PQC KHEPRA MCP Server

PQC-Khepra-MCP

Kernel de Criptografia Pós-Quântica e Gravação Autônoma de Voo para Agentes de IA.

Operável em air-gap. Zero telemetria em nuvem. Zero sobrecarga de tokens.
Fornece assinaturas pós-quânticas ML-DSA-87 (FIPS 204) e ML-KEM-1024 (FIPS 203) em cada chamada de ferramenta, gravação autônoma de voo em NDJSON no lado do cliente e descoberta local de hosts/ativos. Código-fonte disponível sob a Licença Pública e Comercial Soberana KHEPRA (KSCL-1.0): gratuita para uso comunitário e de avaliação; o uso comercial em produção requer uma assinatura. Consulte LICENSE.

Referência de Patente: Patente Pendente · Pedido Provisório dos EUA Nº 63/942,886 (EFS ID: 73565085)
Identidade Corporativa: SecRed Knowledge Inc. (operando como NouchiX) — C-Corp de Delaware (EIN 99-0529252), elegível ao SDVOSB (solicitação SBA VetCert pendente), Habilitação de Segurança Ativa (Active Secret Clearance).
Endpoint hospedado ao vivo: https://mcp.souhimbou.ai/sse — zero instalação, conecte em 30 segundos.
Auto-hospedagem para soberano/air-gap: Docker ou binário.

---

Arquitetura: Kernel Comunitário Gratuito vs. Plataforma Comercial KTOS

Para garantir fronteiras comerciais claras para parceiros, contratados de defesa e desenvolvedores, o ecossistema KHEPRA opera em duas camadas distintas:

Camada	Produto	Licença	Escopo e Capacidades
Camada 1	PQC-Khepra-MCP (Este Repositório)	KSCL-1.0 (código-fonte disponível)	Kernel Comunitário Gratuito: assinatura pós-quântica ML-DSA-65 (FIPS 204), registro autônomo de voo no lado do cliente, registro de agentes, enumeração local de hosts/ativos e consulta de ameaças. Zero bancos de dados STIG ou de conformidade.
Camada 2	KHEPRA Trust OS (KTOS)	Comercial ($499/mês a $250K/ano)	SO Soberano de Prova e Atuação: 36.195 mapeamentos de conformidade entre frameworks, cruzamentos em lote ao vivo da API DISA STIGViewer v2, avaliações CMMC Nível 2/3, motores multipacote ERT, pacotes de evidências C3PAO automatizados (OSCAL, DISA CKLB, POA&Ms assinados) e remediação autônoma limitada de hosts.

---

Níveis e Restrições (O Modelo Comercial e Soberano de 4 Níveis)

Nível	Faixa de Preço	Cota	Ferramentas e Capacidades Restritas	Foco
Community	$0 / Gratuito (Open-Core)	500 Créditos	14 Ferramentas Principais (pqc_keygen, pqc_sign, pqc_verify, flight_record, flight_export, agent_record, dag_attestation, khepra_get_dag_chain, enumerate_host, fingerprint_device, discover_assets, kasa_status, threat_lookup, nist_map teaser)	Assinatura PQC de código aberto, registro de voo, descoberta local
Platform	$499 / mês (Autoatendimento)	3.000 Créditos	50+ Ferramentas (+ varredura multicanal OmniScan, descoberta de Shadow AI, API DISA STIGViewer v2 ao vivo, fluxo SIEM OCSF)	Equipes de engenharia e operações de SOC comerciais
Enterprise	$2.999 / mês	15.000 Créditos	85+ Ferramentas (+ SOC Agêntico completo, SEKHEM L7 PQC-WAF, Supervisor de Enclave PTY, Daemon de Remediação ASAF, provas Z3 SMT)	Frotas de agentes corporativos e automação de conformidade
Sovereign	$45K – $250K / ano	100.000+ Créditos	Todas as 100 Ferramentas (+ air-gap em bare-metal, Gerenciador de Frota osquery, piloto automático CMMC L2/L3, antijamming RF tático, telemetria Windows EventLog)	Contratados de defesa, C3PAOs, primes federais e GovCloud

