PQC KHEPRA MCP Server

PQC-Khepra-MCP

Постквантовое криптографическое ядро и ядро автономной записи полётов для ИИ-агентов.

Работает в изолированной среде (air-gap). Нулевая облачная телеметрия. Нулевые накладные расходы на токены.
Обеспечивает постквантовые подписи ML-DSA-87 (FIPS 204) и ML-KEM-1024 (FIPS 203) при каждом вызове инструмента, автономную клиентскую запись полётов в формате NDJSON и локальное обнаружение хостов и активов. Исходный код доступен по Суверенной публичной и коммерческой лицензии KHEPRA (KSCL-1.0): бесплатно для сообщества и оценочного использования; коммерческое производственное использование требует подписки. См. LICENSE.

Патентная ссылка: Патент на рассмотрении · Предварительная заявка США № 63/942,886 (EFS ID: 73565085)
Корпоративная идентификация: SecRed Knowledge Inc. (работает как NouchiX) — Delaware C-Corp (EIN 99-0529252), соответствует критериям SDVOSB (заявка SBA VetCert на рассмотрении), действующий допуск Secret.
Публичная размещённая конечная точка: https://mcp.souhimbou.ai/sse — без установки, подключение за 30 секунд.
Самостоятельный хостинг для суверенных/изолированных сред: Docker или бинарный файл.

---

Архитектура: бесплатное ядро сообщества vs. коммерческая платформа KTOS

Чтобы обеспечить чёткие коммерческие границы для партнёров, оборонных подрядчиков и разработчиков, экосистема KHEPRA работает на двух отдельных уровнях:

Уровень	Продукт	Лицензия	Область и возможности
Уровень 1	PQC-Khepra-MCP (этот репозиторий)	KSCL-1.0 (исходный код доступен)	Бесплатное ядро сообщества: постквантовые подписи ML-DSA-65 (FIPS 204), автономное клиентское журналирование полётов, регистрация агентов, локальное перечисление хостов и активов, а также поиск угроз. Нулевые базы данных STIG или соответствия.
Уровень 2	KHEPRA Trust OS (KTOS)	Коммерческая (от $499/мес до $250K/год)	Суверенная ОС доказательств и актуации: 36 195 кросс-фреймворковых сопоставлений соответствия, пакетные кросс-сопоставления через живой API DISA STIGViewer v2, оценки CMMC уровня 2/3, многопакетные движки ERT, автоматизированные пакеты доказательств C3PAO (OSCAL, DISA CKLB, подписанные POA&Ms) и ограниченное автономное исправление хостов.

---

Уровни и ограничения (4-уровневая коммерческая и суверенная модель)

Уровень	Цена	Квота	Ограниченные инструменты и возможности	Направление
Community	$0 / Бесплатно (Open-Core)	500 кредитов	14 базовых инструментов (pqc_keygen, pqc_sign, pqc_verify, flight_record, flight_export, agent_record, dag_attestation, khepra_get_dag_chain, enumerate_host, fingerprint_device, discover_assets, kasa_status, threat_lookup, тизер nist_map)	Открытые PQC-подписи, журналирование полётов, локальное обнаружение
Platform	$499 / мес (самообслуживание)	3 000 кредитов	50+ инструментов (+ многополосное сканирование OmniScan, обнаружение Shadow AI, живой API STIGViewer v2, поток OCSF SIEM)	Инженерные команды и коммерческие SOC-операции
Enterprise	$2 999 / мес	15 000 кредитов	85+ инструментов (+ полный агентный SOC, SEKHEM L7 PQC-WAF, супервизор анклава PTY, демон исправлений ASAF, доказательства Z3 SMT)	Корпоративные парки агентов и автоматизация соответствия
Sovereign	$45K – $250K / год	100 000+ кредитов	Все 100 инструментов (+ bare-metal air-gap, менеджер флота osquery, автопилот CMMC L2/L3, тактическая RF-помехозащита, телеметрия Windows EventLog)	Оборонные подрядчики, C3PAO, федеральные подрядчики и GovCloud

