OrgKernel

面向 AI Agent 的企业级信任层

提供密码学安全身份、范围限定执行以及防篡改审计追踪——基于设计即透明，而非承诺即透明。

3 个核心模块 (阶段 1) · 27 个 REST 端点 · 5 个构建阶段 · PostgreSQL / MySQL / SQLite 持久化

---

概述

OrgKernel 是 AI Agent 系统的安全与治理基础。它确保每个 Agent 都拥有可验证的加密身份，每个任务都在严格的边界内运行，且每一次操作都留下可防篡改的审计追踪——所有这一切都无需运行 AI 模型本身。

第一阶段交付三个加密原语。第 2 至 5 阶段将增加任务生命周期、策略引擎、授权图谱以及工具网关。

能力	状态	描述
加密身份 (PKI)	✅ 阶段 1	Ed25519 密钥对、组织 CA 签名、CSR 以及挑战-响应验证
范围限定执行令牌	✅ 阶段 1	任务范围的权限令牌，包含工具白名单、数值参数边界，以及防止令牌篡改（Token Grafting）的 Ed25519 签名
哈希链式审计追踪	✅ 阶段 1	三层审计（身份/执行/合规），持久化至 PostgreSQL，通过 SHA-256 哈希链和完整性验证
任务生命周期	🔲 阶段 2	具有强制转换规则的 8 状态任务机
工具网关	🔲 阶段 3	在每次外部工具调用前进行令牌范围强制校验
策略引擎	🔲 阶段 3	支持版本历史记录和约束推导的声明式策略 CRUD
授权图谱	🔲 阶段 3	组织层级遍历、审批级别判定、支出权限解析
数据分类器	🔲 阶段 3	基于规则的数据分类，生成路由层级和范围约束

---

构建阶段

阶段	状态	范围
阶段 1	✅ 已完成	核心原语：身份、令牌、审计
阶段 2	🔲 已计划	带有状态机的任务生命周期
阶段 3	🔲 已计划	网关、策略、授权、分类器
阶段 4	🔲 已计划	全库持久化与版本历史
阶段 5	🔲 已计划	优化与迭代

---

系统架构

OrgKernel 目前编排了三个服务（阶段 1）。当阶段 2–5 完成后，完整流程将是：任务启动 → 审批 → 工具执行 → 关闭/升级，每个阶段都会写入特定的审计层。

完整流程 — 五个阶段（阶段 2–5 尚未实现）

阶段	调用组件	审计层	关键行为
1 任务启动 (阶段 1 可用)	AgentIdentityService	L1 业务	在任何操作前验证 Agent 身份
2 状态转换 (阶段 2 — 计划中)	MissionService.submit()	L2 执行	任务进入审批队列
3 三重审查 (阶段 3 — 计划中)	PolicyEngine + AuthorityGraph + DataClassifier	L2 执行	约束锁定至 MissionBoundary。ExecutionTokenService.mint() 签发已签名令牌
4 工具执行 (阶段 3 — 计划中)	ToolGatewayService.validate_tool_call()	L2 执行	每次调用进行五项网关检查：令牌有效性、CA 签名正确性、Agent_id 匹配、工具在范围内、工具未被禁止
5 任务关闭 (阶段 2 — 计划中)	MissionService.close()	L2 执行	令牌被消耗，状态更新为 CLOSED
6 升级/报警 (阶段 2 — 计划中)	MissionService.escalate()	L3 合规	通往 L3 审计层的唯一路径

三层审计语义（阶段 1）

审计层	触发条件	语义
L1 业务	AuditChainService.initialize()	业务视角：谁、在哪个组织、执行什么任务
L2 执行	每次工具调用 + 状态转换 + 审批 + 关闭	执行视角：系统执行的每一个行为
L3 合规	仅 MissionService.escalate() (阶段 2)	合规视角：什么触发了人工合规干预

架构图（阶段 1）

Agent Platform
    |
    |-- CSR submitted --> AgentIdentityService.submit_csr()
    |                      |-- validates duplicate
    |                      v
    |-- CSR issued -----> AgentIdentityService.issue_from_csr()
    |                      |-- generates Ed25519 keypair (server-side)
    |                      |-- signs certificate with Org CA
    |                      |-- returns certificate + private_key_pem ONCE
    |                      |-- persists identity record (NO private key)
    |                      v
    |                  AgentCertificate + AgentIdentity
    |
    |-- token mint ----> ExecutionTokenService.mint()
    |                      |-- Ed25519-signed by Org CA (prevents Token Grafting)
    |                      |-- tool allowlist + numeric bounds
    |                      v
    |                  ExecutionTok