PQC KHEPRA MCP Server

PQC-Khepra-MCP

Kernel de registro de vuelo autónomo y criptografía post-cuántica para agentes de IA.

Aislable por aire (air-gap). Cero telemetría en la nube. Cero sobrecarga de tokens.
Proporciona firmas post-cuánticas ML-DSA-87 (FIPS 204) y ML-KEM-1024 (FIPS 203) en cada llamada a herramientas, registro de vuelo NDJSON autónomo del lado del cliente y descubrimiento local de hosts/activos. Código disponible bajo la Licencia Pública y Comercial Soberana KHEPRA (KSCL-1.0): gratuita para uso comunitario y de evaluación; el uso comercial en producción requiere una suscripción. Consulte LICENSE.

Referencia de patente: Patente en trámite · Solicitud Provisional de EE. UU. N.º 63/942,886 (EFS ID: 73565085)
Identidad corporativa: SecRed Knowledge Inc. (operando como NouchiX) — C-Corp de Delaware (EIN 99-0529252), elegible para SDVOSB (solicitud SBA VetCert en trámite), Habilitación de Seguridad Activa (Active Secret Clearance).
Endpoint alojado en vivo: https://mcp.souhimbou.ai/sse — sin instalación, conéctese en 30 segundos.
Autoalojamiento para entornos soberanos/air-gap: Docker o binario.

---

Arquitectura: Kernel Comunitario Gratuito vs. Plataforma Comercial KTOS

Para garantizar límites comerciales claros para socios, contratistas de defensa y desarrolladores, el ecosistema KHEPRA opera en dos capas distintas:

Capa	Producto	Licencia	Alcance y capacidades
Capa 1	PQC-Khepra-MCP (este repositorio)	KSCL-1.0 (código disponible)	Kernel Comunitario Gratuito: firma post-cuántica ML-DSA-65 (FIPS 204), registro de vuelo autónomo del lado del cliente, registro de agentes, enumeración local de hosts/activos y búsqueda de amenazas. Cero bases de datos STIG o de cumplimiento.
Capa 2	KHEPRA Trust OS (KTOS)	Comercial ($499/mes a $250K/año)	SO de Prueba y Actuación Soberano: 36.195 mapeos de cumplimiento entre marcos, cruces por lotes en vivo con la API v2 de DISA STIGViewer, evaluaciones CMMC Nivel 2/3, motores multipaquete ERT, paquetes de evidencia automatizados para C3PAO (OSCAL, DISA CKLB, POA&M firmados) y remediación autónoma acotada de hosts.

---

Niveles y control de acceso (El modelo comercial y soberano de 4 niveles)

Nivel	Precio	Cuota	Herramientas y capacidades restringidas	Enfoque
Community	$0 / Gratis (Open-Core)	500 créditos	14 herramientas principales (pqc_keygen, pqc_sign, pqc_verify, flight_record, flight_export, agent_record, dag_attestation, khepra_get_dag_chain, enumerate_host, fingerprint_device, discover_assets, kasa_status, threat_lookup, avance de nist_map)	Firma PQC de código abierto, registro de vuelo, descubrimiento local
Platform	$499 / mes (autoservicio)	3.000 créditos	Más de 50 herramientas (+ barrido multicarril OmniScan, descubrimiento de Shadow AI, API v2 de STIGViewer en vivo, flujo SIEM OCSF)	Equipos de ingeniería y operaciones de SOC comerciales
Enterprise	$2.999 / mes	15.000 créditos	Más de 85 herramientas (+ SOC agéntico completo, SEKHEM L7 PQC-WAF, Supervisor de enclave PTY, Daemon de remediación ASAF, pruebas Z3 SMT)	Flotas empresariales de agentes y automatización del cumplimiento
Sovereign	$45K – $250K / año	Más de 100.000 créditos	Las 100 herramientas (+ air-gap en bare-metal, Fleet Manager de osquery, piloto automático CMMC L2/L3, antiinterferencia RF táctica, telemetría de Windows EventLog)	Contratistas de defensa, C3PAO, primes federales y GovCloud

