PQC KHEPRA MCP Server

PQC-Khepra-MCP

Kernel ghi nhật ký chuyến bay tự hành và mật mã hậu lượng tử dành cho tác tử AI.

Có thể vận hành tách biệt khỏi mạng. Không đo từ xa lên đám mây. Không tốn token.
Cung cấp chữ ký hậu lượng tử ML-DSA-87 (FIPS 204) và ML-KEM-1024 (FIPS 203) cho mọi lệnh gọi công cụ, ghi nhật ký chuyến bay NDJSON tự hành phía máy khách và khám phá máy chủ/tài sản cục bộ. Mã nguồn được cung cấp theo KHEPRA Sovereign Public & Commercial License (KSCL-1.0): miễn phí cho cộng đồng và mục đích đánh giá; sử dụng trong môi trường sản xuất thương mại cần đăng ký thuê bao. Xem LICENSE.

Tham chiếu bằng sáng chế: Đang chờ cấp bằng sáng chế · Đơn đăng ký tạm thời tại Hoa Kỳ số 63/942,886 (EFS ID: 73565085)
Thông tin pháp nhân: SecRed Knowledge Inc. (hoạt động dưới tên NouchiX) — Công ty C-Corp tại Delaware (EIN 99-0529252), đủ điều kiện SDVOSB (đang chờ đơn SBA VetCert), có giấy phép an ninh Secret còn hiệu lực.
Điểm cuối được lưu trữ trực tuyến: https://mcp.souhimbou.ai/sse — không cần cài đặt, kết nối trong 30 giây.
Tự lưu trữ để vận hành chủ quyền/tách biệt mạng: Docker hoặc binary.

---

Kiến trúc: Kernel cộng đồng miễn phí và nền tảng thương mại KTOS

Để bảo đảm ranh giới thương mại rõ ràng cho đối tác, nhà thầu quốc phòng và nhà phát triển, hệ sinh thái KHEPRA hoạt động trên hai lớp riêng biệt:

Lớp	Sản phẩm	Giấy phép	Phạm vi và khả năng
Lớp 1	PQC-Khepra-MCP (Kho lưu trữ này)	KSCL-1.0 (cung cấp mã nguồn)	Kernel cộng đồng miễn phí: ký hậu lượng tử ML-DSA-65 (FIPS 204), ghi nhật ký chuyến bay tự hành phía máy khách, đăng ký tác tử, liệt kê máy chủ/tài sản cục bộ và tra cứu mối đe dọa. Không có cơ sở dữ liệu STIG hoặc tuân thủ.
Lớp 2	KHEPRA Trust OS (KTOS)	Thương mại ($499/tháng đến $250K/năm)	Hệ điều hành chủ quyền về bằng chứng và điều khiển: 36,195 ánh xạ tuân thủ xuyên khung, đối chiếu hàng loạt trực tiếp qua DISA STIGViewer API v2, đánh giá CMMC Cấp 2/3, các công cụ đa gói ERT, gói bằng chứng C3PAO tự động (OSCAL, DISA CKLB, POA&M có chữ ký) và khắc phục máy chủ tự hành có giới hạn.

---

Các gói và giới hạn tính năng (Mô hình thương mại và chủ quyền 4 cấp)

Cấp	Mức giá	Hạn mức	Công cụ và khả năng giới hạn theo gói	Trọng tâm
Cộng đồng	$0 / Miễn phí (Open-Core)	500 Credits	14 công cụ cốt lõi (pqc_keygen, pqc_sign, pqc_verify, flight_record, flight_export, agent_record, dag_attestation, khepra_get_dag_chain, enumerate_host, fingerprint_device, discover_assets, kasa_status, threat_lookup, nist_map bản giới thiệu)	Ký PQC mã nguồn mở, ghi nhật ký chuyến bay, khám phá cục bộ
Nền tảng	$499 / tháng (Tự phục vụ)	3,000 Credits	50+ công cụ (+ quét đa luồng OmniScan, khám phá Shadow AI, STIGViewer API v2 trực tiếp, luồng SIEM OCSF)	Nhóm kỹ thuật và hoạt động SOC thương mại
Doanh nghiệp	$2,999 / tháng	15,000 Credits	85+ công cụ (+ SOC tác tử đầy đủ, SEKHEM L7 PQC-WAF, PTY Enclave Supervisor, ASAF Remediation Daemon, chứng minh SMT Z3)	Đội ngũ tác tử doanh nghiệp và tự động hóa tuân thủ
Chủ quyền	$45K – $250K / năm	100,000+ Credits	Toàn bộ 100 công cụ (+ tách biệt mạng trên bare-metal, osquery Fleet Manager, tự động hóa CMMC L2/L3, chống gây nhiễu RF chiến thuật, đo từ xa Windows EventLog)	Nhà thầu quốc phòng, C3PAO, nhà thầu chính liên bang và GovCloud