---

O Que Faz (Kernel Comunitário Gratuito)

O PQC-Khepra-MCP conecta seu assistente de IA (Claude Code, Cursor, Antigravity, Cline) diretamente a uma camada de segurança criptográfica pós-quântica:

• Assinatura ML-DSA-65: Assinatura pós-quântica FIPS 204 em cada chamada de ferramenta e atestação DAG. A encapsulação de chaves é CRYSTALS-Kyber-1024 pré-padrão; a migração para ML-KEM-1024 (FIPS 203) está em andamento.
• Gravação Autônoma de Voo: Registra automaticamente todas as invocações de ferramentas do agente, entradas e resultados em cadeias de hash NDJSON à prova de adulteração.
• Descoberta Local de Hosts e Ativos: Enumera runtimes do sistema, interfaces de rede e propriedades de ambiente localmente.
• Operação em Air-Gap e Soberana: Executa 100% offline com zero telemetria em nuvem ou chamadas de saída.
• Licença KSCL-1.0: uso comunitário e de avaliação gratuito. O uso comercial em produção, a implantação corporativa e a hospedagem de serviços gerenciados requerem um acordo comercial; consulte LICENSE.

Início Rápido — Endpoint Hospedado (Zero Instalação)

O caminho mais rápido para uma ferramenta de conformidade ativa em seu cliente de IA. Sem Docker, sem binário, sem compilação:

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

Ou, se seu cliente suportar transporte SSE nativo:

https://mcp.souhimbou.ai/sse

Verificação de integridade: https://mcp.souhimbou.ai/mcp/v1/health

Nota sobre dados: O endpoint hospedado opera em modo edge — o DAG é em memória e efêmero. Para trilhas de auditoria persistentes e assinadas e implantação em air-gap, use as opções auto-hospedadas abaixo.

---

Instalação Auto-Hospedada

Para implantação soberana/air-gap: Docker (recomendado, sem necessidade de compilação) ou binário compilado (inicialização mais rápida, pronto para SCIF). Ambos suportam as mesmas variáveis de ambiente e todos os clientes MCP.

Escolha seu caminho:

Método	Melhor Para	Inicialização
Endpoint hospedado	Início mais rápido, ferramentas em nuvem	Instantâneo
Docker	Maioria dos usuários, auto-hospedagem mais fácil	~2s
Binário Compilado	Air-gap, SCIF, desempenho	~300ms

---

Opção A: Docker (Recomendado)

Requer Docker Desktop ou Docker Engine. A imagem é pré-compilada e inclui o banco de dados de conformidade completo — sem downloads adicionais em modo soberano.

# Pull once
docker pull ghcr.io/nouchix/pqc-khepra-mcp:latest

# Test it (should print the initialize response and exit)
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

---

Opção B: Binário Compilado

Requer Go 1.21+ para compilação, ou baixe uma versão pré-compilada em GitHub Releases.

git clone https://github.com/nouchix/PQC-Khepra-MCP.git
cd PQC-Khepra-MCP

# Build (cross-compile for your OS)
go build -o khepra-mcp ./cmd/khepra-mcp        # Linux / macOS
go build -o khepra-mcp.exe ./cmd/khepra-mcp    # Windows

# Test the binary
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

Windows — usando o launcher em lote

O repositório inclui um launcher run-mcp.bat para Windows. Ele usa o binário pré-compilado (caminho rápido) e recorre automaticamente ao go run:

:: run-mcp.bat is already in the repo at the root of PQC-Khepra-MCP
:: Point your MCP client to: cmd /c C:\path\to\PQC-Khepra-MCP\run-mcp.bat

---

Adicionando ao Seu Cliente de IA

Claude Desktop

Localização do arquivo de configuração:

• macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
• Windows: %APPDATA%\Claude\claude_desktop_config.json
• Linux: ~/.config/Claude/claude_desktop_config.json

Nível Community — Docker (macOS / Linux)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Nível Community — Docker (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "C:\\Users\\YourName\\.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Nível Community — Binário (Windows, inicialização mais rápida)

{
  "mcpServers": {
    "khepra": {
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

Nível Community — Binário via launcher em lote (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "cmd",
      "args": ["/c", "C:\\path\\to\\PQC-Khepra-MCP\\run-mcp.bat"],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true"
      }
    }
  }
}

Nível Pro / Enterprise / Sovereign (com chave de licença)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_LICENSE_KEY",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "-v", "/var/log/khepra:/var/log/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ],
      "env": {
        "KHEPRA_LICENSE_KEY": "YOUR_LICENSE_KEY_HERE"
      }
    }
  }
}

Após editar, reinicie o Claude Desktop. Verifique em Settings → Developer — você deverá ver khepra com status running e todas as ferramentas listadas.

---

Cursor

Arquivo de configuração: .cursor/mcp.json na raiz do seu projeto, ou ~/.cursor/mcp.json globalmente.

Docker (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Binário (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "/path/to/khepra-mcp",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "/path/to/PQC-Khepra-MCP/manifest.json"
      }
    }
  }
}

Binário (Windows)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

---

VS Code (com GitHub Copilot ou extensão Cline)

Arquivo de configuração: .vscode/mcp.json no seu projeto, ou configurações do usuário.

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "${env:HOME}/.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Ou via settings.json do usuário para a extensão Cline:

{
  "cline.mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Windsurf

Arquivo de configuração: ~/.codeium/windsurf/mcp_config.json

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Continue.dev

Arquivo de configuração: ~/.continue/config.json — adicione ao array experimental.modelContextProtocolServers:

{
  "experimental": {
    "modelContextProtocolServers": [
      {
        "name": "khepra",
        "transport": {
          "type": "stdio",
          "command": "docker",
          "args": [
            "run", "--rm", "-i",
            "-e", "KHEPRA_MODE=sovereign",
            "ghcr.io/nouchix/pqc-khepra-mcp:latest"
          ]
        }
      }
    ]
  }
}

---

Ferramentas de IA em Nuvem / SaaS (Claude.ai, ChatGPT, Gemini, etc.)

Use o endpoint hospedado ao vivo em mcp.souhimbou.ai — sem necessidade de configuração:

Opção 1 — Endpoint hospedado ao vivo (recomendado, zero configuração)

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

Ou URL SSE direta para ferramentas que a aceitam:

https://mcp.souhimbou.ai/sse

Ferramenta em Nuvem	Onde adicionar a URL MCP
Claude.ai (Pro/Team)	Settings → Integrations → MCP Servers
Cursor	.cursor/mcp.json → campo url
OpenAI Assistants	Campo tools da API com type: "mcp"
Glama.ai	Workspace → MCP Servers
Smithery.ai	Catálogo → Servidor auto-hospedado

Opção 2 — Proxy mcp-remote (binário local atrás da ponte)

Se você precisa do modo soberano (zero saída) com proxy para uma ferramenta em nuvem:

# Install once
npm install -g mcp-remote

# Bridge your local sovereign instance
KHEPRA_MODE=sovereign mcp-remote \
  --server "docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest" \
  --port 3000

# Point cloud tool to:
# http://localhost:3000/sse

Nota de segurança: No modo sovereign/ironbank, o KHEPRA não faz nenhuma chamada de saída — apenas a conexão da ponte com a ferramenta em nuvem transporta dados.