---

Qué hace (Kernel Comunitario Gratuito)

PQC-Khepra-MCP conecta su asistente de IA (Claude Code, Cursor, Antigravity, Cline) directamente a una capa de seguridad criptográfica post-cuántica:

• Firma ML-DSA-65: firma post-cuántica FIPS 204 en cada llamada a herramientas y atestación DAG. La encapsulación de claves es CRYSTALS-Kyber-1024 preestándar; la migración a ML-KEM-1024 de FIPS 203 está en curso.
• Registro de vuelo autónomo: registra automáticamente todas las invocaciones de herramientas del agente, entradas y resultados en cadenas de hash NDJSON a prueba de manipulación.
• Descubrimiento local de hosts y activos: enumera entornos de ejecución del sistema, interfaces de red y propiedades del entorno de forma local.
• Operación air-gap y soberana: funciona 100 % sin conexión, con cero telemetría en la nube o llamadas de salida.
• Licencia KSCL-1.0: uso comunitario y de evaluación gratuito. El uso comercial en producción, el despliegue empresarial y el alojamiento de servicios gestionados requieren un acuerdo comercial; consulte LICENSE.

Inicio rápido — Endpoint alojado (sin instalación)

La vía más rápida para tener una herramienta de cumplimiento en vivo en su cliente de IA. Sin Docker, sin binario, sin compilación:

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

O si su cliente admite transporte SSE nativo:

https://mcp.souhimbou.ai/sse

Verificación de estado: https://mcp.souhimbou.ai/mcp/v1/health

Nota sobre datos: el endpoint alojado se ejecuta en modo edge — el DAG está en memoria y es efímero. Para pistas de auditoría firmadas y persistentes y despliegue air-gap, use las opciones de autoalojamiento a continuación.

---

Instalación autoalojada

Para despliegue soberano/air-gap: Docker (recomendado, sin compilación) o binario compilado (arranque más rápido, listo para SCIF). Ambos admiten las mismas variables de entorno y todos los clientes MCP.

Elija su ruta:

Método	Ideal para	Arranque
Endpoint alojado	Inicio más rápido, herramientas en la nube	Instantáneo
Docker	La mayoría de usuarios, autoalojamiento más sencillo	~2 s
Binario compilado	Air-gap, SCIF, rendimiento	~300 ms

---

Opción A: Docker (recomendado)

Requiere Docker Desktop o Docker Engine. La imagen está precompilada e incluye la base de datos de cumplimiento completa — sin descargas adicionales en modo soberano.

# Pull once
docker pull ghcr.io/nouchix/pqc-khepra-mcp:latest

# Test it (should print the initialize response and exit)
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

---

Opción B: Binario compilado

Requiere Go 1.21+ para compilar, o descargue una versión precompilada desde GitHub Releases.

git clone https://github.com/nouchix/PQC-Khepra-MCP.git
cd PQC-Khepra-MCP

# Build (cross-compile for your OS)
go build -o khepra-mcp ./cmd/khepra-mcp        # Linux / macOS
go build -o khepra-mcp.exe ./cmd/khepra-mcp    # Windows

# Test the binary
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

Windows — usando el lanzador por lotes

El repositorio incluye un lanzador run-mcp.bat para Windows. Usa el binario precompilado (ruta rápida) y recurre automáticamente a go run:

:: run-mcp.bat is already in the repo at the root of PQC-Khepra-MCP
:: Point your MCP client to: cmd /c C:\path\to\PQC-Khepra-MCP\run-mcp.bat

---

Añadir a su cliente de IA

Claude Desktop

Ubicación del archivo de configuración:

• macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
• Windows: %APPDATA%\Claude\claude_desktop_config.json
• Linux: ~/.config/Claude/claude_desktop_config.json