---

Что это делает (бесплатное ядро сообщества)

PQC-Khepra-MCP подключает вашего ИИ-ассистента (Claude Code, Cursor, Antigravity, Cline) напрямую к постквантовому криптографическому слою безопасности:

• Подписи ML-DSA-65: постквантовые подписи FIPS 204 при каждом вызове инструмента и аттестации DAG. Инкапсуляция ключей — предстандартный CRYSTALS-Kyber-1024; миграция на FIPS 203 ML-KEM-1024 в процессе.
• Автономная запись полётов: автоматически журналирует все вызовы инструментов агентом, входные данные и результаты в защищённые от подделки хеш-цепочки NDJSON.
• Локальное обнаружение хостов и активов: перечисление системных сред выполнения, сетевых интерфейсов и свойств окружения локально.
• Работа в изолированной среде и суверенный режим: работает на 100% офлайн без облачной телеметрии или исходящих вызовов.
• Лицензия KSCL-1.0: бесплатное использование сообществом и для оценки. Коммерческое производственное использование, корпоративное развёртывание и хостинг управляемых сервисов требуют коммерческого соглашения; см. LICENSE.

Быстрый старт — размещённая конечная точка (без установки)

Самый быстрый путь к работающему инструменту соответствия в вашем ИИ-клиенте. Без Docker, без бинарного файла, без сборки:

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

Или, если ваш клиент поддерживает нативный транспорт SSE:

https://mcp.souhimbou.ai/sse

Проверка работоспособности: https://mcp.souhimbou.ai/mcp/v1/health

Примечание о данных: размещённая конечная точка работает в режиме edge — DAG хранится в памяти и является эфемерным. Для постоянных подписанных журналов аудита и развёртывания в изолированной среде используйте варианты самостоятельного хостинга ниже.

---

Установка с самостоятельным хостингом

Для суверенного/изолированного развёртывания: Docker (рекомендуется, сборка не требуется) или скомпилированный бинарный файл (самый быстрый запуск, готов к SCIF). Оба поддерживают одни и те же переменные окружения и все MCP-клиенты.

Выберите свой путь:

Метод	Для чего лучше	Запуск
Размещённая конечная точка	Самый быстрый старт, облачные инструменты	Мгновенно
Docker	Большинство пользователей, простейший самостоятельный хостинг	~2 с
Скомпилированный бинарный файл	Air-gap, SCIF, производительность	~300 мс

---

Вариант A: Docker (рекомендуется)

Требуется Docker Desktop или Docker Engine. Образ предварительно собран и содержит полную базу данных соответствия — никаких дополнительных загрузок в суверенном режиме.

# Pull once
docker pull ghcr.io/nouchix/pqc-khepra-mcp:latest

# Test it (should print the initialize response and exit)
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

---

Вариант B: Скомпилированный бинарный файл

Требуется Go 1.21+ для сборки, или загрузите предварительно собранный релиз с GitHub Releases.

git clone https://github.com/nouchix/PQC-Khepra-MCP.git
cd PQC-Khepra-MCP

# Build (cross-compile for your OS)
go build -o khepra-mcp ./cmd/khepra-mcp        # Linux / macOS
go build -o khepra-mcp.exe ./cmd/khepra-mcp    # Windows

# Test the binary
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

Windows — использование пакетного лаунчера

Репозиторий содержит лаунчер run-mcp.bat для Windows. Он использует предварительно собранный бинарный файл (быстрый путь) и автоматически переключается на go run:

:: run-mcp.bat is already in the repo at the root of PQC-Khepra-MCP
:: Point your MCP client to: cmd /c C:\path\to\PQC-Khepra-MCP\run-mcp.bat

---

Добавление в ваш ИИ-клиент

Claude Desktop

Расположение файла конфигурации:

• macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
• Windows: %APPDATA%\Claude\claude_desktop_config.json
• Linux: ~/.config/Claude/claude_desktop_config.json

Уровень Community — Docker (macOS / Linux)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Уровень Community — Docker (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "C:\\Users\\YourName\\.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Уровень Community — бинарный файл (Windows, самый быстрый запуск)

{
  "mcpServers": {
    "khepra": {
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

Уровень Community — бинарный файл через пакетный лаунчер (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "cmd",
      "args": ["/c", "C:\\path\\to\\PQC-Khepra-MCP\\run-mcp.bat"],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true"
      }
    }
  }
}

Уровень Pro / Enterprise / Sovereign (с лицензионным ключом)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_LICENSE_KEY",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "-v", "/var/log/khepra:/var/log/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ],
      "env": {
        "KHEPRA_LICENSE_KEY": "YOUR_LICENSE_KEY_HERE"
      }
    }
  }
}

После редактирования перезапустите Claude Desktop. Проверьте в Settings → Developer — вы должны увидеть khepra со статусом running и перечнем всех инструментов.

---

Cursor

Файл конфигурации: .cursor/mcp.json в корне вашего проекта или ~/.cursor/mcp.json глобально.

Docker (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Бинарный файл (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "/path/to/khepra-mcp",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "/path/to/PQC-Khepra-MCP/manifest.json"
      }
    }
  }
}

Бинарный файл (Windows)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

---

VS Code (с расширением GitHub Copilot или Cline)

Файл конфигурации: .vscode/mcp.json в вашем проекте или в пользовательских настройках.

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "${env:HOME}/.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Или через пользовательский settings.json для расширения Cline:

{
  "cline.mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Windsurf

Файл конфигурации: ~/.codeium/windsurf/mcp_config.json

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Continue.dev

Файл конфигурации: ~/.continue/config.json — добавьте в массив experimental.modelContextProtocolServers:

{
  "experimental": {
    "modelContextProtocolServers": [
      {
        "name": "khepra",
        "transport": {
          "type": "stdio",
          "command": "docker",
          "args": [
            "run", "--rm", "-i",
            "-e", "KHEPRA_MODE=sovereign",
            "ghcr.io/nouchix/pqc-khepra-mcp:latest"
          ]
        }
      }
    ]
  }
}

---

Облачные / SaaS ИИ-инструменты (Claude.ai, ChatGPT, Gemini и др.)

Используйте публичную размещённую конечную точку по адресу mcp.souhimbou.ai — настройка не требуется:

Вариант 1 — публичная размещённая конечная точка (рекомендуется, без настройки)

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

Или прямой URL SSE для инструментов, которые его принимают:

https://mcp.souhimbou.ai/sse

Облачный инструмент	Куда добавить URL MCP
Claude.ai (Pro/Team)	Settings → Integrations → MCP Servers
Cursor	.cursor/mcp.json → поле url
OpenAI Assistants	Поле API tools со значением type: "mcp"
Glama.ai	Workspace → MCP Servers
Smithery.ai	Catalog → Self-hosted server

Вариант 2 — прокси mcp-remote (локальный бинарный файл за мостом)

Если вам нужен суверенный режим (нулевой исходящий трафик), проксируемый в облачный инструмент:

# Install once
npm install -g mcp-remote

# Bridge your local sovereign instance
KHEPRA_MODE=sovereign mcp-remote \
  --server "docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest" \
  --port 3000

# Point cloud tool to:
# http://localhost:3000/sse

Примечание по безопасности: в режиме sovereign/ironbank KHEPRA не делает исходящих вызовов — данные передаются только через соединение моста с облачным инструментом.