Opção 3 — Smithery / Registros MCP (Nível Community)

O KHEPRA está listado em todas as principais plataformas de descoberta MCP. Ferramentas em nuvem que suportam descoberta baseada em registro podem instalá-lo diretamente:

Registro	URL
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp
MCP Registry (oficial)	registry.modelcontextprotocol.io/?q=khepra
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824
Endpoint Hospedado ao Vivo	mcp.souhimbou.ai

Registry ID: io.github.nouchix/pqc-khepra-mcp

---

Validação — Teste Sua Instalação

Execute isto no seu terminal para verificar se o servidor responde corretamente:

# Docker
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

# Binary (Linux / macOS)
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

# Binary (Windows PowerShell)
'{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | & ".\khepra-mcp.exe"

Saída esperada: uma resposta JSON-RPC listando todas as ferramentas disponíveis. Se você vir "tools": [...] com 12+ entradas — você está conectado.

Validação completa do protocolo (Windows)

# Runs the complete Claude Desktop handshake sequence and validates all responses
.\scripts\test-mcp-handshake.ps1 -BinaryPath ".\khepra-mcp.exe"

# Expected output:
# [PASS] initialize | protocolVersion=2025-11-25 | listChanged=False
# [PASS] tools/list | count=34
# TRL-10 READY - Server passes full Claude Desktop protocol validation

---

Ferramentas MCP

Nível Community (Isca Gratuita — 14 Ferramentas Open-Core, Zero Bancos de Dados STIG)

O kernel open-core gratuito oferece utilidade imediata para desenvolvedores individuais, agentes de codificação de IA (Claude Code, Cursor, Antigravity, Cline) e pesquisadores de segurança:

• pqc_keygen: Gera pares de chaves pós-quânticas ML-DSA-65 (FIPS 204).
• pqc_sign: Assina cargas arbitrárias com assinaturas digitais pós-quânticas.
• pqc_verify: Verifica criptograficamente assinaturas ML-DSA-65.
• flight_record: Gravação no lado do cliente à prova de adulteração das invocações de ferramentas do agente em cadeias de hash NDJSON.
• flight_export: Exporta registros de voo locais com prova de âncora DAG.
• agent_record: Atesta a execução de ferramentas do agente no ledger SQLite local.
• dag_attestation: Exporta a trilha de auditoria criptográfica da sessão ativa.
• khepra_get_dag_chain: Recupera o histórico de nós DAG encadeados.
• enumerate_host: Descoberta local de ambiente do sistema, interfaces e arquitetura.
• fingerprint_device: Gera hash de identidade de dispositivo à prova de adulteração.
• discover_assets: Enumera endpoints de rede alcançáveis e serviços de runtime localmente.
• kasa_status: Status de runtime e métricas de integridade do agente autônomo.
• threat_lookup: Consulta local offline de IOC de ameaças.
• nist_map (Teaser Community): Consulta semântica offline nos controles NIST base (limitada a 25 itens).

Nota: O Kernel Comunitário Gratuito contém zero bancos de dados STIG ou de conformidade. Todos os benchmarks automatizados DISA STIG, motores CMMC L2/L3 e sínteses executivas de risco fazem parte exclusivamente do KTOS Master Kernel comercial.

---

KTOS Master Kernel (Upgrade Pago — 100+ Ferramentas Corporativas e Soberanas)

Faça upgrade para KTOS Platform ($499/mês), Enterprise ($2.999/mês) ou Sovereign ($45K–$250K/ano) para desbloquear o Master Kernel completo de 100 ferramentas:

pqc_stig — Primeiro STIG PQC do DoD no Mundo ⭐ (Enterprise / Sovereign)

Avalia código-fonte e infraestrutura em relação ao PQC-01-STIG-V1R1: 17 controles cobrindo o conjunto de algoritmos CNSA 2.0 (FIPS 203 ML-KEM-1024, FIPS 204 ML-DSA-87), encapsulação criptográfica híbrida, validação em tempo constante e diretrizes do Aviso de Segurança MCP da NSA.

ert_scan — Motor Corporativo de Risco e Ameaças (Enterprise / Sovereign)