Nivel Community — Docker (macOS / Linux)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Nivel Community — Docker (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "C:\\Users\\YourName\\.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Nivel Community — Binario (Windows, arranque más rápido)

{
  "mcpServers": {
    "khepra": {
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

Nivel Community — Binario mediante lanzador por lotes (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "cmd",
      "args": ["/c", "C:\\path\\to\\PQC-Khepra-MCP\\run-mcp.bat"],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true"
      }
    }
  }
}

Nivel Pro / Enterprise / Sovereign (con clave de licencia)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_LICENSE_KEY",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "-v", "/var/log/khepra:/var/log/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ],
      "env": {
        "KHEPRA_LICENSE_KEY": "YOUR_LICENSE_KEY_HERE"
      }
    }
  }
}

Tras editar, reinicie Claude Desktop. Verifique en Settings → Developer — debería ver khepra con estado running y todas las herramientas listadas.

---

Cursor

Archivo de configuración: .cursor/mcp.json en la raíz de su proyecto, o ~/.cursor/mcp.json de forma global.

Docker (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Binario (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "/path/to/khepra-mcp",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "/path/to/PQC-Khepra-MCP/manifest.json"
      }
    }
  }
}

Binario (Windows)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

---

VS Code (con GitHub Copilot o la extensión Cline)

Archivo de configuración: .vscode/mcp.json en su proyecto, o en la configuración de usuario.

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "${env:HOME}/.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

O mediante el settings.json de usuario para la extensión Cline:

{
  "cline.mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Windsurf

Archivo de configuración: ~/.codeium/windsurf/mcp_config.json

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Continue.dev

Archivo de configuración: ~/.continue/config.json — añada al arreglo experimental.modelContextProtocolServers:

{
  "experimental": {
    "modelContextProtocolServers": [
      {
        "name": "khepra",
        "transport": {
          "type": "stdio",
          "command": "docker",
          "args": [
            "run", "--rm", "-i",
            "-e", "KHEPRA_MODE=sovereign",
            "ghcr.io/nouchix/pqc-khepra-mcp:latest"
          ]
        }
      }
    ]
  }
}

---

Herramientas de IA en la nube / SaaS (Claude.ai, ChatGPT, Gemini, etc.)

Use el endpoint alojado en vivo en mcp.souhimbou.ai — sin configuración:

Opción 1 — Endpoint alojado en vivo (recomendado, sin configuración)

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

O URL SSE directa para herramientas que la acepten:

https://mcp.souhimbou.ai/sse

Herramienta en la nube	Dónde añadir la URL MCP
Claude.ai (Pro/Team)	Settings → Integrations → MCP Servers
Cursor	.cursor/mcp.json → campo url
OpenAI Assistants	Campo tools de la API con type: "mcp"
Glama.ai	Workspace → MCP Servers
Smithery.ai	Catalog → Self-hosted server

Opción 2 — Proxy mcp-remote (binario local detrás del puente)

Si necesita modo soberano (cero salida) con proxy hacia una herramienta en la nube:

# Install once
npm install -g mcp-remote

# Bridge your local sovereign instance
KHEPRA_MODE=sovereign mcp-remote \
  --server "docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest" \
  --port 3000

# Point cloud tool to:
# http://localhost:3000/sse

Nota de seguridad: en modo sovereign/ironbank, KHEPRA no realiza ninguna llamada de salida — solo la conexión del puente hacia la herramienta en la nube transporta datos.