Вариант 3 — Smithery / реестры MCP (уровень Community)

KHEPRA представлена на всех основных платформах обнаружения MCP. Облачные инструменты, поддерживающие обнаружение через реестры, могут установить её напрямую:

Реестр	URL
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp
MCP Registry (официальный)	registry.modelcontextprotocol.io/?q=khepra
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824
Публичная размещённая конечная точка	mcp.souhimbou.ai

Registry ID: io.github.nouchix/pqc-khepra-mcp

---

Проверка — протестируйте вашу установку

Выполните это в терминале, чтобы убедиться, что сервер отвечает корректно:

# Docker
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

# Binary (Linux / macOS)
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

# Binary (Windows PowerShell)
'{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | & ".\khepra-mcp.exe"

Ожидаемый вывод: ответ JSON-RPC со списком всех доступных инструментов. Если вы видите "tools": [...] с 12+ записями — вы подключены.

Полная проверка протокола (Windows)

# Runs the complete Claude Desktop handshake sequence and validates all responses
.\scripts\test-mcp-handshake.ps1 -BinaryPath ".\khepra-mcp.exe"

# Expected output:
# [PASS] initialize | protocolVersion=2025-11-25 | listChanged=False
# [PASS] tools/list | count=34
# TRL-10 READY - Server passes full Claude Desktop protocol validation

---

Инструменты MCP

Уровень Community (бесплатный привлекающий продукт — 14 инструментов Open-Core, без баз данных STIG)

Бесплатное ядро с открытым кодом обеспечивает немедленную пользу для отдельных разработчиков, ИИ-агентов программирования (Claude Code, Cursor, Antigravity, Cline) и исследователей безопасности:

• pqc_keygen: генерация постквантовых пар ключей ML-DSA-65 (FIPS 204).
• pqc_sign: подпись произвольных полезных нагрузок постквантовыми цифровыми подписями.
• pqc_verify: криптографическая проверка подписей ML-DSA-65.
• flight_record: защищённая от подделки клиентская запись вызовов инструментов агентом в хеш-цепочки NDJSON.
• flight_export: экспорт локальных записей полётов с доказательством привязки DAG.
• agent_record: аттестация выполнения инструментов агентом в локальном реестре SQLite.
• dag_attestation: экспорт криптографического журнала аудита активной сессии.
• khepra_get_dag_chain: получение истории узлов DAG, связанных в цепочку.
• enumerate_host: локальное обнаружение системного окружения, интерфейсов и архитектуры.
• fingerprint_device: генерация защищённого от подделки хеша идентичности устройства.
• discover_assets: локальное перечисление доступных сетевых конечных точек и сред выполнения.
• kasa_status: статус и метрики работоспособности среды выполнения автономного агента.
• threat_lookup: локальный офлайн-поиск индикаторов угроз (IOC).
• nist_map (тизер Community): офлайн-семантический поиск по базовым контролам NIST (ограничен 25 элементами).

Примечание: бесплатное ядро сообщества содержит нулевые базы данных STIG или соответствия. Все автоматизированные эталоны DISA STIG, движки CMMC L2/L3 и синтезы исполнительных рисков являются исключительно частью коммерческого мастер-ядра KTOS.

---

Мастер-ядро KTOS (платное обновление — 100+ корпоративных и суверенных инструментов)

Обновитесь до KTOS Platform ($499/мес), Enterprise ($2 999/мес) или Sovereign ($45K–$250K/год), чтобы разблокировать полное мастер-ядро из 100 инструментов:

pqc_stig — первый в мире DoD PQC STIG ⭐ (Enterprise / Sovereign)

Оценивает исходный код и инфраструктуру по PQC-01-STIG-V1R1: 17 контролов, охватывающих набор алгоритмов CNSA 2.0 (FIPS 203 ML-KEM-1024, FIPS 204 ML-DSA-87), гибридную криптографическую инкапсуляцию, валидацию с постоянным временем и рекомендации NSA MCP Security Advisory.

ert_scan — корпоративный движок рисков и угроз (Enterprise / Sovereign)

Многопакетный сканер безопасности (пакеты A, B, C, D), генерирующий исполнительные отчёты Godfather с выраженной в долларах оценкой риска FAIR и аттестацией, готовой для C3PAO.

