gelistet:

Plattform	Link	Hinweise
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp	Ein-Klick-Installation für Claude, Cursor, Windsurf
MCP Registry (offiziell)	registry.modelcontextprotocol.io/?q=khepra	Von Anthropic kuratiertes Registry — Registry-ID: io.github.nouchix/pqc-khepra-mcp
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp	Community-Discovery-Index
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824	VS Code / Cline Extension-Marketplace
Live-gehosteter Endpunkt	mcp.souhimbou.ai	SSE-Endpunkt ohne Installation — Verbindung in 30 Sekunden

---

Über NouchiX

Veteranengeführtes Beratungsunternehmen, das CMMC-, NIST- und STIG-Mandate in Executive-Roadmaps übersetzt.

• Vertrieb / Allgemein: contact@nouchix.com
• Support: support@nouchix.com
• Website: https://nouchix.com
• Telefon: (518) 304-4450

Entwickelt von SecRed Knowledge Inc. dba NouchiX, Albany, NY.

---

📋 TC-25 Operator-Handbuch & Developer-Runbook

PQC-Khepra-MCP ist der Open-Core-Agentenkanal der KHEPRA Trust OS (KTOS)-Architektur:

• TC-25 Technical Operator & Maintenance Manual — Training Circular No. 25-KTOS-001 mit Four-Layer Sovereign Architecture, taktischer RF-Anti-Jamming-Suite, Windows Event Viewer-Hierarchie (IDs 1001–1050) und Triple-Engine Adversarial Neutralization (92/92 verifiziert · 100 % Zero-Bypass).
• Developer Installation & Troubleshooting Runbook — Schritt-für-Schritt-Runbook für Master Dev Machines, Antigravity IDE (mcp_config.json), Claude Code (.claude.json) und Sovereign-Linux-VPS-Bereitstellung.

Einheitliche KTOS-Produktoberflächen

• Ebene 4 — KTOS-MCP Master-Kernel (mcp.souhimbou.ai): 100 native Tools, ML-DSA-65 Post-Quantum-Signierung, SEKHEM L7 WAF Prompt-Abwehr, Event Viewer-Protokollierung, Tactical RF Suite.
• Ebene 3a — KTOS CMMC Hub & Fleet Engine (adinkhepra.com): Souveräner Bare-Metal- & osquery Fleet Manager für CMMC/STIG-Compliance-Audits.
• Ebene 3b — KTOS Agentic SOC (souhimbou.ai): Cloud Agentic SOC & AI Security Architect mit autonomem Flight Recorder SDK und KASA-Bedrohungserkennung.
• Ebene 2 — Gemeinsames Vertrauenssubstrat: 36.195 frameworkübergreifende Compliance-Zuordnungen, ML-DSA-65 (FIPS 204) / Kyber-1024 (Vorstandard), unveränderliche DAG-Attestierung.
• Ebene 1 — KHEPRA-Protokoll: Patentangemeldete nichtlineare kryptografische Attestierung (USPTO #73565085).

Dreifach-Engine-Adversarial-Neutralisierung (TriPentest · 92/92 verifiziert · 100,00 % Zero-Bypass-Rate)

• CyberStryke Automated Assault (30/30): SQLi, XSS, Path Traversal, Null-Byte-Escapes, Prompt-Injections, Egress-Datenoffenlegung neutralisiert.
• AgentHound Offensive Security Framework (28/28): MCP-Tool-Beschreibungsvergiftung (POISONED_DESCRIPTION), Tool-Shadowing (SHADOWS), A2A-Identitätsvortäuschung (CAN_IMPERSONATE), indirekte Tool-Ausführung (CAN_EXECUTE), Context-Window-Kontaminierung (TAINTS) und Verstöße gegen die Informationsflusskontrolle (IFC_VIOLATION) neutralisiert.
• HexStrike AI Autonomous Red Team Battery (34/34): FastMCP-Schema-Fuzzing, Nuclei-Template-RCEs, Metasploit-Stager, Sqlmap-Stacked-/OOB-Injections, SUID-/Sudo-Escapes und verdeckte C2-/Egress-Tunnelung neutralisiert.