Scanner de segurança multipacote (Pacotes A, B, C, D) gerando Relatórios Godfather executivos com exposição de risco FAIR denominada em dólares e atestação pronta para C3PAO.

stig_check — Validação Automatizada de STIG (Enterprise / Sovereign)

Valida sistemas em execução e arquivos de configuração contra os benchmarks DISA RHEL-09-STIG e Windows.

cmmc_assess — Piloto Automático CMMC Nível 2/3 (Enterprise / Sovereign)

Avaliação completa de maturidade em todas as 110 práticas do CMMC Nível 2, com geração automatizada de POA&M.

khepra_query_stig — Banco de Dados de Conformidade Relacional (Enterprise / Sovereign)

Acesso completo ao banco de dados de conformidade relacional com 36.195 linhas (DISA STIG → CCI → NIST SP 800-53 Rev 5 → NIST SP 800-171 Rev 2 → CMMC 2.0).

godfather_report & godfather_approve (Platform / Enterprise)

Sintetiza vulnerabilidades brutas em briefings executivos prontos para o conselho, com ROI de remediação.

+ Mais de 80 Ferramentas Avançadas Adicionais

Inclui scan_shadow_ai, attest_ai_policy, linux_hardening_check, stig_live_query (API v2 do DISA STIGViewer ao vivo), nhi_inventory, nhi_revoke, acp_issue, sekhem_gateway, ouroboros_waf_eye, sbom_generate, forensic_snapshot, e playbooks autônomos de remediação de hosts.

---

O Relatório Godfather

Diferentemente dos scanners de conformidade que produzem uma parede de CVEs, o KHEPRA traduz os achados para a linguagem que os executivos se importam:

Finding: RHEL-09-212030 — No FIPS-validated crypto on /etc/ssh
Severity: CAT I (HIGH)
Business Impact: $2.4M estimated breach exposure (FAIR model)
Remediation Cost: $800 (4 hours engineer time)
ROI: 3,000x

Cada achado inclui ID de controle, mapeamento de framework, impacto financeiro em dólares, estimativa de custo de remediação e ROI.

---

Modos de Implantação

Modo	Air-Gap	Egress	Telemetria	Caso de Uso
sovereign	✅ Sim	Zero	Zero	On-prem, SCIF, classificado (PADRÃO)
ironbank	✅ Sim	Zero	Zero	Produção DoD/IC, somente FIPS
hybrid	❌ Não	LAN	Zero	Coordenação edge + nuvem
edge	❌ Não	Irrestrito	Zero	SaaS totalmente stateless

Definido via variável de ambiente KHEPRA_MODE. Valores desconhecidos são rejeitados na inicialização e revertem para sovereign (fail-closed).

---

Variáveis de Ambiente

Variável	Obrigatória	Padrão	Descrição
KHEPRA_LICENSE_KEY	Somente Pro/Enterprise/Sovereign	—	Chave de licença. O nível Community funciona sem uma. Obtenha em nouchix.com
KHEPRA_MODE	Não	sovereign	Modo de implantação: sovereign, ironbank, hybrid, edge
KHEPRA_MANIFEST_PATH	Não	manifest.json	Caminho para o arquivo de manifesto de ferramentas assinado
KHEPRA_HOME	Não	/var/lib/khepra	Diretório de dados e do banco de dados de conformidade
KHEPRA_LOG_DIR	Não	/var/log/khepra	Diretório de logs
KHEPRA_DAG_PATH	Não	~/.khepra/dag	Caminho de armazenamento da cadeia de auditoria DAG
KHEPRA_AUDIT_LOG_PATH	Não	~/.khepra/audit.ndjson	Caminho do log de auditoria assinado
KHEPRA_MAX_CONCURRENT	Não	5	Máximo de chamadas de ferramentas concorrentes por agente
KHEPRA_NETWORK_POLICY	Não	lan	Escopo de rede: lan, none, unrestricted
MCP_PQC_ENABLED	Não	true	Habilita atestação PQC ML-DSA-65 em todas as respostas