stig_check — Автоматизированная валидация STIG (Enterprise / Sovereign)

Проверяет работающие системы и конфигурационные файлы на соответствие DISA RHEL-09-STIG и Windows-бенчмаркам.

cmmc_assess — Автопилот CMMC уровня 2/3 (Enterprise / Sovereign)

Полная оценка зрелости по всем 110 практикам CMMC уровня 2 с автоматической генерацией POA&M.

khepra_query_stig — Реляционная база данных соответствия (Enterprise / Sovereign)

Полный доступ к реляционной базе данных соответствия из 36 195 строк (DISA STIG → CCI → NIST SP 800-53 Rev 5 → NIST SP 800-171 Rev 2 → CMMC 2.0).

godfather_report и godfather_approve (Platform / Enterprise)

Синтезируют необработанные уязвимости в готовые для совета директоров исполнительные сводки с ROI по устранению.

+ 80+ дополнительных продвинутых инструментов

Включает scan_shadow_ai, attest_ai_policy, linux_hardening_check, stig_live_query (живой DISA STIGViewer API v2), nhi_inventory, nhi_revoke, acp_issue, sekhem_gateway, ouroboros_waf_eye, sbom_generate, forensic_snapshot и автономные плейбуки по устранению уязвимостей на хостах.

---

Отчёт «Крёстного отца»

В отличие от сканеров соответствия, которые выдают стену CVE, KHEPRA переводит находки на язык, который важен руководителям:

Finding: RHEL-09-212030 — No FIPS-validated crypto on /etc/ssh
Severity: CAT I (HIGH)
Business Impact: $2.4M estimated breach exposure (FAIR model)
Remediation Cost: $800 (4 hours engineer time)
ROI: 3,000x

Каждая находка включает идентификатор контроля, сопоставление с фреймворком, бизнес-влияние в долларах, оценку стоимости устранения и ROI.

---

Режимы развёртывания

Режим	Air-Gap	Исходящий трафик	Телеметрия	Сценарий использования
sovereign	✅ Да	Нулевой	Нулевая	On-prem, SCIF, закрытые сети (ПО УМОЛЧАНИЮ)
ironbank	✅ Да	Нулевой	Нулевая	Продакшн DoD/IC, только FIPS
hybrid	❌ Нет	LAN	Нулевая	Периферия + облачная координация
edge	❌ Нет	Неограниченный	Нулевая	Полностью stateless SaaS

Задаётся через переменную окружения KHEPRA_MODE. Неизвестные значения отклоняются при запуске и откатываются к sovereign (fail-closed).

---

Переменные окружения

Переменная	Обязательна	По умолчанию	Описание
KHEPRA_LICENSE_KEY	Только Pro/Enterprise/Sovereign	—	Лицензионный ключ. Уровень Community работает без него. Получить на nouchix.com
KHEPRA_MODE	Нет	sovereign	Режим развёртывания: sovereign, ironbank, hybrid, edge
KHEPRA_MANIFEST_PATH	Нет	manifest.json	Путь к файлу подписанного манифеста инструментов
KHEPRA_HOME	Нет	/var/lib/khepra	Каталог данных и базы данных соответствия
KHEPRA_LOG_DIR	Нет	/var/log/khepra	Каталог логов
KHEPRA_DAG_PATH	Нет	~/.khepra/dag	Путь хранения цепочки аудита DAG
KHEPRA_AUDIT_LOG_PATH	Нет	~/.khepra/audit.ndjson	Путь к подписанному журналу аудита
KHEPRA_MAX_CONCURRENT	Нет	5	Максимум одновременных вызовов инструментов на агента
KHEPRA_NETWORK_POLICY	Нет	lan	Сетевой периметр: lan, none, unrestricted
MCP_PQC_ENABLED	Нет	true	Включить аттестацию ML-DSA-65 PQC для всех ответов