---

Chức năng (Kernel cộng đồng miễn phí)

PQC-Khepra-MCP kết nối trực tiếp trợ lý AI của bạn (Claude Code, Cursor, Antigravity, Cline) với một lớp bảo mật mật mã hậu lượng tử:

• Ký ML-DSA-65: Ký hậu lượng tử FIPS 204 cho mọi lệnh gọi công cụ và chứng thực DAG. Đóng gói khóa hiện dùng CRYSTALS-Kyber-1024, thuật toán tiền chuẩn hóa; đang tiến hành chuyển đổi sang ML-KEM-1024 theo FIPS 203.
• Ghi nhật ký chuyến bay tự hành: Tự động ghi lại mọi lần tác tử gọi công cụ, đầu vào và kết quả vào chuỗi băm NDJSON có khả năng phát hiện giả mạo.
• Khám phá máy chủ và tài sản cục bộ: Liệt kê môi trường chạy hệ thống, giao diện mạng và thuộc tính môi trường tại chỗ.
• Vận hành tách biệt mạng và chủ quyền: Hoạt động hoàn toàn ngoại tuyến, không đo từ xa lên đám mây hoặc gọi ra ngoài.
• Giấy phép KSCL-1.0: miễn phí cho cộng đồng và mục đích đánh giá. Sử dụng trong môi trường sản xuất thương mại, triển khai doanh nghiệp và lưu trữ dịch vụ được quản lý cần có thỏa thuận thương mại; xem LICENSE.

Bắt đầu nhanh — Điểm cuối được lưu trữ (Không cần cài đặt)

Cách nhanh nhất để sử dụng công cụ tuân thủ trực tiếp trong ứng dụng AI của bạn. Không cần Docker, binary hay biên dịch:

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

Hoặc nếu ứng dụng của bạn hỗ trợ truyền tải SSE gốc:

https://mcp.souhimbou.ai/sse

Kiểm tra tình trạng: https://mcp.souhimbou.ai/mcp/v1/health

Lưu ý về dữ liệu: Điểm cuối được lưu trữ chạy ở chế độ edge — DAG được lưu trong bộ nhớ và chỉ tồn tại tạm thời. Để có nhật ký kiểm toán bền vững, có chữ ký và triển khai tách biệt mạng, hãy dùng các tùy chọn tự lưu trữ bên dưới.

---

Cài đặt tự lưu trữ

Để triển khai chủ quyền/tách biệt mạng: Docker (khuyến nghị, không cần biên dịch) hoặc binary đã biên dịch (khởi động nhanh nhất, sẵn sàng cho SCIF). Cả hai đều hỗ trợ cùng các biến môi trường và mọi ứng dụng MCP.

Chọn phương thức:

Phương thức	Phù hợp nhất với	Khởi động
Điểm cuối được lưu trữ	Bắt đầu nhanh nhất, công cụ đám mây	Ngay lập tức
Docker	Hầu hết người dùng, tự lưu trữ dễ nhất	~2s
Binary đã biên dịch	Tách biệt mạng, SCIF, hiệu năng	~300ms

---

Tùy chọn A: Docker (Khuyến nghị)

Cần Docker Desktop hoặc Docker Engine. Image được dựng sẵn và đi kèm toàn bộ cơ sở dữ liệu tuân thủ — không cần tải thêm trong chế độ chủ quyền.

# Pull once
docker pull ghcr.io/nouchix/pqc-khepra-mcp:latest

# Test it (should print the initialize response and exit)
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

---

Tùy chọn B: Binary đã biên dịch

Cần Go 1.21+ để biên dịch, hoặc tải bản phát hành dựng sẵn từ GitHub Releases.

git clone https://github.com/nouchix/PQC-Khepra-MCP.git
cd PQC-Khepra-MCP

# Build (cross-compile for your OS)
go build -o khepra-mcp ./cmd/khepra-mcp        # Linux / macOS
go build -o khepra-mcp.exe ./cmd/khepra-mcp    # Windows

# Test the binary
echo '{"jsonrpc":"2.0","method":"initialize","params":{"protocolVersion":"2025-11-25","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}},"id":0}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

Windows — dùng trình khởi chạy batch

Kho lưu trữ có kèm trình khởi chạy run-mcp.bat dành cho Windows. Trình này dùng binary dựng sẵn (đường chạy nhanh) và tự động chuyển sang go run nếu cần:

:: run-mcp.bat is already in the repo at the root of PQC-Khepra-MCP
:: Point your MCP client to: cmd /c C:\path\to\PQC-Khepra-MCP\run-mcp.bat

---

Thêm vào ứng dụng AI của bạn

Claude Desktop

Vị trí tệp cấu hình:

• macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
• Windows: %APPDATA%\Claude\claude_desktop_config.json
• Linux: ~/.config/Claude/claude_desktop_config.json