---

Implantação Air-Gap e SCIF

O KHEPRA realiza zero chamadas de rede externas nos modos sovereign e ironbank:

• Licença validada offline via arquivo license.adinkhepra assinado com ML-DSA-65
• Bancos de dados de conformidade (36.195 mapeamentos) incluídos no contêiner — sem downloads externos
• Sem telemetria, sem heartbeat, sem egress — verificado na camada de transporte

# Transfer image to air-gapped network
docker save ghcr.io/nouchix/pqc-khepra-mcp:latest | gzip > khepra-mcp.tar.gz

# On air-gapped host:
docker load < khepra-mcp.tar.gz

Nota sobre telemetria: A ferramenta dark_crypto_contribute (nível Community) envia telemetria anonimizada de algoritmos criptográficos para a rede de inteligência SouHimBou AI somente quando explicitamente invocada pelo usuário. Ela nunca é acionada automaticamente. No modo sovereign/ironbank, todas as chamadas de rede são bloqueadas na camada de transporte, independentemente.

---

Cobertura de Conformidade

Framework	Versão	Mapeamentos
STIG (RHEL 9)	V1R3	Varredura automatizada
NIST 800-53	Rev 5	2.120 CCIs
NIST 800-171	Rev 2	320 controles
CMMC	Nível 3	Conjunto completo de práticas
FedRAMP	High	Varredura de linha de base
PQC-01-STIG-V1R1	V1R1	12 controles PQC (conjunto de controles NouchiX; verifica algoritmos CNSA 2.0)
Total		36.195+ mapeamentos

---

Licenciamento

Sem cobranças por token ou por consulta em nenhum nível pago.

Nível	Custo	Chave de Licença	Ferramentas
Community	Gratuito	Não necessária	pqc_stig + 12 ferramentas principais
Pro	US$ 19/mês	Necessária	Relatórios de conformidade, ACP, inventário NHI, piloto automático
Enterprise	US$ 499/mês	Necessária	Todas as 76 ferramentas, piloto automático
Sovereign	Personalizado — Contate Vendas	Necessária	Todas as 76 ferramentas + licenciamento air-gap/offline + HSM, piloto automático

• O nível Community é permanentemente gratuito — contribua para a adoção de PQC open-source
• Pro/Enterprise: cobrança self-service
• Sovereign: contate contact@nouchix.com ou visite nouchix.com

---

Segurança

Relato de Vulnerabilidades

Não abra issues públicas para vulnerabilidades de segurança.

Relate de forma privada via GitHub Security Advisories ou e-mail support@nouchix.com.

SLA	Meta
Confirmação de recebimento	24 horas
Avaliação inicial	5 dias úteis
Correção / mitigação (Crítica)	30 dias

Aceitamos relatos criptografados via PGP (keys/security_contact.asc) e canais Pós-Quânticos (chaves Dilithium / ML-DSA-65 em keys/). Consulte SECURITY.md para a política completa de divulgação e a taxonomia de eventos ASAF.

---

Postura de Segurança

Implantando criptografia pós-quântica avançada, isolamento air-gapped e mapeamentos STIG abrangentes — construído em alinhamento direto com as diretrizes do Model Context Protocol da NSA e da ASD.

Alinhamento de Segurança MCP da NSA e ASD

A NSA e a Diretoria de Sinais Australianos (ASD) publicaram vetores de ameaça específicos para sistemas de IA que interagem com ambientes locais. O KHEPRA MCP é projetado explicitamente para mitigar cada vetor identificado:

Requisito NSA/ASD	Implementação KHEPRA
Validação criptográfica das respostas das ferramentas	Assinaturas ML-DSA-65 (Dilithium) em todos os payloads JSON-RPC 2.0
Validação e sanitização de entrada	Resistência à injeção de parâmetros via validação estrita de JSON Schema
Credenciais com princípio de menor privilégio	Tokens efêmeros de curta duração vinculados a janelas específicas de execução de tarefas
Registro de auditoria abrangente	Eventos à prova de adulteração compilados em uma estrutura DAG imutável
Limites de consumo de recursos	Rate limiting + backpressure para loops de requisição de LLM
Portões de autorização para ações sensíveis	Portão human-in-the-loop para mudanças de estado destrutivas
Isolamento de ambiente	Execução conteinerizada com modo sovereign de zero egress
Integridade da cadeia de suprimentos de software	Fixação de manifesto para todas as ferramentas e dependências carregadas
Redução da exposição de rede	Compatível com air-gap — zero tráfego de internet nos modos sovereign/ironbank
Resiliência pós-quântica	Trilha DAG assinada com PQC protegendo contra harvest-now-decrypt-later

Certificações de Conformidade

Framework	Status	Cobertura
CMMC Nível 2	✅	Automatiza a coleta de evidências para os domínios AU, CM, SI, SC
NIST SP 800-171 Rev 2	✅	Logging, responsabilização, integridade do sistema
NIST SP 800-53 Rev 5	✅	Monitoramento contínuo (AU-2, SI-4)
FIPS 203 (ML-KEM)	🟡	Kyber-1024 pré-padrão hoje; migração para ML-KEM-1024 em andamento
FIPS 204 (ML-DSA)	✅	Assinaturas digitais para autenticação de payload
Mandato PQC NSM-10	✅	Conformidade com o Memorando de Segurança Nacional 10
DFARS 252.204-7012	✅	Trilhas forenses imutáveis para relato de incidentes cibernéticos
Diretrizes de Segurança MCP da NSA	✅	Mapeamento direto para todas as mitigações de ameaças publicadas para agentes de IA

Implantação ao Vivo — Edge Físico

Em execução contínua em hardware edge restrito desde 12 de maio de 2026 para comprovar a eficiência em ambientes soberanos:

• Hardware: Raspberry Pi 2 · 1 GB de RAM · ARM de 900 MHz · Roteador Spectrum ao vivo
• Pod SCADA: STM32U585 / QRB2210 · Modbus TCP · MQTT · Zephyr RTOS 3.4+ · Verificação de Assinatura Dilithium ao Vivo
• Controles ativos: 3 portas abertas protegidas · 12 violações de STIG detectadas · 100% de monitoramento de integridade de arquivos (AIDE) · operação contínua 24/7

Validação Acadêmica

Evento	Data	Instituição
UAlbany AI Plus Symposium 2026 — "KHEPRA Protocol: Quantum-Resilient Agentic AI Security Using Cultural Cryptography"	7 de março de 2026	Instituição NSA CAE-CDE · público de 200+
SUNY Albany Cybersecurity Showcase — Primeira cerimônia de chaves PQC em dispositivo da classe STM32 (Pod SCADA)	12–13 de maio de 2026	Demonstração ao vivo · pôster de arquitetura SCADA

Pedido de Patente Provisória do USPTO Nº 63/942,886 — pendente.
🔒 Contêineres Iron Bank em processo de avaliação pela DISA.

---

Aviso de Arquitetura Open-Core

PQC-Khepra-MCP é um servidor Model Context Protocol de código aberto que fornece assinatura pós-quântica (ML-DSA-65, FIPS 204), encapsulamento de chaves Kyber-1024 pré-padrão e ferramentas de conformidade.

Os motores proprietários de governança de runtime — incluindo o KHEPRA Trust Operating System (KTOS), o Compilador da ASAF Policy Declaration Language (APDL), o Evolutionary Algorithm Lattice Auto-Tuning Kernel, o SEKHEM Polymorphic WAF Gateway e a Full-Stealth Sovereign Mesh — são componentes do Khepra Enterprise e são licenciados sob termos comerciais.