---

Развёртывание в Air-Gap и SCIF

KHEPRA выполняет ноль внешних сетевых вызовов в режимах sovereign и ironbank:

• Лицензия проверяется офлайн через подписанный ML-DSA-65 файл license.adinkhepra
• Базы данных соответствия (36 195 сопоставлений) поставляются в контейнере — без внешних загрузок
• Без телеметрии, без heartbeat, без исходящего трафика — проверено на транспортном уровне

# Transfer image to air-gapped network
docker save ghcr.io/nouchix/pqc-khepra-mcp:latest | gzip > khepra-mcp.tar.gz

# On air-gapped host:
docker load < khepra-mcp.tar.gz

Примечание о телеметрии: Инструмент dark_crypto_contribute (уровень Community) отправляет анонимизированную телеметрию криптографических алгоритмов в интеллектуальную сеть SouHimBou AI только при явном вызове пользователем. Он никогда не запускается автоматически. В режиме sovereign/ironbank все сетевые вызовы блокируются на транспортном уровне в любом случае.

---

Покрытие соответствия

Фреймворк	Версия	Сопоставления
STIG (RHEL 9)	V1R3	Автоматическое сканирование
NIST 800-53	Rev 5	2 120 CCI
NIST 800-171	Rev 2	320 контролей
CMMC	Уровень 3	Полный набор практик
FedRAMP	High	Базовое сканирование
PQC-01-STIG-V1R1	V1R1	12 PQC-контролей (набор контролей NouchiX; проверяет алгоритмы CNSA 2.0)
Итого		36 195+ сопоставлений

---

Лицензирование

Никаких платежей за токен или за запрос ни на одном платном уровне.

Уровень	Стоимость	Лицензионный ключ	Инструменты
Community	Бесплатно	Не требуется	pqc_stig + 12 базовых инструментов
Pro	$19/мес	Требуется	Отчётность по соответствию, ACP, инвентаризация NHI, автопилот
Enterprise	$499/мес	Требуется	Все 76 инструментов, автопилот
Sovereign	Индивидуально — свяжитесь с отделом продаж	Требуется	Все 76 инструментов + air-gap/офлайн-лицензирование + HSM, автопилот

• Уровень Community бесплатен навсегда — внесите вклад в открытое внедрение PQC
• Pro/Enterprise: самостоятельная оплата
• Sovereign: свяжитесь по contact@nouchix.com или посетите nouchix.com

---

Безопасность

Сообщение об уязвимостях

Не открывайте публичные issues для уязвимостей безопасности.

Сообщайте приватно через GitHub Security Advisories или по электронной почте support@nouchix.com.

SLA	Цель
Подтверждение	24 часа
Первичная оценка	5 рабочих дней
Патч / митигация (критично)	30 дней

Мы принимаем зашифрованные отчёты через PGP (keys/security_contact.asc) и постквантовые каналы (ключи Dilithium / ML-DSA-65 в keys/). См. SECURITY.md для полной политики раскрытия и таксономии событий ASAF.

---

Состояние безопасности

Развёртывание продвинутой постквантовой криптографии, изоляции air-gap и всеобъемлющих сопоставлений STIG — построено в прямом соответствии с руководствами NSA и ASD по Model Context Protocol.

Соответствие безопасности NSA и ASD MCP

NSA и Австралийское управление сигналов (ASD) опубликовали конкретные векторы угроз для ИИ-систем, взаимодействующих с локальными средами. KHEPRA MCP явно спроектирован для митигации каждого выявленного вектора:

Требование NSA/ASD	Реализация KHEPRA
Криптографическая валидация ответов инструментов	Подписи ML-DSA-65 (Dilithium) на всех полезных нагрузках JSON-RPC 2.0
Валидация и санитизация входных данных	Устойчивость к инъекции параметров через строгую валидацию JSON Schema
Учётные данные по принципу наименьших привилегий	Кратковременные эфемерные токены, привязанные к конкретным окнам выполнения задач
Всеобъемлющее журналирование аудита	События с защитой от подделки, скомпилированные в неизменяемую структуру DAG
Ограничения потребления ресурсов	Ограничение частоты + обратное давление для циклов запросов LLM
Шлюзы авторизации для чувствительных действий	Шлюз с участием человека для деструктивных изменений состояния
Изоляция среды	Контейнеризованное выполнение с суверенным режимом нулевого исходящего трафика
Целостность цепочки поставок ПО	Закрепление манифестов для всех загружаемых инструментов и зависимостей
Сокращение сетевой экспозиции	Поддержка air-gap — нулевой интернет-трафик в режимах sovereign/ironbank
Постквантовая устойчивость	Подписанная PQC цепочка DAG, защищающая от harvest-now-decrypt-later

Сертификации соответствия

Фреймворк	Статус	Покрытие
CMMC уровня 2	✅	Автоматизирует сбор доказательств для доменов AU, CM, SI, SC
NIST SP 800-171 Rev 2	✅	Журналирование, подотчётность, целостность системы
NIST SP 800-53 Rev 5	✅	Непрерывный мониторинг (AU-2, SI-4)
FIPS 203 (ML-KEM)	🟡	Сегодня предстандартный Kyber-1024; миграция на ML-KEM-1024 в процессе
FIPS 204 (ML-DSA)	✅	Цифровые подписи для аутентификации полезной нагрузки
Мандат PQC NSM-10	✅	Соответствие Национальному меморандуму безопасности 10
DFARS 252.204-7012	✅	Неизменяемые криминалистические следы для отчётности о киберинцидентах
Руководства безопасности NSA MCP	✅	Прямое сопоставление со всеми опубликованными митигациями угроз ИИ-агентов

Живое развёртывание — физическая периферия

Непрерывно работает на ограниченном периферийном оборудовании с 12 мая 2026 года, чтобы доказать эффективность в суверенных средах:

• Оборудование: Raspberry Pi 2 · 1 ГБ ОЗУ · 900 МГц ARM · живой маршрутизатор Spectrum
• SCADA-под: STM32U585 / QRB2210 · Modbus TCP · MQTT · Zephyr RTOS 3.4+ · живая проверка подписи Dilithium
• Активные контроли: 3 открытых порта защищены · обнаружено 12 нарушений STIG · 100% мониторинг целостности файлов (AIDE) · непрерывная работа 24/7

Академическая валидация

Событие	Дата	Учреждение
UAlbany AI Plus Symposium 2026 — «KHEPRA Protocol: Quantum-Resilient Agentic AI Security Using Cultural Cryptography»	7 марта 2026	Учреждение NSA CAE-CDE · 200+ аудитория
SUNY Albany Cybersecurity Showcase — Первая церемония PQC-ключей на устройстве класса STM32 (SCADA Pod)	12–13 мая 2026	Живая демонстрация · постер архитектуры SCADA

Предварительная патентная заявка USPTO № 63/942,886 — на рассмотрении.
🔒 Контейнеры Iron Bank в процессе проверки DISA.

---

Уведомление об архитектуре Open-Core

PQC-Khepra-MCP — это открытый сервер Model Context Protocol, обеспечивающий постквантовое подписание (ML-DSA-65, FIPS 204), предстандартную инкапсуляцию ключей Kyber-1024 и инструменты соответствия.

Проприетарные движки управления средой выполнения — включая KHEPRA Trust Operating System (KTOS), компилятор ASAF Policy Declaration Language (APDL), Evolutionary Algorithm Lattice Auto-Tuning Kernel, SEKHEM Polymorphic WAF Gateway и Full-Stealth Sovereign Mesh — являются компонентами Khepra Enterprise и лицензируются на коммерческих условиях.