Gói Cộng đồng — Docker (macOS / Linux)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Gói Cộng đồng — Docker (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "C:\\Users\\YourName\\.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Gói Cộng đồng — Binary (Windows, khởi động nhanh nhất)

{
  "mcpServers": {
    "khepra": {
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

Gói Cộng đồng — Binary qua trình khởi chạy batch (Windows)

{
  "mcpServers": {
    "khepra": {
      "command": "cmd",
      "args": ["/c", "C:\\path\\to\\PQC-Khepra-MCP\\run-mcp.bat"],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_NETWORK_POLICY": "lan",
        "MCP_PQC_ENABLED": "true"
      }
    }
  }
}

Gói Pro / Doanh nghiệp / Chủ quyền (có khóa giấy phép)

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_LICENSE_KEY",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "-v", "/var/log/khepra:/var/log/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ],
      "env": {
        "KHEPRA_LICENSE_KEY": "YOUR_LICENSE_KEY_HERE"
      }
    }
  }
}

Sau khi chỉnh sửa, hãy khởi động lại Claude Desktop. Xác minh trong Settings → Developer — bạn sẽ thấy khepra có trạng thái running và danh sách đầy đủ công cụ.

---

Cursor

Tệp cấu hình: .cursor/mcp.json trong thư mục gốc dự án hoặc ~/.cursor/mcp.json trên toàn cục.

Docker (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Binary (macOS / Linux)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "/path/to/khepra-mcp",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "/path/to/PQC-Khepra-MCP/manifest.json"
      }
    }
  }
}

Binary (Windows)

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "C:\\path\\to\\PQC-Khepra-MCP\\khepra-mcp.exe",
      "args": [],
      "env": {
        "KHEPRA_MODE": "sovereign",
        "KHEPRA_MANIFEST_PATH": "C:\\path\\to\\PQC-Khepra-MCP\\manifest.json"
      }
    }
  }
}

---

VS Code (với tiện ích mở rộng GitHub Copilot hoặc Cline)

Tệp cấu hình: .vscode/mcp.json trong dự án hoặc trong cài đặt người dùng.

{
  "servers": {
    "khepra": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "${env:HOME}/.khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

Hoặc qua settings.json của người dùng cho tiện ích mở rộng Cline:

{
  "cline.mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Windsurf

Tệp cấu hình: ~/.codeium/windsurf/mcp_config.json

{
  "mcpServers": {
    "khepra": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "KHEPRA_MODE=sovereign",
        "-v", "/var/lib/khepra:/var/lib/khepra",
        "ghcr.io/nouchix/pqc-khepra-mcp:latest"
      ]
    }
  }
}

---

Continue.dev

Tệp cấu hình: ~/.continue/config.json — thêm vào mảng experimental.modelContextProtocolServers:

{
  "experimental": {
    "modelContextProtocolServers": [
      {
        "name": "khepra",
        "transport": {
          "type": "stdio",
          "command": "docker",
          "args": [
            "run", "--rm", "-i",
            "-e", "KHEPRA_MODE=sovereign",
            "ghcr.io/nouchix/pqc-khepra-mcp:latest"
          ]
        }
      }
    ]
  }
}

---

Công cụ AI đám mây / SaaS (Claude.ai, ChatGPT, Gemini, v.v.)

Dùng điểm cuối được lưu trữ trực tuyến tại mcp.souhimbou.ai — không cần thiết lập:

Tùy chọn 1 — Điểm cuối được lưu trữ trực tuyến (khuyến nghị, không cần thiết lập)

{
  "mcpServers": {
    "khepra": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.souhimbou.ai/sse"]
    }
  }
}

Hoặc URL SSE trực tiếp dành cho công cụ hỗ trợ:

https://mcp.souhimbou.ai/sse

Công cụ đám mây	Nơi thêm URL MCP
Claude.ai (Pro/Team)	Settings → Integrations → MCP Servers
Cursor	.cursor/mcp.json → trường url
OpenAI Assistants	Trường API tools với type: "mcp"
Glama.ai	Workspace → MCP Servers
Smithery.ai	Catalog → Self-hosted server

Tùy chọn 2 — Proxy mcp-remote (binary cục bộ phía sau cầu nối)

Nếu cần chế độ chủ quyền (không có lưu lượng ra ngoài) được chuyển tiếp tới công cụ đám mây:

# Install once
npm install -g mcp-remote

# Bridge your local sovereign instance
KHEPRA_MODE=sovereign mcp-remote \
  --server "docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest" \
  --port 3000

# Point cloud tool to:
# http://localhost:3000/sse

Lưu ý bảo mật: Ở chế độ sovereign/ironbank, KHEPRA không thực hiện bất kỳ lệnh gọi ra ngoài nào — chỉ kết nối cầu nối tới công cụ đám mây mới truyền dữ liệu.