---

Encontre-nos — Listagens no Registro MCP

O PQC-Khepra-MCP está listado em todas as principais plataformas de descoberta MCP:

Plataforma	Link	Observações
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp	Instalação com um clique para Claude, Cursor, Windsurf
MCP Registry (oficial)	registry.modelcontextprotocol.io/?q=khepra	Registro curado pela Anthropic — ID do Registro: io.github.nouchix/pqc-khepra-mcp
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp	Índice de descoberta da comunidade
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824	Marketplace de extensões VS Code / Cline
Endpoint Hospedado ao Vivo	mcp.souhimbou.ai	Endpoint SSE sem instalação — conecte em 30 segundos

---

Sobre a NouchiX

Firma de consultoria liderada por veteranos que traduz os mandatos CMMC, NIST e STIG em roteiros executivos.

• Vendas / Geral: contact@nouchix.com
• Suporte: support@nouchix.com
• Site: https://nouchix.com
• Telefone: (518) 304-4450

Desenvolvido pela SecRed Knowledge Inc. dba NouchiX, Albany, NY.

---

📋 Manual do Operador TC-25 e Runbook do Desenvolvedor

O PQC-Khepra-MCP é o canal de agente open-core da arquitetura KHEPRA Trust OS (KTOS):

• Manual Técnico do Operador e de Manutenção TC-25 — Circular de Treinamento Nº 25-KTOS-001 cobrindo a Arquitetura Soberana de Quatro Camadas, o conjunto tático de RF antijamming, a hierarquia do Windows Event Viewer (IDs 1001–1050) e a Neutralização Adversarial de Motor Triplo (92/92 Verificado · 100% Zero-Bypass).
• Runbook de Instalação e Solução de Problemas para Desenvolvedores — Runbook passo a passo para Master Dev Machines, Antigravity IDE (mcp_config.json), Claude Code (.claude.json) e implantação em VPS Linux Soberano.

Superfícies Unificadas do Produto KTOS

• Camada 4 — KTOS-MCP Master-Kernel (mcp.souhimbou.ai): 100 ferramentas nativas, assinatura pós-quântica ML-DSA-65, defesa de prompt do WAF SEKHEM L7, registro no Event Viewer, suíte de RF Tático.
• Camada 3a — KTOS CMMC Hub & Fleet Engine (adinkhepra.com): Gerenciador de Frota Soberano bare-metal & osquery para auditorias de conformidade CMMC/STIG.
• Camada 3b — KTOS Agentic SOC (souhimbou.ai): SOC Agêntico em Nuvem & Arquiteto de Segurança de IA com SDK Flight Recorder autônomo e detector de ameaças KASA.
• Camada 2 — Substrato de Confiança Compartilhado: 36.195 mapeamentos de conformidade entre frameworks, ML-DSA-65 (FIPS 204) / Kyber-1024 (pré-padrão), atestação DAG imutável.
• Camada 1 — Protocolo KHEPRA: Atestação criptográfica não linear com patente pendente (USPTO #73565085).

Neutralização Adversarial de Motor Triplo (TriPentest · 92/92 Verificado · Taxa de Bypass Zero de 100,00%)

• CyberStryke Automated Assault (30/30): SQLi, XSS, Path Traversal, Null Byte Escapes, Prompt Injections, Egress Data Disclosure neutralizados.
• AgentHound Offensive Security Framework (28/28): Envenenamento de Descrição de Ferramenta MCP (POISONED_DESCRIPTION), Tool Shadowing (SHADOWS), A2A Impersonation (CAN_IMPERSONATE), Execução Indireta de Ferramentas (CAN_EXECUTE), Contaminação de Janela de Contexto (TAINTS) e Violações de Controle de Fluxo de Informação (IFC_VIOLATION) neutralizados.
• HexStrike AI Autonomous Red Team Battery (34/34): Fuzzing de Esquema FastMCP, RCEs de Template Nuclei, Metasploit Stagers, Injeções Stacked/OOB do Sqlmap, Escapes SUID/Sudo e Tunelamento C2/Egress Encoberto neutralizados.