Opción 3 — Smithery / Registros MCP (nivel Community)

KHEPRA está listado en todas las principales plataformas de descubrimiento MCP. Las herramientas en la nube que admiten descubrimiento basado en registros pueden instalarlo directamente:

Registro	URL
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp
MCP Registry (oficial)	registry.modelcontextprotocol.io/?q=khepra
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824
Endpoint alojado en vivo	mcp.souhimbou.ai

Registry ID: io.github.nouchix/pqc-khepra-mcp

---

Validación — Pruebe su instalación

Ejecute esto desde su terminal para verificar que el servidor responde correctamente:

# Docker
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

# Binary (Linux / macOS)
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

# Binary (Windows PowerShell)
'{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | & ".\khepra-mcp.exe"

Salida esperada: una respuesta JSON-RPC que lista todas las herramientas disponibles. Si ve "tools": [...] con más de 12 entradas — está conectado.

Validación completa del protocolo (Windows)

# Runs the complete Claude Desktop handshake sequence and validates all responses
.\scripts\test-mcp-handshake.ps1 -BinaryPath ".\khepra-mcp.exe"

# Expected output:
# [PASS] initialize | protocolVersion=2025-11-25 | listChanged=False
# [PASS] tools/list | count=34
# TRL-10 READY - Server passes full Claude Desktop protocol validation

---

Herramientas MCP

Nivel Community (gancho gratuito — 14 herramientas open-core, cero bases de datos STIG)

El kernel open-core gratuito ofrece utilidad inmediata para desarrolladores individuales, agentes de codificación de IA (Claude Code, Cursor, Antigravity, Cline) e investigadores de seguridad:

• pqc_keygen: genera pares de claves post-cuánticas ML-DSA-65 (FIPS 204).
• pqc_sign: firma cargas arbitrarias con firmas digitales post-cuánticas.
• pqc_verify: verifica criptográficamente firmas ML-DSA-65.
• flight_record: registro del lado del cliente a prueba de manipulación de invocaciones de herramientas del agente en cadenas de hash NDJSON.
• flight_export: exporta registros de vuelo locales con prueba de anclaje DAG.
• agent_record: atestigua la ejecución de herramientas del agente en el libro mayor SQLite local.
• dag_attestation: exporta la pista de auditoría criptográfica de la sesión activa.
• khepra_get_dag_chain: recupera el historial de nodos DAG enlazados en cadena.
• enumerate_host: descubrimiento del entorno del sistema local, interfaces y arquitectura.
• fingerprint_device: genera un hash de identidad de dispositivo a prueba de manipulación.
• discover_assets: enumera endpoints de red alcanzables y servicios de ejecución de forma local.
• kasa_status: estado de ejecución y métricas de salud del agente autónomo.
• threat_lookup: búsqueda local de IOC de amenazas sin conexión.
• nist_map (avance Community): búsqueda semántica sin conexión en los controles base de NIST (limitada a 25 elementos).

Nota: el Kernel Comunitario Gratuito contiene cero bases de datos STIG o de cumplimiento. Todos los benchmarks automatizados DISA STIG, los motores CMMC L2/L3 y las síntesis ejecutivas de riesgo forman parte exclusivamente del KTOS Master Kernel comercial.

---

KTOS Master Kernel (actualización de pago — más de 100 herramientas empresariales y soberanas)

Actualice a KTOS Platform ($499/mes), Enterprise ($2.999/mes) o Sovereign ($45K–$250K/año) para desbloquear el Master Kernel completo de 100 herramientas:

pqc_stig — Primer STIG PQC del DoD en el mundo ⭐ (Enterprise / Sovereign)

Evalúa código fuente e infraestructura frente a PQC-01-STIG-V1R1: 17 controles que cubren el conjunto de algoritmos CNSA 2.0 (FIPS 203 ML-KEM-1024, FIPS 204 ML-DSA-87), encapsulación criptográfica híbrida, validación en tiempo constante y las directrices del Aviso de Seguridad MCP de la NSA.

ert_scan — Motor de riesgo y amenazas empresarial (Enterprise / Sovereign)

Escáner de seguridad multipaquete (Paquetes A, B, C, D) que genera Godfather Reports ejecutivos con exposición al riesgo FAIR denominada en dólares y atestación lista para C3PAO.