Tùy chọn 3 — Smithery / MCP Registries (Gói Cộng đồng)

KHEPRA được liệt kê trên tất cả các nền tảng khám phá MCP lớn. Các công cụ đám mây hỗ trợ khám phá qua registry có thể cài đặt trực tiếp:

Registry	URL
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp
MCP Registry (official)	registry.modelcontextprotocol.io/?q=khepra
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824
Điểm cuối được lưu trữ trực tuyến	mcp.souhimbou.ai

Registry ID: io.github.nouchix/pqc-khepra-mcp

---

Xác thực — Kiểm tra cài đặt

Chạy lệnh này từ terminal để xác minh máy chủ phản hồi chính xác:

# Docker
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | docker run --rm -i -e KHEPRA_MODE=sovereign ghcr.io/nouchix/pqc-khepra-mcp:latest

# Binary (Linux / macOS)
echo '{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | KHEPRA_MODE=sovereign ./khepra-mcp

# Binary (Windows PowerShell)
'{"jsonrpc":"2.0","method":"tools/list","params":{},"id":1}' \
  | & ".\khepra-mcp.exe"

Kết quả mong đợi: phản hồi JSON-RPC liệt kê tất cả công cụ hiện có. Nếu bạn thấy "tools": [...] với 12+ mục — bạn đã kết nối.

Xác thực giao thức đầy đủ (Windows)

# Runs the complete Claude Desktop handshake sequence and validates all responses
.\scripts\test-mcp-handshake.ps1 -BinaryPath ".\khepra-mcp.exe"

# Expected output:
# [PASS] initialize | protocolVersion=2025-11-25 | listChanged=False
# [PASS] tools/list | count=34
# TRL-10 READY - Server passes full Claude Desktop protocol validation

---

Công cụ MCP

Gói Cộng đồng (Mồi thu hút người dùng miễn phí — 14 công cụ Open-Core, không có cơ sở dữ liệu STIG)

Kernel Open-Core miễn phí cung cấp tiện ích tức thì cho nhà phát triển cá nhân, tác tử lập trình AI (Claude Code, Cursor, Antigravity, Cline) và nhà nghiên cứu bảo mật:

• pqc_keygen: Tạo cặp khóa hậu lượng tử ML-DSA-65 (FIPS 204).
• pqc_sign: Ký dữ liệu tùy ý bằng chữ ký số hậu lượng tử.
• pqc_verify: Xác minh bằng mật mã chữ ký ML-DSA-65.
• flight_record: Ghi lại có khả năng phát hiện giả mạo các lần tác tử gọi công cụ ở phía máy khách vào chuỗi băm NDJSON.
• flight_export: Xuất bản ghi chuyến bay cục bộ kèm bằng chứng neo DAG.
• agent_record: Chứng thực việc thực thi công cụ của tác tử vào sổ cái SQLite cục bộ.
• dag_attestation: Xuất dấu vết kiểm toán mật mã của phiên hiện tại.
• khepra_get_dag_chain: Truy xuất lịch sử nút DAG liên kết theo chuỗi.
• enumerate_host: Khám phá cục bộ môi trường hệ thống, giao diện và kiến trúc.
• fingerprint_device: Tạo mã băm danh tính thiết bị có khả năng phát hiện giả mạo.
• discover_assets: Liệt kê cục bộ các điểm cuối mạng có thể truy cập và dịch vụ thời gian chạy.
• kasa_status: Trạng thái thời gian chạy và chỉ số tình trạng của tác tử tự hành.
• threat_lookup: Tra cứu IOC mối đe dọa ngoại tuyến cục bộ.
• nist_map (Bản giới thiệu Cộng đồng): Tra cứu ngữ nghĩa ngoại tuyến trên các biện pháp kiểm soát NIST cơ sở (giới hạn 25 mục).

Lưu ý: Kernel cộng đồng miễn phí không có cơ sở dữ liệu STIG hoặc tuân thủ. Tất cả điểm chuẩn DISA STIG tự động, công cụ CMMC L2/L3 và tổng hợp rủi ro cấp điều hành chỉ có trong KTOS Master Kernel thương mại.