---

Найдите нас — листинги в реестрах MCP

PQC-Khepra-MCP представлен на всех основных платформах обнаружения MCP:

Платформа	Ссылка	Примечания
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp	Установка в один клик для Claude, Cursor, Windsurf
MCP Registry (официальный)	registry.modelcontextprotocol.io/?q=khepra	Реестр, курируемый Anthropic — Registry ID: io.github.nouchix/pqc-khepra-mcp
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp	Индекс сообщества
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824	Маркетплейс расширений VS Code / Cline
Живая размещённая конечная точка	mcp.souhimbou.ai	SSE-эндпоинт без установки — подключение за 30 секунд

---

О NouchiX

Консультационная фирма, основанная ветеранами, которая переводит мандаты CMMC, NIST и STIG в исполнительные дорожные карты.

• Продажи / Общие вопросы: contact@nouchix.com
• Поддержка: support@nouchix.com
• Веб-сайт: https://nouchix.com
• Телефон: (518) 304-4450

Разработано SecRed Knowledge Inc. dba NouchiX, Олбани, Нью-Йорк.

---

📋 Руководство оператора TC-25 и runbook разработчика

PQC-Khepra-MCP — это агентский канал open-core архитектуры KHEPRA Trust OS (KTOS):

• Техническое руководство оператора и обслуживания TC-25 — Учебный циркуляр № 25-KTOS-001, охватывающий четырёхуровневую суверенную архитектуру, тактический комплект защиты от радиопомех RF, иерархию Windows Event Viewer (ID 1001–1050) и трёхдвижковую нейтрализацию противника (92/92 проверено · 100% нулевой обход).
• Runbook по установке и устранению неполадок для разработчиков — Пошаговый runbook для Master Dev Machines, Antigravity IDE (mcp_config.json), Claude Code (.claude.json) и развёртывания на суверенном Linux VPS.

Единые продуктовые поверхности KTOS

• Уровень 4 — KTOS-MCP Master-Kernel (mcp.souhimbou.ai): 100 нативных инструментов, постквантовая подпись ML-DSA-65, защита от prompt-атак SEKHEM L7 WAF, журналирование в Event Viewer, тактический RF-комплект.
• Уровень 3a — KTOS CMMC Hub & Fleet Engine (adinkhepra.com): суверенный менеджер Fleet Manager для bare-metal и osquery для аудитов соответствия CMMC/STIG.
• Уровень 3b — KTOS Agentic SOC (souhimbou.ai): облачный Agentic SOC и AI Security Architect с автономным Flight Recorder SDK и детектором угроз KASA.
• Уровень 2 — общая доверенная подложка: 36 195 межфреймворковых сопоставлений соответствия, ML-DSA-65 (FIPS 204) / Kyber-1024 (предстандарт), неизменяемая аттестация DAG.
• Уровень 1 — протокол KHEPRA: запатентованная (заявка на рассмотрении) нелинейная криптографическая аттестация (USPTO #73565085).

Нейтрализация противодействия тройным движком (TriPentest · 92/92 подтверждено · 100,00% нулевого обхода)

• Автоматизированный штурм CyberStryke (30/30): нейтрализованы SQLi, XSS, Path Traversal, Null Byte Escapes, Prompt Injections, Egress Data Disclosure.
• Наступательный фреймворк безопасности AgentHound (28/28): нейтрализованы отравление описаний инструментов MCP (POISONED_DESCRIPTION), затенение инструментов (SHADOWS), имперсонация A2A (CAN_IMPERSONATE), косвенное выполнение инструментов (CAN_EXECUTE), загрязнение контекстного окна (TAINTS) и нарушения контроля информационных потоков (IFC_VIOLATION).
• Автономная батарея Red Team HexStrike AI (34/34): нейтрализованы фаззинг схем FastMCP, RCE через шаблоны Nuclei, стагеры Metasploit, stacked/OOB-инъекции Sqlmap, побеги через SUID/Sudo и скрытое туннелирование C2/Egress.