stig_check — Validación automatizada de STIG (Enterprise / Sovereign)

Valida sistemas en vivo y archivos de configuración contra DISA RHEL-09-STIG y los benchmarks de Windows.

cmmc_assess — Piloto automático CMMC Nivel 2/3 (Enterprise / Sovereign)

Evaluación completa de madurez en las 110 prácticas de CMMC Nivel 2 con generación automatizada de POA&M.

khepra_query_stig — Base de datos relacional de cumplimiento (Enterprise / Sovereign)

Acceso completo a la base de datos relacional de cumplimiento de 36.195 filas (DISA STIG → CCI → NIST SP 800-53 Rev 5 → NIST SP 800-171 Rev 2 → CMMC 2.0).

godfather_report y godfather_approve (Platform / Enterprise)

Sintetiza vulnerabilidades en bruto en informes ejecutivos listos para la junta directiva con ROI de remediación.

+ Más de 80 herramientas avanzadas adicionales

Incluye scan_shadow_ai, attest_ai_policy, linux_hardening_check, stig_live_query (API v2 en vivo de DISA STIGViewer), nhi_inventory, nhi_revoke, acp_issue, sekhem_gateway, ouroboros_waf_eye, sbom_generate, forensic_snapshot, y playbooks autónomos de remediación de hosts.

---

El Informe Godfather

A diferencia de los escáneres de cumplimiento que generan un muro de CVE, KHEPRA traduce los hallazgos al lenguaje que les importa a los ejecutivos:

Finding: RHEL-09-212030 — No FIPS-validated crypto on /etc/ssh
Severity: CAT I (HIGH)
Business Impact: $2.4M estimated breach exposure (FAIR model)
Remediation Cost: $800 (4 hours engineer time)
ROI: 3,000x

Cada hallazgo incluye el ID de control, el mapeo al framework, el impacto empresarial en dólares, la estimación del costo de remediación y el ROI.

---

Modos de despliegue

Modo	Air-Gap	Salida	Telemetría	Caso de uso
sovereign	✅ Sí	Cero	Cero	On-prem, SCIF, clasificado (PREDETERMINADO)
ironbank	✅ Sí	Cero	Cero	Producción DoD/IC, solo FIPS
hybrid	❌ No	LAN	Cero	Coordinación edge + nube
edge	❌ No	Sin restricciones	Cero	SaaS totalmente sin estado

Se configura mediante la variable de entorno KHEPRA_MODE. Los valores desconocidos se rechazan al inicio y se recurre a sovereign (fail-closed).

---

Variables de entorno

Variable	Obligatoria	Predeterminado	Descripción
KHEPRA_LICENSE_KEY	Solo Pro/Enterprise/Sovereign	—	Clave de licencia. El nivel Community funciona sin una. Obténla en nouchix.com
KHEPRA_MODE	No	sovereign	Modo de despliegue: sovereign, ironbank, hybrid, edge
KHEPRA_MANIFEST_PATH	No	manifest.json	Ruta al archivo de manifiesto de herramientas firmado
KHEPRA_HOME	No	/var/lib/khepra	Directorio de datos y de la base de datos de cumplimiento
KHEPRA_LOG_DIR	No	/var/log/khepra	Directorio de registros
KHEPRA_DAG_PATH	No	~/.khepra/dag	Ruta de almacenamiento de la cadena de auditoría DAG
KHEPRA_AUDIT_LOG_PATH	No	~/.khepra/audit.ndjson	Ruta del registro de auditoría firmado
KHEPRA_MAX_CONCURRENT	No	5	Máximo de llamadas concurrentes a herramientas por agente
KHEPRA_NETWORK_POLICY	No	lan	Alcance de red: lan, none, unrestricted
MCP_PQC_ENABLED	No	true	Habilita la atestación PQC ML-DSA-65 en todas las respuestas