---

KTOS Master Kernel (Nâng cấp trả phí — hơn 100 công cụ doanh nghiệp và chủ quyền)

Nâng cấp lên KTOS Platform ($499/tháng), Enterprise ($2,999/tháng) hoặc Sovereign ($45K–$250K/năm) để mở khóa toàn bộ Master Kernel gồm 100 công cụ:

pqc_stig — STIG PQC đầu tiên trên thế giới của DoD ⭐ (Doanh nghiệp / Chủ quyền)

Đánh giá mã nguồn và hạ tầng theo PQC-01-STIG-V1R1: 17 biện pháp kiểm soát bao gồm bộ thuật toán CNSA 2.0 (FIPS 203 ML-KEM-1024, FIPS 204 ML-DSA-87), đóng gói mật mã lai, xác thực thời gian hằng và hướng dẫn trong NSA MCP Security Advisory.

ert_scan — Công cụ rủi ro và mối đe dọa doanh nghiệp (Doanh nghiệp / Chủ quyền)

Trình quét bảo mật đa gói (Gói A, B, C, D), tạo Godfather Reports cấp điều hành với mức phơi nhiễm rủi ro FAIR tính bằng đô la và chứng thực sẵn sàng cho C3PAO.

stig_check — Xác thực STIG tự động (Enterprise / Sovereign)

Xác thực các hệ thống đang hoạt động và tệp cấu hình theo DISA RHEL-09-STIG và các tiêu chuẩn Windows.

cmmc_assess — Tự động hóa CMMC cấp độ 2/3 (Enterprise / Sovereign)

Đánh giá mức độ trưởng thành toàn diện trên toàn bộ 110 thực hành CMMC cấp độ 2, kèm tạo POA&M tự động.

khepra_query_stig — Cơ sở dữ liệu tuân thủ quan hệ (Enterprise / Sovereign)

Toàn quyền truy cập vào cơ sở dữ liệu tuân thủ quan hệ gồm 36,195 hàng (DISA STIG → CCI → NIST SP 800-53 Rev 5 → NIST SP 800-171 Rev 2 → CMMC 2.0).

godfather_report & godfather_approve (Platform / Enterprise)

Tổng hợp các lỗ hổng thô thành bản tóm tắt điều hành sẵn sàng trình bày trước hội đồng quản trị, kèm ROI khắc phục.

+ Hơn 80 công cụ nâng cao khác

Bao gồm scan_shadow_ai, attest_ai_policy, linux_hardening_check, stig_live_query (API DISA STIGViewer v2 trực tiếp), nhi_inventory, nhi_revoke, acp_issue, sekhem_gateway, ouroboros_waf_eye, sbom_generate, forensic_snapshot và các playbook khắc phục máy chủ tự động.

---

Báo cáo Godfather

Không giống các trình quét tuân thủ chỉ xuất ra một danh sách CVE dài dằng dặc, KHEPRA chuyển các phát hiện thành ngôn ngữ mà lãnh đạo quan tâm:

Finding: RHEL-09-212030 — No FIPS-validated crypto on /etc/ssh
Severity: CAT I (HIGH)
Business Impact: $2.4M estimated breach exposure (FAIR model)
Remediation Cost: $800 (4 hours engineer time)
ROI: 3,000x

Mỗi phát hiện bao gồm ID kiểm soát, ánh xạ khung tiêu chuẩn, tác động kinh doanh tính bằng đô la, ước tính chi phí khắc phục và ROI.

---

Chế độ triển khai

Chế độ	Cách ly mạng	Kết nối ra ngoài	Đo từ xa	Trường hợp sử dụng
sovereign	✅ Có	Không	Không	Tại chỗ, SCIF, mật (MẶC ĐỊNH)
ironbank	✅ Có	Không	Không	Môi trường sản xuất DoD/IC, chỉ FIPS
hybrid	❌ Không	LAN	Không	Phối hợp biên và đám mây
edge	❌ Không	Không hạn chế	Không	SaaS hoàn toàn không lưu trạng thái

Thiết lập qua biến môi trường KHEPRA_MODE. Các giá trị không xác định sẽ bị từ chối khi khởi động và chuyển về sovereign (mặc định an toàn khi lỗi).

---

Biến môi trường

Biến	Bắt buộc	Mặc định	Mô tả
KHEPRA_LICENSE_KEY	Chỉ Pro/Enterprise/Sovereign	—	Khóa giấy phép. Gói Community hoạt động mà không cần khóa. Lấy tại nouchix.com
KHEPRA_MODE	Không	sovereign	Chế độ triển khai: sovereign, ironbank, hybrid, edge
KHEPRA_MANIFEST_PATH	Không	manifest.json	Đường dẫn đến tệp kê khai công cụ đã ký
KHEPRA_HOME	Không	/var/lib/khepra	Thư mục dữ liệu và cơ sở dữ liệu tuân thủ
KHEPRA_LOG_DIR	Không	/var/log/khepra	Thư mục nhật ký
KHEPRA_DAG_PATH	Không	~/.khepra/dag	Đường dẫn lưu trữ chuỗi kiểm toán DAG
KHEPRA_AUDIT_LOG_PATH	Không	~/.khepra/audit.ndjson	Đường dẫn nhật ký kiểm toán đã ký
KHEPRA_MAX_CONCURRENT	Không	5	Số lệnh gọi công cụ đồng thời tối đa cho mỗi tác tử
KHEPRA_NETWORK_POLICY	Không	lan	Phạm vi mạng: lan, none, unrestricted
MCP_PQC_ENABLED	Không	true	Bật chứng thực PQC ML-DSA-65 trên mọi phản hồi

---

Triển khai cách ly mạng và SCIF

KHEPRA không thực hiện bất kỳ lệnh gọi mạng bên ngoài nào trong các chế độ sovereign và ironbank:

• Giấy phép được xác thực ngoại tuyến qua tệp license.adinkhepra đã ký bằng ML-DSA-65
• Cơ sở dữ liệu tuân thủ (36,195 ánh xạ) được đóng gói trong container — không tải xuống từ bên ngoài
• Không đo từ xa, không tín hiệu duy trì kết nối, không kết nối ra ngoài — đã được xác minh ở tầng truyền tải

# Transfer image to air-gapped network
docker save ghcr.io/nouchix/pqc-khepra-mcp:latest | gzip > khepra-mcp.tar.gz

# On air-gapped host:
docker load < khepra-mcp.tar.gz

Lưu ý về đo từ xa: Công cụ dark_crypto_contribute (gói Community) gửi dữ liệu đo từ xa ẩn danh về thuật toán mật mã đến mạng tình báo SouHimBou AI chỉ khi người dùng chủ động gọi công cụ. Công cụ này không bao giờ được kích hoạt tự động. Trong chế độ sovereign/ironbank, mọi lệnh gọi mạng đều bị chặn ở tầng truyền tải.

---

Phạm vi tuân thủ

Khung tiêu chuẩn	Phiên bản	Ánh xạ
STIG (RHEL 9)	V1R3	Quét tự động
NIST 800-53	Rev 5	2,120 CCI
NIST 800-171	Rev 2	320 kiểm soát
CMMC	Cấp độ 3	Bộ thực hành đầy đủ
FedRAMP	High	Quét đường cơ sở
PQC-01-STIG-V1R1	V1R1	12 kiểm soát PQC (bộ kiểm soát NouchiX; kiểm tra các thuật toán CNSA 2.0)
Tổng cộng		Hơn 36,195 ánh xạ

---

Cấp phép

Không tính phí theo token hoặc theo truy vấn ở bất kỳ gói trả phí nào.

Gói	Chi phí	Khóa giấy phép	Công cụ
Community	Miễn phí	Không bắt buộc	pqc_stig + 12 công cụ cốt lõi
Pro	$19/tháng	Bắt buộc	Báo cáo tuân thủ, ACP, kiểm kê NHI, tự động hóa
Enterprise	$499/tháng	Bắt buộc	Toàn bộ 76 công cụ, tự động hóa
Sovereign	Tùy chỉnh — Liên hệ bộ phận kinh doanh	Bắt buộc	Toàn bộ 76 công cụ + cấp phép cách ly mạng/ngoại tuyến + HSM, tự động hóa

• Gói Community miễn phí vĩnh viễn — đóng góp vào việc áp dụng PQC mã nguồn mở
• Pro/Enterprise: thanh toán tự phục vụ
• Sovereign: liên hệ contact@nouchix.com hoặc truy cập nouchix.com

---

Bảo mật

Báo cáo lỗ hổng

Không tạo vấn đề công khai để báo cáo lỗ hổng bảo mật.

Báo cáo riêng tư qua GitHub Security Advisories hoặc email support@nouchix.com.

SLA	Mục tiêu
Xác nhận đã nhận	24 giờ
Đánh giá ban đầu	5 ngày làm việc
Bản vá / biện pháp giảm thiểu (Nghiêm trọng)	30 ngày

Chúng tôi chấp nhận báo cáo được mã hóa qua PGP (keys/security_contact.asc) và các kênh hậu lượng tử (khóa Dilithium / ML-DSA-65 trong keys/). Xem SECURITY.md để biết chính sách công bố đầy đủ và phân loại sự kiện ASAF.

---

Tư thế bảo mật

Triển khai mật mã hậu lượng tử tiên tiến, cô lập cách ly mạng và ánh xạ STIG toàn diện — được xây dựng phù hợp trực tiếp với hướng dẫn Model Context Protocol của NSA và ASD.