---

Despliegue Air-Gap y SCIF

KHEPRA realiza cero llamadas de red externas en los modos sovereign y ironbank:

• Licencia validada sin conexión mediante un archivo license.adinkhepra firmado con ML-DSA-65
• Bases de datos de cumplimiento (36.195 mapeos) incluidas en el contenedor — sin descargas externas
• Sin telemetría, sin heartbeat, sin salida — verificado en la capa de transporte

# Transfer image to air-gapped network
docker save ghcr.io/nouchix/pqc-khepra-mcp:latest | gzip > khepra-mcp.tar.gz

# On air-gapped host:
docker load < khepra-mcp.tar.gz

Nota sobre la telemetría: La herramienta dark_crypto_contribute (nivel Community) envía telemetría criptográfica de algoritmos anonimizada a la red de inteligencia de SouHimBou AI solo cuando el usuario la invoca explícitamente. Nunca se activa automáticamente. En modo sovereign/ironbank, todas las llamadas de red se bloquean en la capa de transporte de todos modos.

---

Cobertura de cumplimiento

Framework	Versión	Mapeos
STIG (RHEL 9)	V1R3	Escaneo automatizado
NIST 800-53	Rev 5	2.120 CCI
NIST 800-171	Rev 2	320 controles
CMMC	Nivel 3	Conjunto completo de prácticas
FedRAMP	High	Escaneo de línea base
PQC-01-STIG-V1R1	V1R1	12 controles PQC (conjunto de controles NouchiX; verifica algoritmos CNSA 2.0)
Total		Más de 36.195 mapeos

---

Licenciamiento

Sin cargos por token ni por consulta en ningún nivel de pago.

Nivel	Costo	Clave de licencia	Herramientas
Community	Gratis	No requerida	pqc_stig + 12 herramientas principales
Pro	$19/mes	Requerida	Informes de cumplimiento, ACP, inventario NHI, piloto automático
Enterprise	$499/mes	Requerida	Las 76 herramientas, piloto automático
Sovereign	Personalizado — Contactar a Ventas	Requerida	Las 76 herramientas + licenciamiento air-gap/sin conexión + HSM, piloto automático

• El nivel Community es gratuito de forma permanente — contribuye a la adopción de PQC de código abierto
• Pro/Enterprise: facturación de autoservicio
• Sovereign: contacta a contact@nouchix.com o visita nouchix.com

---

Seguridad

Reporte de vulnerabilidades

No abras issues públicos para vulnerabilidades de seguridad.

Reporta de forma privada mediante GitHub Security Advisories o por correo a support@nouchix.com.

SLA	Objetivo
Acuse de recibo	24 horas
Evaluación inicial	5 días hábiles
Parche / mitigación (Crítica)	30 días

Aceptamos reportes cifrados mediante PGP (keys/security_contact.asc) y canales Post-Quantum (claves Dilithium / ML-DSA-65 en keys/). Consulta SECURITY.md para la política de divulgación completa y la taxonomía de eventos ASAF.

---

Postura de seguridad

Despliegue de criptografía post-cuántica avanzada, aislamiento air-gapped y mapeos STIG integrales — construido en alineación directa con las directrices del Model Context Protocol de la NSA y la ASD.

Alineación de seguridad MCP con NSA y ASD

La NSA y la Dirección de Señales de Australia (ASD) han publicado vectores de amenaza específicos para sistemas de IA que interactúan con entornos locales. KHEPRA MCP está diseñado explícitamente para mitigar cada vector identificado:

Requisito NSA/ASD	Implementación de KHEPRA
Validación criptográfica de respuestas de herramientas	Firmas ML-DSA-65 (Dilithium) en todas las cargas útiles JSON-RPC 2.0
Validación y saneamiento de entradas	Resistencia a la inyección de parámetros mediante validación estricta de JSON Schema
Credenciales con privilegio mínimo	Tokens efímeros de corta duración vinculados a ventanas específicas de ejecución de tareas
Registro de auditoría integral	Eventos a prueba de manipulación compilados en una estructura DAG inmutable
Límites de consumo de recursos	Limitación de tasa + contrapresión para bucles de solicitudes de LLM
Puertas de autorización para acciones sensibles	Puerta de intervención humana para cambios de estado destructivos
Aislamiento del entorno	Ejecución en contenedores con modo sovereign de cero salida
Integridad de la cadena de suministro de software	Fijación de manifiestos para todas las herramientas y dependencias cargadas
Reducción de la exposición de red	Compatible con air-gap — cero tránsito a internet en los modos sovereign/ironbank
Resiliencia post-cuántica	Rastro DAG firmado con PQC que protege contra harvest-now-decrypt-later

Certificaciones de cumplimiento

Framework	Estado	Cobertura
CMMC Nivel 2	✅	Automatiza la recopilación de evidencias para los dominios AU, CM, SI, SC
NIST SP 800-171 Rev 2	✅	Registro, rendición de cuentas, integridad del sistema
NIST SP 800-53 Rev 5	✅	Monitoreo continuo (AU-2, SI-4)
FIPS 203 (ML-KEM)	🟡	Kyber-1024 preestándar hoy; migración a ML-KEM-1024 en curso
FIPS 204 (ML-DSA)	✅	Firmas digitales para autenticación de cargas útiles
Mandato PQC NSM-10	✅	Cumplimiento del Memorando de Seguridad Nacional 10
DFARS 252.204-7012	✅	Rastros forenses inmutables para el reporte de incidentes cibernéticos
Directrices de seguridad MCP de la NSA	✅	Mapeo directo a todas las mitigaciones de amenazas publicadas para agentes de IA

Despliegue en vivo — Edge físico

En funcionamiento continuo en hardware edge limitado desde el 12 de mayo de 2026 para demostrar la eficiencia en entornos soberanos:

• Hardware: Raspberry Pi 2 · 1 GB de RAM · ARM de 900 MHz · Router Spectrum en vivo
• Pod SCADA: STM32U585 / QRB2210 · Modbus TCP · MQTT · Zephyr RTOS 3.4+ · Verificación de firmas Dilithium en vivo
• Controles activos: 3 puertos abiertos asegurados · 12 violaciones de STIG detectadas · 100% de monitoreo de integridad de archivos (AIDE) · Operación continua 24/7

Validación académica

Evento	Fecha	Institución
UAlbany AI Plus Symposium 2026 — "KHEPRA Protocol: Quantum-Resilient Agentic AI Security Using Cultural Cryptography"	7 de marzo de 2026	Institución NSA CAE-CDE · Más de 200 asistentes
SUNY Albany Cybersecurity Showcase — Primera ceremonia de claves PQC en un dispositivo de clase STM32 (Pod SCADA)	12–13 de mayo de 2026	Demostración en vivo · Póster de arquitectura SCADA

Solicitud de patente provisional de la USPTO N.º 63/942,886 — pendiente.
🔒 Contenedores Iron Bank en proceso de evaluación de DISA.

---

Aviso de arquitectura open-core

PQC-Khepra-MCP es un servidor Model Context Protocol de código abierto que proporciona firma post-cuántica (ML-DSA-65, FIPS 204), encapsulación de claves Kyber-1024 preestándar y herramientas de cumplimiento.

Los motores propietarios de gobernanza en tiempo de ejecución —incluidos el KHEPRA Trust Operating System (KTOS), el Compilador del Lenguaje de Declaración de Políticas ASAF (APDL), el Kernel de Autoajuste de Retícula por Algoritmo Evolutivo, la Pasarela WAF Polimórfica SEKHEM y la Malla Soberana de Sigilo Total— son componentes de Khepra Enterprise y están licenciados bajo términos comerciales.