Tuân thủ định hướng bảo mật MCP của NSA và ASD

NSA và Australian Signals Directorate (ASD) đã công bố các vectơ đe dọa cụ thể đối với hệ thống AI tương tác với môi trường cục bộ. KHEPRA MCP được thiết kế rõ ràng để giảm thiểu mọi vectơ đã xác định:

Yêu cầu của NSA/ASD	Triển khai trong KHEPRA
Xác thực mật mã cho phản hồi của công cụ	Chữ ký ML-DSA-65 (Dilithium) trên mọi tải trọng JSON-RPC 2.0
Xác thực và làm sạch đầu vào	Chống chèn tham số thông qua xác thực JSON Schema nghiêm ngặt
Nguyên tắc đặc quyền tối thiểu cho thông tin xác thực	Token tạm thời, thời hạn ngắn, gắn với các khoảng thời gian thực thi tác vụ cụ thể
Ghi nhật ký kiểm toán toàn diện	Sự kiện chống giả mạo được tổng hợp thành cấu trúc DAG bất biến
Giới hạn mức tiêu thụ tài nguyên	Giới hạn tốc độ + điều tiết ngược cho các vòng lặp yêu cầu LLM
Cổng cấp quyền cho hành động nhạy cảm	Cơ chế có con người tham gia phê duyệt các thay đổi trạng thái mang tính phá hủy
Cô lập môi trường	Thực thi trong container với chế độ sovereign không kết nối ra ngoài
Tính toàn vẹn chuỗi cung ứng phần mềm	Ghim manifest cho mọi công cụ và phần phụ thuộc được tải
Giảm mức độ phơi lộ mạng	Có thể triển khai cách ly mạng — không truyền qua Internet trong các chế độ sovereign/ironbank
Khả năng chống chịu hậu lượng tử	Dấu vết DAG được ký bằng PQC, bảo vệ trước nguy cơ thu thập dữ liệu ngay để giải mã sau này

Chứng nhận tuân thủ

Khung tiêu chuẩn	Trạng thái	Phạm vi
CMMC cấp độ 2	✅	Tự động thu thập bằng chứng cho các miền AU, CM, SI, SC
NIST SP 800-171 Rev 2	✅	Ghi nhật ký, trách nhiệm giải trình, tính toàn vẹn hệ thống
NIST SP 800-53 Rev 5	✅	Giám sát liên tục (AU-2, SI-4)
FIPS 203 (ML-KEM)	🟡	Hiện dùng Kyber-1024 tiền tiêu chuẩn; đang tiến hành chuyển đổi sang ML-KEM-1024
FIPS 204 (ML-DSA)	✅	Chữ ký số để xác thực tải trọng
Chỉ thị PQC NSM-10	✅	Tuân thủ National Security Memorandum 10
DFARS 252.204-7012	✅	Dấu vết pháp chứng bất biến phục vụ báo cáo sự cố mạng
Hướng dẫn bảo mật MCP của NSA	✅	Ánh xạ trực tiếp tới mọi biện pháp giảm thiểu mối đe dọa đối với tác tử AI đã công bố

Triển khai trực tiếp — Thiết bị biên vật lý

Vận hành liên tục trên phần cứng biên hạn chế tài nguyên kể từ ngày 12 tháng 5 năm 2026 để chứng minh hiệu quả trong môi trường sovereign:

• Phần cứng: Raspberry Pi 2 · RAM 1 GB · ARM 900 MHz · Bộ định tuyến phổ tần trực tiếp
• SCADA Pod: STM32U585 / QRB2210 · Modbus TCP · MQTT · Zephyr RTOS 3.4+ · Xác minh chữ ký Dilithium trực tiếp
• Các biện pháp kiểm soát đang hoạt động: Bảo vệ 3 cổng đang mở · Phát hiện 12 vi phạm STIG · Giám sát tính toàn vẹn tệp 100% (AIDE) · Vận hành liên tục 24/7

Thẩm định học thuật

Sự kiện	Ngày	Tổ chức
Hội nghị chuyên đề UAlbany AI Plus 2026 — "Giao thức KHEPRA: Bảo mật AI tác tử chống chịu lượng tử bằng mật mã văn hóa"	Ngày 7 tháng 3 năm 2026	Cơ sở NSA CAE-CDE · Hơn 200 người tham dự
Triển lãm An ninh mạng SUNY Albany — Lễ tạo khóa PQC đầu tiên trên thiết bị cấp STM32 (SCADA Pod)	Ngày 12–13 tháng 5 năm 2026	Trình diễn trực tiếp · Áp phích kiến trúc SCADA

Đơn đăng ký bằng sáng chế tạm thời USPTO Số 63/942,886 — đang chờ xử lý.
🔒 Các container Iron Bank đang trong quy trình thẩm định của DISA.

---

Thông báo về kiến trúc lõi mở

PQC-Khepra-MCP là máy chủ Model Context Protocol mã nguồn mở, cung cấp khả năng ký hậu lượng tử (ML-DSA-65, FIPS 204), đóng gói khóa Kyber-1024 tiền tiêu chuẩn và các công cụ tuân thủ.

Các công cụ quản trị thời gian chạy độc quyền—bao gồm KHEPRA Trust Operating System (KTOS), trình biên dịch ASAF Policy Declaration Language (APDL), nhân tự tinh chỉnh lưới thuật toán tiến hóa, cổng SEKHEM Polymorphic WAF và Full-Stealth Sovereign Mesh—là các thành phần của Khepra Enterprise và được cấp phép theo điều khoản thương mại.

---

Tìm chúng tôi — Danh sách trên MCP Registry

PQC-Khepra-MCP có mặt trên mọi nền tảng khám phá MCP lớn:

Nền tảng	Liên kết	Ghi chú
Smithery.ai	smithery.ai/servers/skone/pqc-khepra-mcp	Cài đặt bằng một cú nhấp cho Claude, Cursor, Windsurf
MCP Registry (chính thức)	registry.modelcontextprotocol.io/?q=khepra	Registry do Anthropic tuyển chọn — ID Registry: io.github.nouchix/pqc-khepra-mcp
mcpservers.org	mcpservers.org/servers/nouchix/pqc-khepra-mcp	Danh mục khám phá cộng đồng
Cline Marketplace	github.com/cline/mcp-marketplace/issues/1824	Chợ tiện ích mở rộng VS Code / Cline
Điểm cuối lưu trữ trực tiếp	mcp.souhimbou.ai	Điểm cuối SSE không cần cài đặt — kết nối trong 30 giây

---

Giới thiệu về NouchiX

Công ty tư vấn do cựu quân nhân lãnh đạo, chuyển các yêu cầu CMMC, NIST và STIG thành lộ trình dành cho lãnh đạo.

• Kinh doanh / Tổng quát: contact@nouchix.com
• Hỗ trợ: support@nouchix.com
• Trang web: https://nouchix.com
• Điện thoại: (518) 304-4450

Được phát triển bởi SecRed Knowledge Inc. dba NouchiX, Albany, NY.

---

📋 Sổ tay vận hành TC-25 và Runbook dành cho nhà phát triển

PQC-Khepra-MCP là kênh tác tử lõi mở của kiến trúc KHEPRA Trust OS (KTOS):

• Sổ tay kỹ thuật vận hành và bảo trì TC-25 — Tài liệu huấn luyện số 25-KTOS-001, bao quát Kiến trúc Sovereign bốn lớp, bộ chống gây nhiễu RF chiến thuật, hệ thống phân cấp Windows Event Viewer (ID 1001–1050) và Vô hiệu hóa đối kháng bằng ba động cơ (đã xác minh 92/92 · 100% không thể vượt qua).
• Runbook cài đặt và khắc phục sự cố dành cho nhà phát triển — Runbook từng bước dành cho Máy phát triển chính, Antigravity IDE (mcp_config.json), Claude Code (.claude.json) và triển khai Sovereign Linux VPS.

Các bề mặt sản phẩm KTOS hợp nhất

• Lớp 4 — KTOS-MCP Master-Kernel (mcp.souhimbou.ai): 100 công cụ gốc, ký hậu lượng tử ML-DSA-65, cơ chế phòng thủ prompt SEKHEM L7 WAF, ghi nhật ký Event Viewer, bộ công cụ RF chiến thuật.
• Lớp 3a — KTOS CMMC Hub & Fleet Engine (adinkhepra.com): Fleet Manager bare-metal có chủ quyền & osquery phục vụ kiểm toán tuân thủ CMMC/STIG.
• Lớp 3b — KTOS Agentic SOC (souhimbou.ai): SOC Agentic trên đám mây & Kiến trúc sư Bảo mật AI, với SDK Flight Recorder tự động và bộ phát hiện mối đe dọa KASA.
• Lớp 2 — Lớp nền tảng tin cậy dùng chung: 36,195 ánh xạ tuân thủ xuyên khung, ML-DSA-65 (FIPS 204) / Kyber-1024 (tiền tiêu chuẩn), chứng thực DAG bất biến.
• Lớp 1 — Giao thức KHEPRA: Chứng thực mật mã phi tuyến đang chờ cấp bằng sáng chế (USPTO #73565085).

Vô hiệu hóa đối kháng bằng ba động cơ (TriPentest · Đã xác minh 92/92 · Tỷ lệ không bị vượt qua 100.00%)

• Tấn công tự động CyberStryke (30/30): Đã vô hiệu hóa SQLi, XSS, Path Traversal, Null Byte Escapes, Prompt Injections, Egress Data Disclosure.
• Khung bảo mật tấn công AgentHound (28/28): Đã vô hiệu hóa MCP Tool Description Poisoning (POISONED_DESCRIPTION), Tool Shadowing (SHADOWS), A2A Impersonation (CAN_IMPERSONATE), Indirect Tool Execution (CAN_EXECUTE), Context Window Taint (TAINTS) và Information Flow Control Violations (IFC_VIOLATION).
• Bộ công cụ Red Team tự động HexStrike AI (34/34): Đã vô hiệu hóa FastMCP Schema Fuzzing, Nuclei Template RCEs, Metasploit Stagers, Sqlmap Stacked/OOB Injections, SUID/Sudo Escapes và Covert C2/Egress Tunneling.