---

Encuéntranos — Listados en el registro MCP

PQC-Khepra-MCP está listado en todas las principales plataformas de descubrimiento de MCP:

Plataforma	Enlace	Notas
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp	Instalación con un clic para Claude, Cursor, Windsurf
MCP Registry (oficial)	registry.modelcontextprotocol.io/?q=khepra	Registro curado por Anthropic — ID de registro: io.github.nouchix/pqc-khepra-mcp
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp	Índice de descubrimiento comunitario
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824	Marketplace de extensiones de VS Code / Cline
Endpoint alojado en vivo	mcp.souhimbou.ai	Endpoint SSE sin instalación — conéctate en 30 segundos

---

Acerca de NouchiX

Firma de asesoría liderada por veteranos que traduce los mandatos de CMMC, NIST y STIG en hojas de ruta ejecutivas.

• Ventas / General: contact@nouchix.com
• Soporte: support@nouchix.com
• Sitio web: https://nouchix.com
• Teléfono: (518) 304-4450

Desarrollado por SecRed Knowledge Inc. dba NouchiX, Albany, NY.

---

📋 Manual del operador TC-25 y runbook para desarrolladores

PQC-Khepra-MCP es el canal de agentes open-core de la arquitectura KHEPRA Trust OS (KTOS):

• Manual técnico de operación y mantenimiento TC-25 — Circular de entrenamiento N.º 25-KTOS-001 que cubre la Arquitectura Soberana de Cuatro Capas, la suite táctica de RF antiinterferencia, la jerarquía del Visor de Eventos de Windows (IDs 1001–1050) y la Neutralización Adversaria de Triple Motor (92/92 Verificado · 100% Cero Bypass).
• Runbook de instalación y solución de problemas para desarrolladores — Runbook paso a paso para Master Dev Machines, Antigravity IDE (mcp_config.json), Claude Code (.claude.json) y despliegue en VPS Linux Soberano.

Superficies Unificadas del Producto KTOS

• Capa 4 — KTOS-MCP Master-Kernel (mcp.souhimbou.ai): 100 herramientas nativas, firma post-cuántica ML-DSA-65, defensa de prompts SEKHEM L7 WAF, registro en Event Viewer, suite de RF Táctica.
• Capa 3a — KTOS CMMC Hub & Fleet Engine (adinkhepra.com): Gestor de flota soberano bare-metal y osquery para auditorías de cumplimiento CMMC/STIG.
• Capa 3b — KTOS Agentic SOC (souhimbou.ai): SOC Agéntico en la Nube y Arquitecto de Seguridad de IA con SDK Flight Recorder autónomo y detector de amenazas KASA.
• Capa 2 — Substrato de Confianza Compartido: 36.195 mapeos de cumplimiento entre marcos, ML-DSA-65 (FIPS 204) / Kyber-1024 (pre-estándar), atestación DAG inmutable.
• Capa 1 — Protocolo KHEPRA: Atestación criptográfica no lineal con patente pendiente (USPTO #73565085).

Neutralización Adversaria de Triple Motor (TriPentest · 92/92 Verificado · 100,00% Tasa de Cero Omisión)

• CyberStryke Automated Assault (30/30): SQLi, XSS, Path Traversal, Null Byte Escapes, Prompt Injections, Egress Data Disclosure neutralizados.
• AgentHound Offensive Security Framework (28/28): MCP Tool Description Poisoning (POISONED_DESCRIPTION), Tool Shadowing (SHADOWS), A2A Impersonation (CAN_IMPERSONATE), Indirect Tool Execution (CAN_EXECUTE), Context Window Taint (TAINTS) y Information Flow Control Violations (IFC_VIOLATION) neutralizados.
• HexStrike AI Autonomous Red Team Battery (34/34): FastMCP Schema Fuzzing, Nuclei Template RCEs, Metasploit Stagers, Sqlmap Stacked/OOB Injections, SUID/Sudo Escapes y Covert C2/Egress Tunneling neutralizados.